Lista de verificación de cumplimiento de HIPAA: La guía definitiva

¿Sabías que el sector sanitario es el segundo más afectado, con un 20 % de las víctimas de fallos de configuración en la nube? Estos casos de gran repercusión son solo la punta del iceberg en lo que respecta a las infracciones de la HIPAA. 

La Oficina de Derechos Civiles impone multas periódicamente por infracciones menores que no cumplen con los requisitos de la lista de verificación de cumplimiento de HIPAA.

Y eso no es todo. Una vez que su empresa ha sufrido una infracción de la HIPAA, aparece en el " Muro de la Vergüenza" de la OCR con detalles sobre la infracción, incluyendo la sanción, la fecha y el número de personas afectadas.

Eso es mucho que manejar, ¿verdad? La forma más sencilla de evitar esto es reforzar el cumplimiento de la HIPAA por parte de su empresa.

Si eres un socio comercial alojado en la nube, sigue leyendo. En este artículo, hemos elaborado una lista de verificación de cumplimiento de HIPAA que te servirá como guía detallada y fácil de entender para cumplir con la normativa HIPAA.

Extra: Un archivo PDF descargable para usar como referencia.

¿Por qué es necesario cumplir con la normativa HIPAA?

HIPAA es una ley federal estadounidense diseñada para proteger la privacidad del paciente y salvaguardar la información médica confidencial, conocida como Información Médica Protegida (PHI, por sus siglas en inglés), contra el acceso, uso o divulgación no autorizados. Si su empresa está sujeta a HIPAA, el cumplimiento es obligatorio; debe acatar sus requisitos para evitar sanciones legales, multas y daños a su reputación.

Más allá de las obligaciones legales, la HIPAA también proporciona beneficios comerciales al establecer reglas claras sobre cómo se manejan los datos de los pacientes, garantizando la confidencialidad, la integridad y la disponibilidad de la información médica protegida electrónicamente, y generando confianza con los pacientes y los socios.

¿Cuál es el propósito de una lista de verificación de cumplimiento de HIPAA?

Una lista de verificación de cumplimiento de HIPAA traduce las Reglas de Privacidad, Seguridad y Notificación de Incumplimientos en tareas asignables. Esta lista garantiza la generación constante de la evidencia tangible que requieren los auditores, como políticas formalizadas, registros de acceso, registros de capacitación y documentación de incidentes. Comprender el propósito fundamental de HIPAA ayuda a los equipos a priorizar las tareas más importantes de la lista, ya que cada regla se relaciona con un objetivo específico de privacidad del paciente o seguridad de la información de salud protegida (PHI), con el cual se evalúa el programa.

Para los socios comerciales, una lista de verificación también les ayuda a cumplir con su Acuerdo de Asociación Comercial y los requisitos de HIPAA a los que pueden estar directamente sujetos. Garantiza que el cumplimiento se convierta en una rutina repetible, en lugar de una situación de emergencia cada vez que haya una auditoría, una pregunta de un cliente o un incidente.

¿Quiénes están obligados a seguir la lista de verificación de cumplimiento de HIPAA?

La lista de verificación de cumplimiento de HIPAA debe ser seguida por cualquier empresa, organización o entidad individual del sector de la salud que recopile, procese, almacene y transmita información privada de salud (PHI).

La ley federal establece varias categorías de organizaciones e individuos obligados a seguir la lista de verificación de HIPAA:

1. Entidades cubiertas:

Estas entidades incluyen proveedores de atención médica, médicos, clínicas, farmacias, compañías de seguros, programas gubernamentales, cámaras de compensación, etc. 

2. Socios comerciales

Socios de negocio son personas u organizaciones que realizan ciertas funciones o actividades en nombre de, o prestan ciertos servicios a, una entidad cubierta que implican el uso o la divulgación de información de salud protegida. Los ejemplos incluyen compañías de facturación, empresas de gestión de prácticas, Contratistas de TI, servicios de almacenamiento en la nube, etc.

