HIPAA (Health Insurance Portability and Accountability Act) är en amerikansk lagstiftning som ställer krav på säkerhet och sårbarhetsanalyser för att skydda elektronisk hälsoinformation. Säkerhetskraven omfattar både tekniska och icke-tekniska skyddsåtgärder för elektroniskt hanterade hälsodata, medan sårbarhetsanalyser hjälper vårdgivare och organisationer att avgöra vilka åtgärder som passar bäst för deras verksamhet.
HIPAA:s säkerhetskrav gäller all identifierbar hälsoinformation som lagras, överförs eller sänds elektroniskt. Individuellt identifierbar hälsoinformation inkluderar bland annat:
De tekniska kraven gäller datorer och andra elektroniska enheter som innehåller hälsoinformation. Vårdföretag och organisationer måste installera elektronisk säkerhetsutrustning i form av hårdvara eller mjukvara, skydda överföringar via nätverket och begränsa åtkomsten till elektronisk hälsoinformation till endast behöriga personer.
Dessutom kräver HIPAA att organisationerna upprättar skriftliga policys och rutiner för sina elektroniska säkerhetsåtgärder. Detta säkerställer att arbetet med informationssäkerhet sker systematiskt och kan granskas vid behov.
Utöver de tekniska kraven ställs även organisatoriska krav. En utsedd säkerhetsansvarig ska ha ansvar för säkerhetspolicys och rutiner inom organisationen. Vidare bör personalen få regelbunden HIPAA-utbildning i säkerhet, vanligtvis en gång per år.
Åtkomsten till alla lokaler ska begränsas och endast ges till de anställda eller patienter för vilka det är absolut nödvändigt. Detta omfattar både arbetsområden och undersökningsrum, där känslig information kan exponeras.
HIPAA kräver löpande sårbarhetsanalyser som granskar, spårar, dokumenterar och utvärderar säkerhetsåtgärder med avseende på risker, incidenter och effektivitet. Planen för sårbarhetsanalysen ska ingå i organisationens policys och rutiner.
I praktiken är det ofta den utsedda säkerhetsansvarige som tar fram, utvecklar och genomför sårbarhetsanalyserna, normalt en gång per kvartal. Genom denna kontinuerliga process kan organisationen identifiera svagheter i tidigt skede och vidta åtgärder innan allvarliga incidenter inträffar.
Hälsa och Sjukdom © https://www.sjukdom.online