Что такое HIPAA compliance для малого бизнеса?

HIPAA — это Закон о переносимости и подотчетности медицинского страхования (Health Insurance Portability and Accountability Act). Для малого бизнеса соблюдение HIPAA означает внедрение разумных мер защиты для охраны защищенной медицинской информации, часто называемой PHI (protected health information), а также соблюдение правил того, как эта информация используется, передается, хранится и к ней осуществляется доступ.

Не каждому малому бизнесу нужно соблюдать HIPAA. Как правило, это относится к организациям здравоохранения, страховым планам, организациям, которые выступают «медицинскими клиринговыми организациями», и многим внешним поставщикам, которые обрабатывают PHI для них. Такие внешние поставщики часто называют business associates (деловые партнеры).

Простыми словами: соответствие HIPAA — это не один продукт, который вы покупаете, и не разовая «контрольная таблица». Это постоянный способ ведения бизнеса, при котором информация о пациентах обрабатывается аккуратно, документируется понятно и защищается по мере того, как меняются ваши системы и сотрудники.

Если ваш бизнес собирает, хранит, отправляет или просматривает медицинскую информацию пациентов, HIPAA может влиять на вашу ежедневную работу. Это касается вещей вроде электронной почты, систем записи/расписания, инструментов для выставления счетов, обмена файлами, ноутбуков, телефонов, резервных копий и того, кто в вашей команде может видеть что.

Для небольшой клиники или бизнеса, связанного со здравоохранением, риск часто заключается не только в крупном киберинциденте. Он может также быть связан с простыми ошибками, например: отправкой информации не тому человеку, использованием слабых паролей, оставлением старых устройств без защиты или отсутствием ограничения доступа для бывших сотрудников.

HIPAA также важно потому, что клиенты, партнеры и страховщики могут ожидать, что вы относитесь к вопросам конфиденциальности серьезно. Хорошие привычки в комплаенсе помогают оставаться организованными, снижать предотвратимые ошибки и облегчают ответы на вопросы партнеров или регуляторов. Требования могут различаться в зависимости от отрасли и штата, поэтому ваши конкретные обязательства могут быть другими.

Хорошее соблюдение HIPAA обычно начинается с понимания того, где именно находится медицинская информация пациентов. Это означает определить компьютеры, телефоны, программное обеспечение, учетные записи электронной почты, облачные инструменты и бумажные файлы, которые использует ваш бизнес, а также понимать, кто может к ним получить доступ.

Затем вокруг этой информации нужно установить практичные меры защиты. Частые примеры включают надежные пароли, многофакторную аутентификацию (MFA), которая добавляет второй шаг при входе, шифрование устройств, регулярные обновления ПО, контролируемый доступ пользователей, защищенные резервные копии и письменные процедуры для типовых ситуаций.

Также нужны люди и процесс, а не только технологии. Персонал должен быть обучен базовым принципам конфиденциальности, у бизнеса должны быть политики, соответствующие тому, как вы реально работаете, и вы должны знать, что делать, если что-то пошло не так. Хороший провайдер управляемых IT-услуг, часто называемый MSP, может помочь малому бизнесу настроить и поддерживать эти системы, но также может понадобиться юридическая и консультация по вопросам соответствия требованиям.

Если вы общаетесь с MSP, вам могут встретиться термины, звучащие технически. Managed IT services (управляемые IT-услуги) означает постоянную поддержку ваших компьютеров, устройств, программного обеспечения и систем. MSP — это компания, которая предоставляет такую постоянную поддержку.

MFA, то есть multi-factor authentication (многофакторная аутентификация), помогает защитить входы, требуя больше, чем просто пароль. EDR означает endpoint detection and response (выявление и реагирование на угрозы на конечных устройствах). Endpoint (конечное устройство) — это устройство вроде ноутбука, настольного компьютера или телефона, а EDR — это ПО, которое помогает обнаруживать подозрительную активность на этих устройствах. Патчинг (patching) означает установку обновлений, которые исправляют ошибки или проблемы безопасности.

RMM означает remote monitoring and management (удаленный мониторинг и управление). Это программное обеспечение, которое многие MSP используют, чтобы следить за работоспособностью устройств, устанавливать обновления и поддерживать системы удаленно. Service level agreement, или SLA, — это часть договора, которая объясняет сроки реагирования и условия поддержки. vCIO, или virtual Chief Information Officer (виртуальный директор по информационным технологиям), — это внешний консультант, который помогает с планированием IT и бюджетированием.

Для резервных копий вы можете услышать фразу 3-2-1 backup. Это означает хранить 3 копии важных данных на 2 разных типах носителей, при этом 1 копию держать вне офиса (offsite). Также могут встречаться другие термины по требованиям соответствия. PCI относится к правилам индустрии платежных карт для компаний, которые обрабатывают платежи картами. SOC 2 — это структура отчетности, которую некоторые поставщики ПО используют, чтобы показать, как они управляют средствами контроля безопасности. Это отличается от HIPAA, но иногда может обсуждаться вместе — в зависимости от того, как устроен ваш бизнес.

Малый бизнес, который движется к более сильным практикам HIPAA, обычно пересматривает и операции, и технологии. Цель — не покупать все инструменты на рынке. Цель — убедиться, что ваша реальная схема соответствует вашим фактическим рискам, размеру персонала и рабочему процессу.

Если вы не уверены, с чего начать, полезно составить простой список ваших устройств, программного обеспечения, провайдера электронной почты, способа хранения файлов, методов резервного копирования, ролей сотрудников и любых внешних поставщиков, которые взаимодействуют с медицинской информацией пациентов. Это дает более ясную картину, прежде чем вы будете обсуждать вопросы с IT-провайдером или консультантом по комплаенсу.

Если вам нужна помощь в понимании ваших вариантов, NodeBridge IT может помочь вам найти независимого провайдера управляемых IT-услуг. Мы не являемся IT-компанией и не получаем доступ к вашим системам. Мы предоставляем обучающие рекомендации и бесплатный подбор на основе потребностей вашего бизнеса.

Вы также можете просмотреть больше простых по формулировке ответов или узнать, как обычно устроены managed IT услуги для малых бизнесов.