3. Subcontratistas

Socios comerciales de socios comerciales que manejan información sanitaria protegida

4. Entidades híbridas

Organizaciones que tienen algunas funciones cubiertas por la HIPAA y otras que no lo están. 

Cómo implementar una lista de verificación de cumplimiento de HIPAA

Esta lista de verificación detallada para el cumplimiento de la HIPAA tiene como objetivo garantizar que usted tenga todo lo que necesita saber en un solo lugar para que su organización cumpla con la HIPAA.

Aquí se explica en detalle la lista de verificación HIPAA de 8 pasos:

1. Determina si la Norma de Privacidad te afecta o no.

La Regla de Privacidad de HIPAA protege la información de salud protegida (PHI) en cualquier formato (verbal, electrónico o escrito). Si bien la mayoría de las disposiciones de la Regla de Privacidad no se aplican directamente a los socios comerciales, deberá implementar algunas de las políticas y medidas de seguridad obligatorias para su entidad cubierta, como las normas sobre el uso y la divulgación de la PHI y los derechos de los pacientes con respecto a su información.

Como regla general, debe cumplir con las normas básicas de privacidad: no debe usar, acceder ni divulgar información de salud protegida (PHI) sin la autorización válida del individuo, que cumpla con la ley HIPAA (salvo excepciones).

Por lo general, su Acuerdo de Asociación Comercial (BAA) con la entidad cubierta detallará estas reglas. La Regla de Privacidad de HIPAA exige que las entidades cubiertas celebren contratos por escrito u otros acuerdos (mediante un BAA) con sus socios comerciales para garantizar la protección de la privacidad de la información de salud protegida (PHI).

Sin embargo, las entidades cubiertas no supervisan (ni están obligadas a supervisar) cómo implementas las medidas de protección de la privacidad ni hasta qué punto cumples con los requisitos de privacidad del contrato. ¡Eso es responsabilidad tuya!

Por lo tanto, también tiene sentido desde el punto de vista empresarial estar al tanto de todas las normas de privacidad que se aplican a la entidad cubierta, incluidos sus avisos de prácticas de privacidad (NPP) y otros acuerdos comerciales.

Para garantizar el cumplimiento de las normas de privacidad de HIPAA, designe a un responsable de privacidad para que desarrolle e implemente estas políticas. Recuerde conservar toda la documentación de su información de salud protegida (PHI), incluidas las modificaciones y las solicitudes, durante al menos seis años.

¿Prefieres ver el vídeo con la lista de verificación para el cumplimiento de la HIPAA? Aquí lo tienes:

2. Proteja los tipos correctos de datos de pacientes.

Para saber si está protegiendo el tipo de datos correcto, debe comprender qué constituye información de salud protegida (PHI), de dónde proviene, dónde se almacena y quién tiene acceso a ella en su organización.

También debe conocer el tipo de información del paciente que su organización utiliza y transmite. Si bien su Acuerdo de Asociación Comercial (BAA) lo cubriría, es recomendable asegurarse de que los detalles estén claramente especificados y que las partes relevantes de su organización estén al tanto.

Además, saber qué tipos de datos de pacientes debe proteger es un buen punto de partida para implementar las medidas de seguridad y privacidad adecuadas.

---

3. Comprenda las normas de seguridad de HIPAA y los tipos de medidas de protección.

La Regla de Seguridad de HIPAA comprende muchas categorías obligatorias y abordables, y establece las reglas generales para las entidades cubiertas y sus socios comerciales de la siguiente manera:

• Protéjase contra cualquier amenaza o peligro razonablemente previsible para la seguridad e integridad de la información médica electrónica protegida (ePHI).
• Protéjase contra cualquier uso o divulgación razonablemente previsible de la información de salud protegida que no esté permitida según la Regla de Privacidad.
• Garantizar el cumplimiento por parte de la plantilla.

La HIPAA define la fuerza laboral como "aprendices, voluntarios, empleados o cualquier otra persona cuya conducta, mientras realiza un trabajo para un socio comercial o una entidad cubierta, está bajo el control directo del socio comercial o la entidad".

