Regole di Business - HIPAA Compliance per Software Builder

> Nota legale/medica: Questa sezione ha finalità descrittive e informative. > Non costituisce diagnosi medica, parere legale né consulenza di compliance. > Consultare sempre un professionista abilitato (Privacy Officer, legale sanitario) prima di prendere decisioni operative. > Fonte normativa di riferimento: HIPAA 45 CFR Part 164 - Privacy Rule e Security Rule (2023).

Questo documento elenca le regole di business invarianti del dominio della compliance HIPAA dal punto di vista di chi costruisce software che tratta ePHI. Ogni regola descrive un vincolo del processo di compliance (controllo, audit, attestazione) - non un'istruzione clinica. Identificate con codice BR-NNN, technology-independent.

---

BR-001 - Controllo degli accessi obbligatorio su ogni risorsa ePHI

Codice: BR-001 Nome: Ogni sistema che tratta ePHI applica controllo degli accessi univoco Descrizione: Nel dominio HIPAA, l'accesso alle ePHI deve essere mediato da meccanismi tecnici che identificano univocamente l'utente e ne limitano i privilegi. Account condivisi o credenziali generiche per accedere alle PHI sono descritti come non conformi al processo di compliance. Motivazione: Garantire tracciabilità individuale e applicare il principio del minimo necessario. Priorità: CRITICA Attori: Privacy Officer, Operatore Sanitario, Sistema di Identity & Access Management Tracciabilità: 45 CFR § 164.312(a)(1); § 164.312(a)(2)(i) Identificazione Utente Univoca; glossary "Controllo degli Accessi".

---

BR-002 - Registrazione di audit a prova di manomissione

Codice: BR-002 Nome: Ogni accesso a un record PHI genera una voce di audit immutabile Descrizione: Il processo di compliance prevede che chi, quando, da quale dispositivo e con quale azione accede a un record PHI sia registrato in un audit log append-only. Le voci non devono essere alterabili a posteriori e vanno conservate secondo i programmi di conservazione applicabili. Motivazione: Consentire la ricostruzione degli eventi durante un audit OCR o un'indagine su incidente. Priorità: ALTA Attori: Auditor, Sistema di Audit Logging, Privacy Officer Tracciabilità: 45 CFR § 164.312(b) Controlli di Audit; glossary "Controlli di Audit".

---

BR-003 - Crittografia delle ePHI a riposo e in transito

Codice: BR-003 Nome: Le ePHI sono cifrate a riposo e in transito secondo standard industriali Descrizione: Il dominio HIPAA tratta la crittografia come specifica indirizzabile: descrittivamente, AES-256 a riposo e TLS 1.2+ in transito sono considerati ragionevoli e appropriati nei sistemi moderni. Una trasmissione di PHI in chiaro su rete pubblica è descritta come incidente segnalabile. Motivazione: Proteggere la riservatezza e l'integrità delle ePHI. Priorità: ALTA Attori: Sistema di Crittografia, Privacy Officer Tracciabilità: 45 CFR § 164.312(a)(2)(iv); § 164.312(e)(2)(ii); glossary "Dati a Riposo", "Dati in Transito".

---

BR-004 - Business Associate Agreement prima della condivisione PHI

Codice: BR-004 Nome: Nessuna PHI è condivisa con un terzo senza BAA firmato Descrizione: Nel processo di compliance, ogni fornitore terzo (cloud, analytics, fatturazione) con accesso a PHI deve avere un Business Associate Agreement firmato prima che i dati vengano condivisi. Il BAA stabilisce usi consentiti e obblighi di salvaguardia. Motivazione: Estendere contrattualmente gli obblighi HIPAA alla catena di subfornitura. Priorità: CRITICA Attori: Privacy Officer, Business Associate, Ufficio Legale Tracciabilità: 45 CFR § 164.504(e); § 160.103; glossary "BAA".

---

BR-005 - Notifica di violazione entro i termini prescritti

Codice: BR-005 Nome: Una violazione PHI confermata attiva il workflow di notifica Descrizione: Il dominio prevede che una violazione (uso/divulgazione non consentiti che compromettono la sicurezza/privacy delle PHI) attivi il Breach Notification Rule: notifica agli individui colpiti, all'HHS e, per violazioni di grandi dimensioni, ai media, entro i termini stabiliti. Motivazione: Garantire trasparenza e rispetto degli obblighi normativi post-incidente. Priorità: CRITICA Attori: Privacy Officer, Incident Response Team, HHS/OCR Tracciabilità: 45 CFR §§ 164.400–414 Breach Notification Rule; glossary "Violazione dei Dati".

---

BR-006 - Analisi e gestione del rischio documentate

Codice: BR-006 Nome: L'organizzazione mantiene un'analisi del rischio ePHI accurata e aggiornata Descrizione: Il processo di compliance richiede di identificare tutte le ePHI, valutare minacce e vulnerabilità, stimare probabilità e impatto, e documentare le misure di mitigazione (gestione del rischio). L'analisi deve essere completa, accurata e periodicamente rivista. Motivazione: Fondare le misure di sicurezza su una valutazione formale e tracciabile. Priorità: ALTA Attori: Privacy Officer, Risk Analyst Tracciabilità: 45 CFR § 164.308(a)(1)(ii)(A) Analisi del Rischio; § 164.308(a)(1)(ii)(B) Gestione del Rischio.

---

BR-007 - Principio del minimo necessario

Codice: BR-007 Nome: Le richieste e divulgazioni di PHI sono limitate al minimo necessario Descrizione: Nel dominio HIPAA, gli accessi e le divulgazioni di PHI devono essere limitati alle informazioni minime necessarie allo scopo autorizzato. In pratica si descrive l'uso di RBAC con permessi più ristretti ed evitando esportazioni bulk senza giustificazione. Motivazione: Ridurre la superficie di esposizione delle PHI. Priorità: ALTA Attori: Privacy Officer, Operatore Sanitario, Sistema RBAC Tracciabilità: 45 CFR § 164.514(d); § 164.502(b); glossary "Minimo Necessario", "RBAC".

---

BR-008 - Responsabilità assegnata per la sicurezza

Codice: BR-008 Nome: Esiste un responsabile identificato della sicurezza ePHI Descrizione: Il processo di compliance prevede l'identificazione formale di una figura (Security Officer/Privacy Officer) responsabile dello sviluppo e dell'implementazione delle politiche di sicurezza, con autorità e risorse adeguate. Motivazione: Garantire accountability del programma di compliance. Priorità: MEDIA Attori: Privacy Officer, Direzione Tracciabilità: 45 CFR § 164.308(a)(2) Responsabilità Assegnata; § 164.308(a)(5) Formazione del Personale.