För att skydda integriteten och säkerheten för Protected Health Information (PHI) kräver HIPAA att täckta entiteter och affärspartners implementerar skyddsåtgärder över tre domäner för att säkerställa konfidentialitet, integritet och tillgänglighet.
Fysiska skyddsåtgärder (§164.310)
- Anläggningsåtkomstkontroller: Begränsa fysisk åtkomst till PHI-innehållande områden (badge-åtkomst, besöksloggar, säkerhet)
- Arbetsstation Användning & Säkerhet: Policyer för korrekt användning, skärmpositionering, automatisk utloggning, enhetslåsning
- Enhets- & Mediekontroller: Kassering, återanvändning, ansvarighet och datautplånning för hårdvara/media innehållande PHI
Tekniska skyddsåtgärder (§164.312)
- Åtkomstkontroll: Unika användar-ID, nödåtkomstprocedurer, automatisk utloggning, kryptering/dekryptering
- Revisionskontroller: Hårdvara/programvara/mekanismer för att registrera och granska aktivitet i system med PHI
- Integritetskontroller: Skydda PHI från orimlig ändring eller förstöring (checksummor, digitala signaturer)
- Överföringssäkerhet: Kryptera PHI i transit (TLS 1.2+); integritetskontroller för elektronisk överföring
Administrativa skyddsåtgärder (§164.308)
- Säkerhetsansvarig utsättning: Utsedd individ ansvarig för policyer/procedurer
- Personalutbildning: Regelbunden, rollbaserad utbildning om integritet/säkerhet policyer och procedurer
- Riskanalys: Periodisk, omfattande riskbedömning (minst årligen, plus utlösta granskningar)
- Riskhantering: Implementera mildrande åtgärder för identifierade risker
- Sanktionspolicy: Konsekvenser för personalöverträdelser
- Informationssystemaktivitetsgranskning: Regelbunden revisionslogggranskning
- Kontingensplan: Databackup, katastrofåterställning, nödlägeoperation, testning
- Business Associate Agreements (BAAs): Krävs för alla leverantörer hanterande PHI
Ytterligare krav
- Intrångsnotifiering: <60 dagar för intrång påverkan ≥500 individer; årligen för mindre intrång
- De-identifiering: Safe Harbor (18 identifierare borttagna) eller Expertdetermination metoder
- Regelbundna revisioner & Efterlevnadsövervakning: Interna och externa
Implementering av dessa skyddsåtgärder skyddar PHI från hot, intrång och obehörig åtkomst samtidigt som HIPAA-efterlevnad upprätthålls.
