> Disclaimer: Questo contenuto è destinato esclusivamente a scopi educativi e di riferimento per i costruttori di software. Non costituisce consulenza medica, legale, finanziaria o normativa. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.
Controllo degli Accessi
Il controllo degli accessi è il meccanismo che limita quali utenti, processi e sistemi possono leggere, scrivere o eseguire dati e operazioni. Secondo la HIPAA Security Rule, le entità coperte devono implementare politiche e procedure tecniche per le ePHI in modo che solo le persone o i programmi software autorizzati ricevano l'accesso. Un controllo degli accessi efficace combina autenticazione, autorizzazione e registrazione degli audit. (45 CFR § 164.312(a)(1), HIPAA Security Rule)
Specifiche di Implementazione Indirizzabili
Una specifica di implementazione indirizzabile nella HIPAA è quella che un'entità coperta deve implementare se, dopo aver valutato il proprio ambiente, la specifica rappresenta una misura di sicurezza ragionevole e appropriata. In caso contrario, l'ente deve documentare le proprie motivazioni e implementare un'alternativa equivalente. Questo si contrappone alle specifiche "obbligatorie" che devono essere sempre implementate. (45 CFR § 164.306(d)(3), HIPAA Security Rule)
Misure di Protezione Amministrative
Le misure di protezione amministrative sono le politiche, le procedure e le azioni di gestione per gestire la selezione, lo sviluppo, l'implementazione e la manutenzione delle misure di sicurezza che proteggono le ePHI. Includono il processo di gestione della sicurezza, la formazione del personale, la pianificazione della continuità e la valutazione. (45 CFR § 164.308, HIPAA Security Rule)
Controlli di Audit
I controlli di audit sono meccanismi hardware, software e procedurali che registrano ed esaminano l'attività nei sistemi informativi che contengono o utilizzano ePHI. Un costruttore deve acquisire chi ha acceduto a quale registro PHI, quando, da quale IP o dispositivo e quale azione è stata eseguita. I log di audit devono essere a prova di manomissione e conservati in conformità con i programmi di conservazione a livello statale e dell'ente. (45 CFR § 164.312(b), HIPAA Security Rule)
Autenticazione
L'autenticazione è la verifica dell'identità di una persona o entità che cerca di accedere alle ePHI. La HIPAA richiede alle entità coperte di implementare procedure per verificare che una persona o entità che cerca di accedere alle ePHI sia chi dichiara di essere. I modelli comuni includono password-più-MFA, autenticazione basata su certificati e metodi biometrici. (45 CFR § 164.312(d), HIPAA Security Rule)
Autorizzazione
L'autorizzazione determina cosa un utente autenticato è autorizzato a fare con specifici record PHI. I sistemi devono applicare il principio del minimo necessario: gli utenti dovrebbero accedere solo al PHI minimo necessario per portare a termine il loro compito autorizzato. RBAC (Role-Based Access Control) è il modello di implementazione standard. (45 CFR § 164.514(d), HIPAA Privacy Rule)
BAA (Accordo con i Business Associate)
Un Business Associate Agreement è un contratto tra un'entità coperta e un business associate che stabilisce gli usi e le divulgazioni consentiti di PHI da parte del business associate e richiede al business associate di salvaguardare adeguatamente le informazioni. Qualsiasi fornitore terzo con accesso alle PHI deve avere un BAA firmato prima che i dati PHI vengano condivisi. (45 CFR § 164.504(e), HIPAA Privacy Rule)
Violazione dei Dati
Una violazione è un uso o una divulgazione non consentiti di PHI che ne compromette la sicurezza o la privacy. Le violazioni attivano il HIPAA Breach Notification Rule, che richiede alle entità coperte di notificare gli individui colpiti, l'HHS e, per le violazioni di grandi dimensioni, i media. I costruttori devono implementare pipeline di rilevamento delle violazioni per identificare e segnalare gli incidenti entro i tempi stabiliti. (45 CFR §§ 164.400–414, HIPAA Breach Notification Rule)
CCPA (California Consumer Privacy Act)
Il CCPA garantisce ai residenti in California diritti sulle proprie informazioni personali. Per i costruttori di software sanitario che operano in California, HIPAA e CCPA possono applicarsi contemporaneamente. Il diritto alla cancellazione del CCPA e il diritto di rinunciare alla vendita possono entrare in conflitto con i requisiti di conservazione HIPAA; generalmente prevale l'obbligo più restrittivo.