La Regla de Seguridad de HIPAA exige que las organizaciones implementen medidas de seguridad administrativas, físicas y técnicas, basadas en evaluaciones y análisis de riesgos, para proteger la información médica electrónica protegida (ePHI). Estas medidas sientan las bases de los procedimientos de seguridad que las organizaciones deben implementar en su entorno. 

Aquí les presentamos un resumen de las medidas de seguridad:

Las organizaciones deben completar su evaluación de riesgos de HIPAA para comprender qué datos están en riesgo y cuáles son, así como las medidas que deben tomar para protegerlos.

Por lo tanto, el cumplimiento de la Regla de Seguridad dependerá de muchos factores. Algunos de ellos incluyen:

• El tamaño, la complejidad y las capacidades de su organización, incluyendo la infraestructura técnica, el hardware y las capacidades de seguridad del software.
• Costes de las medidas de seguridad adicionales
• Probabilidad y criticidad de los riesgos potenciales para la información médica electrónica protegida (ePHI). 

---

4. Comprenda las causas de las violaciones de HIPAA.

Las infracciones de HIPAA pueden ocurrir de muchas maneras. Por lo tanto, es fundamental comprender sus causas y las medidas de seguridad que puede implementar para prevenirlas. Si bien las filtraciones de datos externas o los ataques informáticos por parte de ciberdelincuentes son las fuentes más conocidas de infracciones de HIPAA, no son las causas habituales.

Las infracciones de la HIPAA se producen con mayor frecuencia debido a fallos internos provocados por descuidos de seguridad o, en ocasiones, por simple negligencia.

Por ejemplo , las estaciones de trabajo desatendidas, la divulgación de información del paciente después de que expire la autorización o la falta de controles de acceso a la información médica electrónica protegida (ePHI) pueden dar lugar a infracciones de la HIPAA.

Enviar información de salud protegida (PHI) a la persona equivocada, hablar de PHI en público (incluidas las redes sociales) y usar servicios que no cumplen con las normas, como la nube, los sitios web y Gmail , son algunas de las causas comunes de infracciones.

No obstante, estos descuidos pueden resultar muy costosos. El hecho de que el Centro Médico de Pagosa Springs pagara una multa de 111 400 dólares en 2018 por no revocar el acceso a la información médica electrónica tras la rescisión del contrato de un empleado y por la falta de un acuerdo de asociación comercial (BAA) puede ayudar a dimensionar el coste de los incumplimientos de la HIPAA.

La pérdida o el robo de dispositivos también son frecuentes. Sin embargo, esto no implica necesariamente una violación de la HIPAA. No se le aplicarán sanciones si su información de salud protegida (PHI) está encriptada según las normas.

– Evitar infracciones

Debe mantener a su personal capacitado y actualizado sobre las regulaciones de HIPAA para evitar infracciones y garantizar que sus políticas y procedimientos reflejen las últimas actualizaciones de HIPAA. El incumplimiento de esta obligación puede acarrear multas cuantiosas e incluso penas de prisión.

Como socios comerciales, deben evitar lo siguiente o se arriesgan a una visita de la OCR.  

• No realizar la evaluación de riesgos ni implementar las medidas de seguridad administrativas, físicas y técnicas.
• Incumplimiento de la obligación de celebrar acuerdos de asociación comercial con subcontratistas que creen o reciban información de salud protegida.
• No tomar medidas razonables para abordar un incumplimiento o violación sustancial del BAA de un subcontratista
• Uso o divulgación inadmisible de información de salud protegida según la BAA
• No realizar esfuerzos razonables para limitar la solicitud, el uso o la divulgación de información de salud protegida al mínimo necesario 
• No revelar una copia de la información médica electrónica protegida a la entidad cubierta (o a las partes especificadas en el Acuerdo de Asociación Comercial) para permitir que la entidad cubierta cumpla con el derecho de acceso del paciente.
• No proporcionar un informe de las revelaciones para que la entidad cubierta pueda cumplir con sus obligaciones de proporcionar dicho informe cuando se le solicite.
• No notificar a la entidad cubierta u otro socio comercial sobre una violación de PHI como exigido por la norma de notificación de incumplimientos
• Tomar represalias contra otros por presentar una queja relacionada con la HIPAA o por oponerse a un acto o práctica ilegal. bajo las normas HIPAA
• No proporcionar al HHS registros e informes de cumplimiento; cooperar con las investigaciones de quejas y las revisiones de cumplimiento.

