米国保健福祉省の公民権局は今週、HIPAAセキュリティルールのいくつかの潜在的な違反について、フロリダ州のベイケアヘルスシステムとの和解に達したことを発表しました。
なぜそれが重要なのか
この和解は、80万ドルで、Baycareでの患者の電子保護された健康情報（EPHIへの容認できないアクセスの疑いに対するOCRの調査）を解決します。
OCRは、2018年10月に最初に苦情を受けたと言います。その後、彼女が印刷された医療記録の写真を持っていた未知の個人から連絡を受けたと主張して、医療制度でケアを受けた人と言います。 [and] 誰かがコンピューター画面で彼女の医療記録をスクロールしているビデオ。」
OCRの調査では、申立人の医療記録にアクセスするために使用されていた資格が、Baycareの電子医療記録にアクセスできる別の医師の診療の以前の非臨床スタッフに属していることがわかりました。
調査官によると、Baycareは、HIPAAプライバシールールの該当する要件と一致するEPHIへのアクセスを承認するためのポリシーと手順を実装しなかったなど、複数のHIPAAセキュリティルール要件に違反する可能性があります。
さらに、OCRは、ヘルスシステムがEPHIのリスクと脆弱性を合理的かつ適切なレベルに減らし、情報システムの活動の記録を定期的に確認できなかったと述べています。
和解の条件の下で、BaycareはOCRを800,000ドルに支払って実装することに同意しました 是正措置計画 2年間監視すること。
OCRによると、その計画では、プロバイダーは「正確かつ徹底的なリスク分析を実施するための潜在的なリスクと脆弱性を決定する」ことを任されます。
また、リスク管理計画を実装し、HIPAAルールを順守し、HIPAAのポリシーと手順でEPHIにアクセスできるスタッフを訓練するために、書面によるポリシーと手順を修正する必要があります。
より大きな傾向
大統領政権全体で、HHS公民権局は近年、HIPAAプライバシールールとHIPAAセキュリティルールの両方を含む調査を調査および解決するために忙しくなっています。 アクセス権、 ランサムウェア攻撃、 悪意のあるインサイダー または患者のEPHIに対するその他の脅威。
セキュリティルールは更新用に設定されています （2013年以来の最初）、この1月、バイデン政権の最終日の間に、提案されたルール作成の通知があり、新しい提案と明確化を含む。 「必要」と「アドレス可能な」仕様の区別を削除します、限られた例外を除いて、それらのすべてを必須にします。
しかし、その前に、OCRは、プロバイダー、ヘルスプラン、ヘルスケアクリアリングハウスなど、HIPAA対象のエンティティと、患者のEPHIを保護するための措置を講じるための措置を講じるための措置を講じるために一貫して呼びかけてきました。
また、リスク分析とリスク管理を組織のビジネスプロセスに統合することの重要性を強調しています。情報システムの活動を記録および調査するために監査管理が整っていることを確認します。情報システムのアクティビティの定期的なレビューを実装し、輸送中および安静時にEPHIを暗号化して、他のリスク軽減の基本の中でも、不正アクセスを防ぎます。
レコード
「ハッキングとランサムウェアの攻撃の時代において、HIPAA規制エンティティは、患者の健康情報に制限のないアクセスを可能にするOCRの代理ディレクターであるAnthony Archevalは、患者の健康情報を魅力的なターゲットに作成できるようにするために、HAPTAINGの規制されたエンティティが依然として、電子医療記録にアクセスできる他のユーザーが健康情報にのみアクセスできるようにする必要があります。
Mike Miliardは、Healthcare IT Newsのエグゼクティブエディターです
ライターにメールしてください： [email protected]
ヘルスケアITニュースはHIMSSの出版物です。