Los cambios propuestos por HIPAA abordarán las vulnerabilidades de seguridad de la atención médica

El Departamento de Salud y Servicios Humanos de EE. UU. está planeando una importante revisión de las regulaciones de seguridad de la Ley de Responsabilidad y Portabilidad del Seguro Médico para fortalecer los requisitos básicos de ciberseguridad para proteger la información médica protegida (PHI) electrónica. El Cambios sugeridosque se publica en Registro Federal el 6 de enero requeriría que las organizaciones de atención médica y otras entidades cubiertas implementen controles de seguridad como autenticación multifactor y requisitos de cifrado mejorados.

La propuesta describe los cambios más completos a HIPAA hasta la fecha. La norma de seguridad se revisó por última vez en 2013. Panorama de amenazas es diferente hoy que hace más de una década, y las infracciones contra las organizaciones de atención médica aumentaron un 102% entre 2018 y 2023, dijo la Oficina de Derechos Civiles del HHS en un opinión. En 2023, más de 167 millones de personas vieron comprometidos sus datos de salud, un aumento del 1002 % con respecto a 2018.

Cambios propuestos a HIPAA

Los cambios se aplican a planes de salud, cámaras de compensación de atención médica, proveedores de atención médica, instalaciones de atención médica, compañías de seguros y socios comerciales.

Todo por escrito: Todas las políticas, procedimientos, planes y análisis deben constar por escrito. Esto también se aplica al desarrollo de procedimientos de respuesta a incidentes más rigurosos, como: Planes de respuesta a incidentes y planes de prueba y procedimientos escritos para restaurar los sistemas de información y los datos en un plazo de 72 horas.

Inventario de planta: Las organizaciones de atención médica deben desarrollar y mantener periódicamente un inventario de activos tecnológicos y un mapa de red actualizados para rastrear el movimiento de información de salud protegida (PHI) a través de varios sistemas.

Análisis de riesgos: Las organizaciones sanitarias no son particularmente buenas analizando riesgos de seguridad. Los cambios propuestos incluyen más detalles sobre cómo realizar análisis de riesgos de seguridad, tales como: B. Evaluaciones escritas que incluyan una revisión del inventario de activos tecnológicos y el mapa de la red, identifiquen todas las amenazas potenciales a la PHI y evalúen el nivel de riesgo para cada amenaza y vulnerabilidad.

Implementar controles de seguridad: Las organizaciones de atención médica deben aprovechar la autenticación multifactor y la segmentación de la red para dificultar que los sistemas de atención médica se vean comprometidos o se vulneren los datos. Toda la PHI debe cifrarse tanto en reposo como en tránsito, lo que refleja el consenso de que el cifrado ya no es opcional. Para los sistemas que procesan PHI, los equipos de seguridad deben buscar vulnerabilidades cada seis meses, realizar pruebas de penetración al menos una vez al año, implementar protecciones antimalware y eliminar software innecesario de los sistemas. Estos requisitos muestran cómo evolucionan desde actividades recomendadas hasta una base de seguridad mínima que toda organización debe cumplir.

Las empresas deben realizar una auditoría de cumplimiento al menos cada 12 meses para garantizar que estos controles técnicos estén implementados y demostrar mediante certificación escrita que se han implementado medidas de seguridad al menos cada 12 meses.

Anne Neuberger, asesora adjunta de seguridad nacional para tecnologías cibernéticas y emergentes, dijo durante una Rueda de prensa el 27 de diciembre que los cambios en las reglas de seguridad costarán alrededor de $9 mil millones en el primer año y $6 mil millones en los años dos al cinco. «Los costos de no actuar no sólo son altos, sino que también ponen en peligro la infraestructura crítica y la seguridad de los pacientes y tienen otras consecuencias perjudiciales», afirmó Neuberger.

Las partes interesadas tienen 60 días para enviar comentarios después de la publicación de la propuesta de casi 400 páginas (principios de marzo de 2025). El HHS emitirá la versión final de la norma más adelante, aunque no se ha fijado una fecha específica, seguida de una fecha de cumplimiento de 180 días. Tampoco está claro si el trabajo sobre los cambios en las reglas de seguridad continuará bajo la nueva administración presidencial. Sin embargo, las organizaciones de atención médica deben revisar los requisitos propuestos y evaluar sus programas de seguridad existentes para prepararse para posibles cambios.