5. Documentar cada actividad destinada a proteger los datos.

Como en cualquier normativa de cumplimiento, en HIPAA la documentación es fundamental. Debe documentar minuciosamente todas sus acciones relacionadas con el cumplimiento de HIPAA. Debe mantener un registro detallado de todas las acciones, desde los primeros pasos dados hasta las evaluaciones de auditoría y las medidas correctivas implementadas.

Es recomendable recopilar toda la documentación relacionada con HIPAA y garantizar la transparencia de sus políticas. En general, debe documentar todo lo relacionado con la información de salud protegida (PHI). Debe conservar los documentos que contengan PHI o las políticas sobre su divulgación durante al menos seis años.

En términos generales, los requisitos de documentación de HIPAA incluyen lo siguiente:

• Policias y procedimientos
• Copia escrita/electrónica de las comunicaciones
• Todas las actividades, acciones o designaciones que requieran registros electrónicos o escritos.

Estos incluirían (entre otros):

• Análisis de riesgos de HIPAA
• Medidas que tomó para abordar las deficiencias y vulnerabilidades.
• Plan de gestión de riesgos de HIPAA
• Aviso de prácticas de privacidad
• Política de sanciones a los empleados
• Contratos
• Lista de vendedores
• Registros de entrenamiento
• Procedimientos de la mesa de trabajo
• Acuerdos de socios comerciales
• Plan de respuesta a infracciones
• Proceso de cumplimiento, procedimientos e informes de evaluación
• Medios electrónicos utilizados para almacenar información de salud protegida y registros de hardware.
• Plan de recuperación en un desastre
• Políticas de contraseña
• Documentación de incidentes
• Registros de mantenimiento de seguridad física
• Autorizaciones para la divulgación de información de salud protegida

Una de las principales razones por las que la documentación HIPAA se vuelve engorrosa no es la cantidad de requisitos, sino la dispersión de la evidencia entre equipos y herramientas. Por lo tanto, el objetivo es crear un registro único y auditable de quién hizo qué, cuándo y dónde se encuentra la evidencia. “Antes teníamos que tomar capturas de pantalla de las entrevistas, pero eso ya no sucede porque Sprinto se encarga de ello y simplemente mostramos el panel de control tal cual. La herramienta muestra la evidencia de forma clara y aceptable para los organismos de certificación, lo que nos ayuda a compilar nuestros informes de auditoría con facilidad”, ~ Hitesh Mittal, Director y Auditor Principal de CertPro CPA LLC

6. Configura notificaciones de violación de seguridad en caso de pérdida de datos.

Debe establecer directrices sobre la notificación de violaciones de datos de acuerdo con los requisitos de cumplimiento de HIPAA. La Regla de Notificación de Violaciones de HIPAA exige que los socios comerciales notifiquen a las entidades cubiertas cuando se produce una violación de información de salud protegida (PHI) en o por parte de un socio comercial. 

Como socio comercial, debe notificar a la entidad cubierta sin demora injustificada y dentro de los 60 días posteriores al descubrimiento de la violación de seguridad. En la medida de lo posible, también debe proporcionar a la entidad cubierta la identificación de cada persona afectada por la violación.

Tenga en cuenta que la entidad cubierta puede, según los términos del BAA, exigirle una notificación acelerada o una respuesta más detallada en caso de incumplimiento.

Dicho esto, la carga de probar que se han proporcionado todas las notificaciones requeridas o que el uso o la divulgación de información de salud protegida no causó una violación recae sobre los socios comerciales y las entidades cubiertas (según corresponda). 