Business Associate
Un business associate è una persona o entità che, per conto di un'entità coperta, crea, riceve, mantiene o trasmette PHI per eseguire una funzione o attività. Fornitori di cloud storage, piattaforme di analisi, servizi di fatturazione e fornitori di software con accesso PHI sono business associate comuni. Ognuno deve eseguire un BAA e conformarsi alla HIPAA Security Rule. (45 CFR § 160.103, definizioni HIPAA)
Entità Coperta
Un'entità coperta ai sensi dell'HIPAA è un piano sanitario, una stanza di compensazione sanitaria o un fornitore di assistenza sanitaria che trasmette informazioni sanitarie elettronicamente per transazioni standard. I costruttori di software devono determinare se il loro cliente è un'entità coperta e progettare i sistemi di conseguenza. (45 CFR § 160.103, definizioni HIPAA)
Dati a Riposo
I dati a riposo si riferiscono alle ePHI memorizzate su disco, in database, su supporti rimovibili o in backup. La HIPAA richiede la crittografia dei dati a riposo come specifica indirizzabile; in pratica, AES-256 è lo standard industriale ed è considerato ragionevole e appropriato per tutti i sistemi moderni. (45 CFR § 164.312(a)(2)(iv), HIPAA Security Rule)
Dati in Transito
I dati in transito sono ePHI trasmesse su una rete. La HIPAA richiede la crittografia delle ePHI in transito come specifica indirizzabile. TLS 1.2 o superiore è il minimo attuale; TLS 1.3 è raccomandato. Qualsiasi trasmissione di PHI su reti pubbliche senza crittografia è una violazione segnalabile. (45 CFR § 164.312(e)(2)(ii), HIPAA Security Rule)
Set di Registrazioni Designato
Un set di registrazioni designato è il gruppo di registrazioni mantenute da o per un'entità coperta che include cartelle cliniche, registrazioni di fatturazione e altre registrazioni utilizzate per prendere decisioni sugli individui. I pazienti hanno il diritto HIPAA di accedere e richiedere emendamenti al proprio set di registrazioni designato. (45 CFR § 164.501, HIPAA Privacy Rule)
De-identificazione
La de-identificazione è il processo di rimozione o generalizzazione delle PHI in modo che il set di dati risultante non possa più ragionevolmente identificare un individuo. La HIPAA fornisce due metodi di approdo sicuro: il metodo Expert Determination e il metodo Safe Harbor (rimozione di 18 identificatori specifici). I dati de-identificati non sono più soggetti alle restrizioni HIPAA. (45 CFR § 164.514(a)–(b), HIPAA Privacy Rule)
ePHI (Informazioni Sanitarie Protette in Forma Elettronica)
Le ePHI sono qualsiasi PHI creata, ricevuta, mantenuta o trasmessa in forma elettronica. La HIPAA Security Rule si applica esclusivamente alle ePHI. I costruttori devono identificare tutti i flussi di dati ePHI nel loro sistema e applicare appropriate misure di protezione amministrative, fisiche e tecniche a ciascuno.
Crittografia
La crittografia trasforma i dati in un formato illeggibile utilizzando chiavi crittografiche, garantendo che solo le parti autorizzate con la chiave di decrittazione corretta possano leggere i dati. Per le ePHI a riposo, AES-256 è lo standard. Per le ePHI in transito, è richiesto TLS 1.2+. La HIPAA tratta la crittografia come una specifica indirizzabile ma la considera ragionevole e appropriata in praticamente tutti i contesti. (45 CFR § 164.312(a)(2)(iv), (e)(2)(ii))
Procedura di Accesso di Emergenza
Una procedura di accesso di emergenza è un protocollo che consente agli utenti autorizzati di accedere alle ePHI in circostanze di emergenza anche quando i normali controlli di accesso non possono essere completati. I sistemi devono implementare meccanismi di override di emergenza che siano essi stessi verificati e limitati nel tempo. (45 CFR § 164.312(a)(2)(ii), HIPAA Security Rule)
FHIR (Fast Healthcare Interoperability Resources)
FHIR è uno standard HL7 per lo scambio elettronico di informazioni sanitarie. Utilizza REST, JSON/XML e OAuth 2.0. Quando si costruiscono API FHIR, le PHI trasmesse tramite FHIR sono ePHI e soggette alla HIPAA. I token di accesso devono essere limitati ai dati minimi necessari del paziente.
