ما هو الامتثال لقانون HIPAA للشركات الصغيرة؟

يرمز HIPAA إلى قانون نقل تأمينات الصحة وقابلية محاسبتها (Health Insurance Portability and Accountability Act). وبالنسبة إلى شركة صغيرة، فإن الامتثال لـ HIPAA يعني وضع ضمانات معقولة لحماية معلومات الصحة المحمية، والتي يُشار إليها غالبًا باسم PHI، والالتزام بالقواعد المتعلقة بكيفية استخدام هذه المعلومات ومشاركتها وتخزينها والوصول إليها.

ليس كل مشروع صغير مطالبًا بالالتزام بـ HIPAA. ويُطبق ذلك عادةً على مقدمي الرعاية الصحية وخطط الصحة والجهات التي تعمل كـ healthcare clearinghouses، وكذلك على العديد من الموردين الخارجيين الذين يتعاملون مع PHI نيابةً عنها. وغالبًا ما يُطلق على هؤلاء الموردين الخارجيين اسم "business associates" (الشركاء/المتعاملون التجاريون).

بعبارات بسيطة، الامتثال لـ HIPAA ليس منتجًا واحدًا تشتريه وليس قائمة فحص لمرة واحدة. بل هو أسلوب مستمر لإدارة عملك بحيث تُعالج معلومات المرضى بعناية، وتُوثَّق بشكل واضح، وتُحفظ محمية مع تغيّر أنظمتك وموظفيك.

إذا كانت شركتك تجمع أو تخزن أو ترسل أو تعرض معلومات صحة المرضى، فقد يؤثر HIPAA على عملك اليومي. يشمل ذلك أشياء مثل البريد الإلكتروني، وأنظمة المواعيد، وأدوات الفوترة، ومشاركة الملفات، وأجهزة الكمبيوتر المحمولة، والهواتف، والنسخ الاحتياطية، وكذلك من في فريقك يمكنه رؤية ماذا.

بالنسبة لعيادة صغيرة أو شركة مرتبطة بالرعاية الصحية، غالبًا لا تكون المخاطرة مجرد حدث إلكتروني كبير فحسب. فقد تكون أيضًا أخطاء بسيطة، مثل إرسال معلومات إلى شخص غير صحيح، أو استخدام كلمات مرور ضعيفة، أو ترك أجهزة قديمة دون تأمين، أو عدم تقييد الوصول للموظفين السابقين.

كما يهم HIPAA لأن العملاء والشركاء وشركات التأمين قد يتوقعون منك أن تُظهر أن الخصوصية أمر مهم لديك بجدية. يمكن لعادات الامتثال الجيدة أن تساعدك على البقاء منظّمًا، وتقليل الأخطاء التي يمكن تجنبها، وجعل من الأسهل الإجابة عن أسئلة الشركاء أو الجهات التنظيمية. قد تختلف المتطلبات حسب المجال والولاية، لذلك قد تختلف التزاماتك الدقيقة.

عادةً ما يبدأ الامتثال الجيد لـ HIPAA بمعرفة مكان وجود معلومات المرضى. يعني ذلك تحديد أجهزة الكمبيوتر والهواتف والبرامج وحسابات البريد الإلكتروني وأدوات السحابة وملفات الورق التي تستخدمها شركتك، وفهم من يمكنه الوصول إليها.

بعد ذلك تضيف ضمانات عملية حول تلك المعلومات. ومن الأمثلة الشائعة: كلمات مرور قوية، والمصادقة متعددة العوامل المعروفة باسم MFA، والتي تضيف خطوة ثانية عند تسجيل الدخول، وتشفير الأجهزة، والتحديثات المنتظمة للبرامج، والتحكم في وصول المستخدمين، ونسخ احتياطية آمنة، وإجراءات مكتوبة للحالات الشائعة.