Como socios comerciales, también deben informar a la entidad cubierta sobre los usos o divulgaciones que infrinjan el Acuerdo de Asociación Comercial (y presumiblemente también la HIPAA), incluso si no son notificables según la Regla de Notificación de Incumplimientos de la HIPAA.

Además, debe informar sobre incidentes de seguridad, incluidos los intentos o los accesos no autorizados, el uso, la divulgación, la modificación o la destrucción de información de salud protegida (PHI, por sus siglas en inglés), así como las interferencias con las operaciones del sistema en un sistema de PHI. 

Por lo tanto, es una excelente práctica mantener documentación que demuestre que se realizaron todas las notificaciones requeridas o mantener documentación que demuestre que la violación de seguridad no requirió notificación.

7. Implementar medidas de seguridad físicas

La HIPAA define las medidas de seguridad físicas como las medidas físicas, las políticas y los procedimientos que debe implementar para proteger sus sistemas de información electrónica y los edificios y equipos relacionados contra intrusiones no autorizadas y peligros naturales y ambientales.

Se debe considerar todo acceso físico a la información médica electrónica protegida (e-PHI) para su evaluación e implementación como medida de seguridad. El acceso físico puede incluir los hogares de los empleados u otros lugares fuera de la oficina donde se pueda acceder a la e-PHI.

De acuerdo con la HIPAA, debe limitar el acceso físico a sus instalaciones con acceso a información médica electrónica protegida (ePHI) mediante autorizaciones basadas en controles de acceso y validación. Asimismo, debe elaborar políticas y procedimientos para el uso adecuado y el acceso restringido a estaciones de trabajo y medios electrónicos, como tarjetas de memoria digitales, discos duros y otros dispositivos.  

Los socios comerciales también deben implementar políticas y procedimientos para la eliminación de la información médica electrónica protegida (ePHI) y los soportes electrónicos donde se almacena. Asimismo, deben elaborar políticas para la reutilización de dichos soportes. Otra medida de seguridad que se puede implementar es la creación de una copia de seguridad recuperable de la ePHI. 

8. Implementar medidas de seguridad técnicas para proteger el acceso a la información médica electrónica protegida (ePHI)

La Regla de Seguridad de HIPAA define las medidas de seguridad técnicas como "la tecnología, la política y los procedimientos para su uso que protegen la información médica electrónica protegida (ePHI) y controlan el acceso a ella".

Los socios comerciales y las entidades cubiertas deben implementar políticas y procedimientos técnicos que definan y describan cómo solo las personas autorizadas, con base en una identificación de usuario única, pueden acceder a la información médica electrónica protegida (ePHI). También deben incorporar un procedimiento de acceso de emergencia e implementar el cierre de sesión automático, el cifrado y el descifrado de la ePHI. 

Las políticas y los procedimientos relacionados con los controles de auditoría para supervisar el acceso a la información médica electrónica protegida (ePHI) y los controles de integridad para garantizar que esta información no se vea comprometida también son requisitos de HIPAA. Debe implementar la autenticación de usuarios y garantizar la seguridad de la transmisión mediante la implementación de controles de integridad y cifrado.

---

Por qué el cumplimiento de la HIPAA es bueno para las empresas.?

Ahora que hemos cubierto los aspectos básicos de la HIPAA, veamos sus beneficios para las empresas.

Evite fuertes sanciones por incumplimiento.

Las infracciones de la HIPAA pueden conllevar multas que oscilan entre los 127 y los 250 000 dólares, según la gravedad de la infracción. El Departamento de Salud y Servicios Humanos (HHS) y las Fiscalías Generales de los Estados Unidos imponen sanciones por infracciones de la HIPAA. Se produce una infracción cuando una entidad cubierta o un socio comercial incumple una o más de las disposiciones de las Normas de Privacidad, Seguridad o Notificación de Infracciones de la HIPAA.

Según la gravedad de las infracciones, la OCR puede resolverlas mediante medidas no punitivas (como la emisión de directrices técnicas) o imponer las sanciones económicas correspondientes. (Consulte la lista de ejemplos de infracciones de la HIPAA ).

Siga las mejores prácticas de seguridad en cumplimiento normativo.