HHS (Dipartimento della Salute e dei Servizi Umani)
L'HHS è il dipartimento federale statunitense che amministra l'applicazione della HIPAA attraverso il suo Office for Civil Rights (OCR). Le entità coperte e i business associate segnalano le violazioni all'HHS e sono soggetti agli audit OCR. L'HHS pubblica la guida ufficiale HIPAA su hhs.gov/hipaa.
HITECH Act
Il Health Information Technology for Economic and Clinical Health (HITECH) Act del 2009 ha rafforzato le disposizioni di applicazione della HIPAA, ha introdotto il Breach Notification Rule e ha esteso gli obblighi HIPAA direttamente ai business associate. Ha anche aumentato significativamente le sanzioni civili e penali per la non conformità.
Controlli di Integrità
I controlli di integrità sono misure di sicurezza che verificano che le ePHI non siano state alterate o distrutte in modo non autorizzato. Le tecniche di implementazione includono checksum, verifica hash, firme digitali e controllo delle versioni. (45 CFR § 164.312(c)(1), HIPAA Security Rule)
Minimo Necessario
Il principio del minimo necessario richiede che le entità coperte e i business associate limitino le richieste e le divulgazioni di PHI al minimo necessario per raggiungere lo scopo previsto. In pratica ciò significa implementare RBAC con i permessi più ristretti e evitare le esportazioni bulk di PHI senza giustificazione clinica. (45 CFR § 164.514(d), HIPAA Privacy Rule)
MFA (Autenticazione Multi-Fattore)
L'MFA richiede agli utenti di presentare due o più fattori di verifica prima di accedere ai sistemi ePHI. È un'implementazione best-practice dei requisiti di autenticazione HIPAA ed è sempre più richiesta dai sottoscrittori di cyber-insurance. I secondi fattori comuni includono codici TOTP, notifiche push e chiavi di sicurezza hardware.
NPP (Informativa sulla Privacy)
L'NPP è un documento che le entità coperte devono fornire ai pazienti descrivendo come le PHI vengono utilizzate, divulgate e protette. I costruttori di applicazioni rivolte ai pazienti devono implementare un workflow di visualizzazione NPP e di conferma elettronica.
OCR (Ufficio per i Diritti Civili)
L'OCR è la divisione HHS che applica le HIPAA Privacy e Security Rules, indaga sui reclami e conduce audit. L'OCR pubblica accordi di risoluzione e piani di azione correttiva che forniscono una guida concreta all'implementazione per i costruttori di software.
PHI (Informazioni Sanitarie Protette)
Le PHI sono informazioni sanitarie individualmente identificabili create, ricevute, mantenute o trasmesse da un'entità coperta o da un business associate. Le PHI includono 18 categorie di identificatori: nomi, dati geografici, date, numeri di telefono, indirizzi e-mail, numeri di previdenza sociale, numeri di cartella clinica, numeri di beneficiario del piano sanitario, numeri di conto, numeri di certificato/licenza, identificatori di veicoli e numeri di serie incluse le targhe, identificatori di dispositivo e numeri di serie, URL web, indirizzi IP, identificatori biometrici incluse impronte digitali e vocali, fotografie del viso intero e immagini comparabili, e qualsiasi altro numero, caratteristica o codice identificativo univoco. (45 CFR § 164.514(b)(2)(i), HIPAA Privacy Rule)
Misure di Protezione Fisiche
Le misure di protezione fisiche ai sensi della HIPAA sono misure per proteggere i sistemi di informazione elettronica delle entità coperte e le strutture in cui sono ospitati da rischi naturali e ambientali e da intrusioni non autorizzate. Per i sistemi ospitati nel cloud, la sicurezza fisica del fornitore cloud soddisfa in genere questo requisito, ma i costruttori devono verificarlo e documentarlo in un BAA. (45 CFR § 164.310, HIPAA Security Rule)
Privacy Rule
La HIPAA Privacy Rule stabilisce standard nazionali per la protezione delle informazioni sanitarie, definendo i diritti dei pazienti sulle proprie PHI e le condizioni in cui le PHI possono essere utilizzate o divulgate. Si applica a tutte le forme di PHI (carta, orale ed elettronica). (45 CFR Parts 160 e 164 Subparts A ed E)
Politica di Conservazione dei Dati
Una politica di conservazione dei dati definisce per quanto tempo le ePHI devono essere conservate e quando possono essere distrutte. La HIPAA richiede alle entità coperte di conservare la documentazione delle politiche di conformità HIPAA per sei anni dalla creazione o dall'ultima data di validità. Le cartelle cliniche sono soggette a requisiti separati fissati dalla legge statale, tipicamente da 5 a 10 anni.
