En HIPAA-säkerhetsansvarig har i uppdrag att skydda känsliga hälsodata från obehörig användning. Denna ledande roll tillkom i samband med införandet av standarder för informationssäkerhet och integritetsskydd i den amerikanska lagen Health Insurance Portability and Accountability Act (HIPAA) från 1996.
Säkerhetsstandarden kräver att sjukhus, sjukförsäkringsbolag och vårdclearinghus utser en ansvarig som leder arbetet med att skydda hälsodata som skapas, lagras och överförs för skadereglering och andra rutinmässiga vårdverksamheter. Regeln, som utarbetades av det amerikanska hälso- och socialdepartementet (HHS), trädde i kraft i april 2003. I takt med att det elektroniska utbytet av vårddata har ökat kan en HIPAA-säkerhetsansvarigs arbetsuppgifter numera ingå i den bredare rollen som organisationens IT-ansvarige för hälsoinformation.
Lönen baseras på organisationens storlek och typ samt i vilken grad verksamheten är beroende av informationsteknologi. Enligt det amerikanska arbetsmarknadsdepartementets statistikmyndighet (Bureau of Labor Statistics) var medianlönen för en chef inom vårdtjänster med dessa ansvarsområden 80 240 dollar i maj 2008. Den mellersta 50-procenten tjänade mellan 62 170 och 104 120 dollar. De lägsta 10 procenten tjänade mindre än 48 300 dollar, medan de högsta 10 procenten tjänade mer än 137 800 dollar.
Den vägledande principen för utbyte av vårddata är HIPAA:s "minsta nödvändiga"-regel, som kräver att vårdorganisationer endast lämnar ut den minsta mängd patientinformation som behövs för att uppnå varje avsett syfte. Enligt HHS:s riktlinjer måste den HIPAA-säkerhetsansvariga utveckla administrativa rutiner, etablera fysiska skyddsåtgärder och implementera tekniska lösningar i linje med detta koncept.
Tre löpande arbetsuppgifter innebär att den ansvariga ska bedöma risken för otillbörligt utlämnande av patientdata, fastställa riktlinjer för journalhantering och ta fram beredskapsplaner. En HIPAA-säkerhetsansvarig måste skapa policyer som styr hur mycket information som ska vara tillgänglig för varje vårdpersonal beroende på roll eller befattning. Den ansvariga måste dessutom säkerställa att personalen får säkerhetsutbildning och fastställa sanktioner vid överträdelser av säkerhetspolicyerna, enligt HHS.
En HIPAA-säkerhetsansvarig måste utveckla policyer för att bevilja och begränsa åtkomst till organisationens byggnader, arbetsstationer, hårdvara, mjukvara och datafiler. De fysiska skyddsåtgärderna för patientdata omfattar även organisationens policy för kassering av gamla lagringsmedia, exempelvis hårddiskar som innehåller patientjournaler. Utöver placeringen av arbetsstationer och datorterminaler kan den säkerhetsansvariga även utarbeta policyer för personalomflyttningar, fjärrterminaler och återkallande av dataåtkomst, enligt HHS.
De tekniska skyddsåtgärderna innebär att utvärdera datorsystem för att säkerställa att de har lämpliga säkerhetsfunktioner, inklusive teknik som registrerar varje försök att komma åt hälsodata, samt att ta fram åtgärdsplaner vid säkerhetsöverträdelser. Det ingår också i en HIPAA-säkerhetsansvarigs arbete att bestämma vilken hård- och mjukvara organisationen ska använda för att upprätthålla en "unik identifierare" för varje anställd och att konfigurera automatisk utloggning på datorterminaler, vilket krävs av säkerhetsregeln.
Hälsa och Sjukdom © https://www.sjukdom.online