Dado que el sector sanitario se ha convertido en un objetivo atractivo para los ciberataques, es fundamental que las empresas refuercen sus medidas de seguridad de datos. Cumplir con la HIPAA constituye una sólida barrera de seguridad, ya que se considera una de las legislaciones sanitarias más estrictas del mundo.

La HIPAA constituye la base de todas las iniciativas de ciberseguridad y privacidad para el sector sanitario y exige la implementación de diversas medidas de seguridad.

Por ejemplo , la HIPAA exige a las organizaciones que asignen seguridad de la información basada en roles, realicen copias de seguridad de los datos, utilicen contraseñas seguras, lleven a cabo auditorías internas periódicas, etcétera.

Dar prioridad a los intereses de los pacientes.

La HIPAA sitúa a los pacientes en el centro y garantiza que sus intereses sean prioritarios. La HIPAA enfatiza la privacidad de la información del paciente, otorga a las personas el derecho a acceder a su información y corregirla, y exige que las organizaciones obtengan el consentimiento de los pacientes antes de compartir sus datos con terceros.

También les otorga el derecho a presentar una queja si los datos se utilizan indebidamente o se comparten sin autorización. Las organizaciones que cumplen con la HIPAA priorizan automáticamente los intereses de sus pacientes.

Priorizar los intereses de los pacientes puede ayudarles a generar confianza y a expandir sus negocios de forma ética. Además, el robo de información médica puede derivar en robo de identidad, brechas de seguridad y mucho más. Como socios comerciales, no querrán ser la fuente de una filtración o un ataque informático que ponga en riesgo la información médica protegida.

Desarrollar un programa integral de ciberseguridad

Al cumplir con HIPAA, puede tener la seguridad de que cumplir con otras normativas de seguridad de la información a nivel mundial, como SOC 2, GDPR e ISO 27001, también será sencillo. Por ejemplo , existen muchas similitudes en los controles de seguridad sugeridos por HIPAA, NIST CSF y SOC 2.

Sprinto ofrece un marco de controles común que le permite aprovechar sus cumplimientos previos, ahorrándole tiempo y recursos.

Por ejemplo, con Sprinto, Neurosynaptic utilizó controles comunes para cumplir con HIPAA e ISO 27001 en tan solo dos semanas. Su cofundador, Rajeev Kumar, señaló:

“Sprinto garantiza que las tareas de cumplimiento se asignen a la persona correcta y se completen a tiempo. Si bien algunas tareas requieren intervención manual, como modificar la configuración de Git o configurar la autenticación multifactor (MFA) en las cuentas de usuario, el sistema indica qué se debe hacer y quién debe hacerlo. De esta manera, Sprinto te responsabiliza de tu cumplimiento normativo.”

Lista de verificación HIPAA en formato PDF para descargar

Es recomendable que todas las organizaciones de atención médica sujetas a la HIPAA sigan la lista de verificación de la HIPAA. A continuación, se presenta una lista de verificación de cumplimiento de la HIPAA para socios comerciales que utilizan servicios en la nube.

Automatice el cumplimiento de HIPAA con Sprinto.

Las regulaciones de HIPAA, como es comprensible, pueden resultar abrumadoras. Pero desconocer las normas no exime de ninguna responsabilidad ante la OCR; la ignorancia puede salir muy cara. 

Por lo tanto, Sprinto está diseñado para garantizar que siempre cumpla con la ley. No solo automatiza todo el proceso de cumplimiento, sino que desglosa todos los requisitos de HIPAA en pasos sencillos y fáciles de entender que no resultan abrumadores.

El software de automatización del cumplimiento normativo le proporciona plantillas de políticas editables, módulos de capacitación para empleados integrados en la aplicación, actualizados para reflejar los cambios más recientes en la HIPAA, y un panel de control en tiempo real que actualiza el estado general de cumplimiento de su organización, destacando las deficiencias y las tareas para mejorar dicho estado. 

Contáctanos hoy mismo para dar inicio a tu proceso de cumplimiento con la HIPAA.

Preguntas frecuentes