RBAC (Controllo degli Accessi Basato sui Ruoli)
L'RBAC è un meccanismo di controllo degli accessi neutro rispetto alle politiche definito attorno ai ruoli, non ai singoli utenti. I ruoli aggregano i permessi e agli utenti vengono assegnati uno o più ruoli. Nei contesti HIPAA, i ruoli corrispondono a funzioni cliniche (medico, infermiere, addetto alla fatturazione) con ogni ruolo che ha i permessi PHI minimi necessari per quella funzione.
Analisi del Rischio
Un'analisi del rischio è una misura di protezione amministrativa HIPAA obbligatoria in cui un'entità coperta identifica tutte le ePHI, valuta le minacce e le vulnerabilità, determina la probabilità e l'impatto di ogni rischio e documenta i risultati. Deve essere completa, accurata e approfondita. (45 CFR § 164.308(a)(1)(ii)(A), HIPAA Security Rule)
Gestione del Rischio
La gestione del rischio è il processo obbligatorio di implementazione di misure di sicurezza per ridurre i rischi identificati alle ePHI a un livello ragionevole e appropriato, documentando le misure selezionate. Deriva dall'analisi del rischio e rappresenta il secondo elemento fondamentale del processo di gestione della sicurezza HIPAA. (45 CFR § 164.308(a)(1)(ii)(B), HIPAA Security Rule)
Incidente di Sicurezza
Un incidente di sicurezza è qualsiasi tentativo o accesso non autorizzato riuscito, utilizzo, divulgazione, modifica o distruzione delle ePHI o interferenza con le operazioni di sistema che contengono ePHI. Le entità coperte devono implementare procedure per identificare, rispondere, mitigare e documentare gli incidenti di sicurezza. (45 CFR § 164.308(a)(6), HIPAA Security Rule)
Specifiche di Implementazione Obbligatorie
Una specifica di implementazione obbligatoria nella HIPAA è quella che deve essere sempre implementata senza flessibilità. Le entità coperte non possono sostituire una misura alternativa. Esempi includono l'identificazione utente univoca e le procedure di accesso di emergenza. (45 CFR § 164.306(d)(2), HIPAA Security Rule)
Regola di Sicurezza
La HIPAA Security Rule stabilisce standard nazionali per proteggere le ePHI richiedendo alle entità coperte di implementare misure di protezione amministrative, fisiche e tecniche. Si applica solo alle ePHI (non alle PHI cartacee o orali). (45 CFR Parts 160 e 164 Subparts A e C)
Misure di Protezione Tecniche
Le misure di protezione tecniche sono i processi automatizzati utilizzati per proteggere le ePHI e controllare l'accesso. Includono controlli di accesso, controlli di audit, controlli di integrità, meccanismi di autenticazione e sicurezza della trasmissione. (45 CFR § 164.312, HIPAA Security Rule)
Identificazione Utente Univoca
L'identificazione utente univoca è una specifica di implementazione HIPAA obbligatoria che richiede l'assegnazione di un nome o numero univoco per identificare e tracciare l'identità dell'utente in tutti i sistemi contenenti ePHI. Credenziali condivise e account di servizio utilizzati per accedere alle PHI sono una violazione HIPAA. (45 CFR § 164.312(a)(2)(i), HIPAA Security Rule)
Utilizzo e Sicurezza della Postazione di Lavoro
La HIPAA richiede alle entità coperte di implementare politiche che specificano le funzioni appropriate da eseguire sulle postazioni di lavoro con accesso alle ePHI, le modalità di esecuzione di tali funzioni e le misure di protezione fisiche per le postazioni di lavoro. I costruttori devono implementare timeout dello schermo e disconnessione automatica per applicazioni web e desktop. (45 CFR § 164.310(b)–(c), HIPAA Security Rule)
Formazione del Personale
La formazione del personale è una misura di protezione amministrativa HIPAA obbligatoria che impone alle entità coperte di formare tutti i membri del personale sulle politiche e procedure HIPAA rilevanti per le loro funzioni lavorative. La formazione deve essere fornita all'assunzione e periodicamente ripetuta; la documentazione del completamento della formazione deve essere conservata come parte dei registri di conformità HIPAA. (45 CFR § 164.308(a)(5), HIPAA Security Rule)