تحتاج أيضًا إلى أشخاص وعملية، وليس التكنولوجيا فقط. يجب تدريب الموظفين على أساسيات الخصوصية، وينبغي أن تمتلك شركتك سياسات تتوافق مع طريقة عملك الفعلية، وأن تعرف ماذا تفعل إذا حدث خطأ. يمكن لمقدّم خدمات تقنية مُدارة جيد، وغالبًا ما يُسمى MSP، أن يساعد شركة صغيرة في إعداد هذه الأنظمة ودعمها، لكن قد تكون هناك أيضًا حاجة إلى استشارة قانونية واستشارية في مجال الامتثال.

إذا تحدثت مع MSP، فقد تسمع مصطلحات تبدو تقنية. تعني خدمات تقنية المعلومات المُدارة (Managed IT services) دعمًا مستمرًا لأجهزة الكمبيوتر والأجهزة والبرامج والأنظمة. وMSP هو شركة توفر هذا الدعم المستمر.

يساعد MFA، أو المصادقة متعددة العوامل، في حماية عمليات تسجيل الدخول عبر طلب ما يزيد عن كلمة المرور. تعني EDR اكتشاف نقاط النهاية والاستجابة (Endpoint detection and response). ونقطة النهاية هي جهاز مثل كمبيوتر محمول أو سطح مكتب أو هاتف، وEDR هو برنامج يساعد على اكتشاف النشاط المشبوه على تلك الأجهزة. تعني عملية الترقيع (Patching) تثبيت تحديثات تصلح الأخطاء أو مشكلات الأمان.

تعني RMM المراقبة والإدارة عن بُعد (remote monitoring and management). وهي برامج تستخدمها العديد من شركات MSP لمتابعة صحة الأجهزة وتطبيق التحديثات ودعم الأنظمة عن بُعد. اتفاقية مستوى الخدمة، أو SLA، هي الجزء من العقد الذي يوضح أزمنة الاستجابة وشروط الدعم. وvCIO، أو الرئيس التنفيذي للمعلومات الافتراضي (virtual Chief Information Officer)، هو مستشار خارجي يساعد في تخطيط تقنية المعلومات والميزانية.

بالنسبة إلى النسخ الاحتياطية، قد تسمع عبارة نسخ احتياطي 3-2-1 (3-2-1 backup). يعني ذلك الاحتفاظ بـ 3 نسخ من البيانات المهمة على نوعين مختلفين من وسائط التخزين، مع الاحتفاظ بنسخة واحدة خارج الموقع. وقد تسمع أيضًا مصطلحات امتثال أخرى. تشير PCI إلى قواعد قطاع بطاقات الدفع الخاصة بالشركات التي تتعامل مع مدفوعات البطاقات. وSOC 2 هو إطار إعداد تقارير تستخدمه بعض شركات البرمجيات لإظهار كيفية إدارة ضوابط الأمان. هذه ليست هي نفسها HIPAA، لكنها قد تظهر معًا أحيانًا بحسب طبيعة عملك.

الشركة الصغيرة التي تعمل على تحسين ممارسات HIPAA عادةً تراجع الجوانب التشغيلية والتقنية معًا. ليس الهدف شراء كل أداة متاحة في السوق. الهدف هو التأكد من أن إعدادك على أرض الواقع يتوافق مع مخاطرَك الفعلية وحجم فريقك وطريقة سير عملك.

إذا لم تكن متأكدًا من أين تبدأ، فقد يساعدك إعداد قائمة بسيطة بأجهزتك، والبرامج التي تستخدمها، ومزود البريد الإلكتروني، وتخزين الملفات، وطريقة النسخ الاحتياطي، وأدوار الموظفين، وأي موردين خارجيين يتعاملون مع معلومات المرضى. سيمنحك ذلك صورة أوضح قبل أن تتحدث مع مزود تقنية معلومات أو مستشار امتثال.

إذا كنت تريد مساعدة لفهم خياراتك، يمكن أن يساعدك NodeBridge IT في العثور على مزود تقنية معلومات مُدار مستقل. نحن لسنا شركة تقنية معلومات ولا نصل إلى أنظمتك. نحن نقدم إرشادًا تعليميًا ومطابقة مجانية بناءً على احتياجات عملك.

يمكنك أيضًا تصفح المزيد من الإجابات بلغة بسيطة، أو معرفة كيف يتم عادة تنظيم خدمات تقنية المعلومات services للشركات الصغيرة.