Implementando Salvaguardas da Regra de Segurança da HIPAA

Quando Usar

• Quando uma organização é uma entidade coberta (plano de saúde, câmara de compensação ou provedor que transmite transações eletrônicas) ou um associado de negócios que lida com ePHI em seu nome.
• Ao estabelecer ou aprimorar controles para proteger informações de saúde protegidas eletronicamente.
• Ao realizar a Análise de Risco de Segurança da HIPAA obrigatória (§164.308(a)(1)(ii)(A)) — a lacuna mais citada na fiscalização do OCR.
• Ao se preparar para uma auditoria/investigação do OCR ou responder a uma suspeita de vazamento.
• Ao redigir, revisar ou remediar um Acordo de Associado de Negócios (BAA).
• Ao mapear controles de segurança existentes para os padrões de salvaguarda da HIPAA e especificações de implementação.

Nota de escopo: esta habilidade abrange a Regra de Segurança (ePHI). A Regra de Privacidade (usos/divulgações de toda a PHI) e a Regra de Notificação de Vazamentos são relacionadas, mas distintas; esta habilidade aborda a prontidão para vazamentos e BAAs onde eles se intersectam com a segurança.

Pré-requisitos

• Uma determinação clara do papel da organização (entidade coberta vs. associado de negócios) e onde a ePHI reside, flui e é armazenada (um mapa de dados de ePHI).
• Um inventário de ativos de sistemas que criam, recebem, mantêm ou transmitem ePHI.
• Conhecimento da estrutura da regra atual (45 CFR §§164.302–318) e da distinção entre obrigatório vs. endereçável.
• Consciência de que um NPRM de 2025 propõe mudanças significativas (veja a etapa 7 do fluxo de trabalho e references/standards.md) — acompanhe, mas não as assuma como em vigor.

Fluxo de Trabalho

1. Realizar a Análise de Risco de Segurança (§164.308(a)(1)(ii)(A))

Isso é obrigatório e fundamental. Inventarie a ePHI e os sistemas, identifique ameaças e vulnerabilidades, avalie os controles atuais, determine a probabilidade e o impacto, e atribua níveis de risco. (Combine com a metodologia NIST 800-30 e a Ferramenta SRA do HHS.) O resultado é uma análise de risco documentada e datada — o artefato que o OCR solicita primeiro.

2. Implementar Salvaguardas Administrativas (§164.308)

A maior seção. Inclui o Processo de Gerenciamento de Segurança (análise de risco, gerenciamento de risco, política de sanção, revisão de atividade do sistema de informação), responsabilidade de segurança atribuída (um Oficial de Segurança nomeado), segurança da força de trabalho, gerenciamento de acesso à informação, conscientização e treinamento em segurança, procedimentos de incidentes de segurança, planejamento de contingência (backup de dados, recuperação de desastres, operação em modo de emergência), avaliação e BAAs com associados de negócios.

3. Implementar Salvaguardas Físicas (§164.310)

Controles de acesso a instalações, uso de estação de trabalho e segurança de estação de trabalho, e controles de dispositivos e mídias (descarte, reutilização de mídia, responsabilidade, backup e armazenamento de dados).

4. Implementar Salvaguardas Técnicas (§164.312)

Controle de acesso (ID de usuário exclusivo, acesso de emergência, logoff automático, criptografia/descriptografia), controles de auditoria, integridade (mecanismos para autenticar ePHI), autenticação de pessoa/entidade e segurança de transmissão (controles de integridade + criptografia).

5. Resolver especificações "Obrigatório" vs. "Endereçável"

Sob a regra atual, cada especificação de implementação é Obrigatória (deve implementar) ou Endereçável (avaliar se é razoável e apropriado; se for, implementar, se não, documentar o porquê e implementar uma alternativa equivalente). Endereçável não significa opcional — significa tomar e documentar uma decisão baseada em risco.

6. Executar Acordos de Associado de Negócios (§164.314 / §164.308(b))

Todo associado de negócios que lida com ePHI precisa de um BAA que o vincule a salvaguardar a ePHI, relatar incidentes e repassar requisitos a subcontratados. Mantenha o inventário de BAAs.

7. Acompanhar as mudanças propostas no NPRM de 2025 (AINDA NÃO finais)

O HHS OCR publicou um NPRM (6 de janeiro de 2025) propondo remover a distinção obrigatório/endereçável (tornar quase todas as especificações obrigatórias), e para exigir MFA, criptografia de ePHI em repouso e em trânsito, inventário de ativos e mapas de rede, scans de vulnerabilidade a cada 6 meses, testes de penetração anuais, restauração em 72 horas de certos sistemas/dados, e atualizações anuais de análise de risco. Estas são propostas — a regra atual permanece em vigor até que uma regra final seja publicada e efetiva. Planeje em direção a elas, mas cumpra o que é atual.

8. Preparar a prontidão para notificação de vazamentos (45 CFR §§164.400–414)

…