Valutazione del Rischio
La valutazione del rischio è il processo per determinare la probabilità e l'impatto potenziale delle minacce alle ePHI in un'organizzazione. Come componente dell'analisi del rischio obbligatoria della HIPAA, una valutazione del rischio deve coprire tutte le ePHI, le minacce applicabili, i controlli esistenti e i livelli di rischio residui. (45 CFR § 164.308(a)(1)(ii)(A), HIPAA Security Rule)
Responsabilità Assegnata per la Sicurezza
La responsabilità assegnata per la sicurezza è una misura di protezione amministrativa HIPAA obbligatoria che richiede alle entità coperte di identificare un ufficiale responsabile dello sviluppo e dell'implementazione delle politiche e procedure di sicurezza. Questa persona è il punto di contatto per tutte le questioni di conformità HIPAA Security Rule e deve avere l'autorità e le risorse per gestire efficacemente il programma di sicurezza. (45 CFR § 164.308(a)(2), HIPAA Security Rule)
Processo di Gestione della Sicurezza
Il processo di gestione della sicurezza è la misura di protezione amministrativa fondamentale della HIPAA che richiede alle entità coperte di implementare politiche e procedure per prevenire, rilevare, contenere e correggere le violazioni della sicurezza che interessano le ePHI. Comprende analisi del rischio, gestione del rischio, politica sanzionatoria e revisione dell'attività del sistema informativo. (45 CFR § 164.308(a)(1), HIPAA Security Rule)
Piano di Contingenza
Il piano di contingenza è una misura di protezione amministrativa HIPAA obbligatoria che richiede alle entità coperte di stabilire e implementare piani e procedure per rispondere a un'emergenza o altro evento che danneggia i sistemi che contengono ePHI. I componenti obbligatori includono il piano di backup dei dati, il piano di disaster recovery, il piano di operazione in modalità di emergenza, le procedure di test e revisione e l'analisi della criticità di applicazioni e dati. (45 CFR § 164.308(a)(7), HIPAA Security Rule)
Sicurezza della Workstation
La sicurezza della workstation è una misura di protezione fisica della HIPAA che richiede alle entità coperte di implementare misure fisiche per proteggere le workstation che accedono alle ePHI da accessi non autorizzati. Include blocchi schermo, timeout di inattività, blocchi fisici per i dispositivi, politiche per i dispositivi rimovibili e procedure di clean desk. (45 CFR § 164.310(b)–(c), HIPAA Security Rule)
Controlli di Integrità delle Trasmissioni
I controlli di integrità delle trasmissioni sono meccanismi di sicurezza per verificare che le ePHI non siano state modificate in modo non autorizzato durante la trasmissione. Garantiscono sia l'autenticità che l'integrità dei dati trasmessi utilizzando tecniche come TLS con cipher suite moderni, firme digitali e checksum crittografici su ogni messaggio o payload di file. (45 CFR § 164.312(e)(2)(i), HIPAA Security Rule)
Politica di Gestione dei Dispositivi
Una politica di gestione dei dispositivi definisce le procedure per l'inventario, la configurazione sicura, il monitoraggio, la dismissione e la sanitizzazione di tutti i dispositivi hardware che accedono o memorizzano ePHI. Deve coprire laptop aziendali, dispositivi mobili, dispositivi medici connessi alla rete e supporti rimovibili. La sanitizzazione alla dismissione deve soddisfare lo standard NIST SP 800-88.
Zero Trust Architecture
Zero Trust è un modello di sicurezza in cui nessun utente, dispositivo o segmento di rete è considerato attendibile per impostazione predefinita, indipendentemente dalla posizione. Ogni richiesta di accesso deve essere autenticata, autorizzata e continuamente validata. Negli ambienti regolamentati dalla HIPAA, Zero Trust riduce il raggio di impatto delle credenziali compromesse garantendo che il movimento laterale richieda la ri-autenticazione a ogni confine dei dati PHI.