> Disclaimer: Questo contenuto è destinato esclusivamente a scopi educativi e di riferimento per i costruttori di software. Non costituisce consulenza medica, legale, finanziaria o normativa. Consultare un professionista qualificato prima di prendere decisioni basate su questo contenuto.
AES-256
Advanced Encryption Standard con chiave da 256 bit. L'algoritmo di crittografia simmetrica attuale gold-standard per la protezione delle ePHI a riposo. AES-256 in modalità GCM è raccomandato per la crittografia autenticata che fornisce simultaneamente riservatezza e verifica dell'integrità.
BAA
Business Associate Agreement - lo strumento contrattuale obbligatorio tra un'entità coperta HIPAA e qualsiasi fornitore terzo che crea, riceve, mantiene o trasmette PHI per conto dell'entità coperta. I costruttori di software che archiviano o elaborano PHI per clienti sanitari devono sottoscrivere un BAA prima di accedere a qualsiasi dato.
CFR
Code of Federal Regulations - la codificazione delle normative federali permanenti degli Stati Uniti. Le regole HIPAA si trovano nel Title 45 CFR Parts 160, 162 e 164. Le citazioni normative in questo pack usano il formato "45 CFR § [parte].[sezione]".
CMS
Centers for Medicare & Medicaid Services - l'agenzia HHS che amministra Medicare e Medicaid. CMS pubblica anche regole di interoperabilità (21st Century Cures Act) che integrano la HIPAA per gli standard di scambio dati.
CISA
Cybersecurity and Infrastructure Security Agency - un'agenzia federale statunitense che pubblica avvisi di cybersecurity sanitaria, valutazioni del rischio del settore e playbook di risposta agli incidenti applicabili al software coperto da HIPAA.
CSF
NIST Cybersecurity Framework - un framework volontario basato sul rischio pubblicato dal National Institute of Standards and Technology. Le organizzazioni sanitarie comunemente mappano i loro requisiti della HIPAA Security Rule alle funzioni CSF Identify/Protect/Detect/Respond/Recover.
DLP
Data Loss Prevention - soluzioni software che rilevano e impediscono la trasmissione o l'estrazione non autorizzata di dati sensibili come le PHI. Gli strumenti DLP monitorano e-mail, upload web, trasferimenti USB e operazioni degli appunti per intercettare le PHI che lasciano i confini autorizzati.
EDI
Electronic Data Interchange - lo scambio elettronico standardizzato di transazioni di assistenza sanitaria definite negli standard di Transazione e Set di Codici HIPAA (45 CFR Part 162). I costruttori che implementano sistemi di transazione pagatore-fornitore (837, 835, 270/271, ecc.) devono conformarsi a questi standard EDI.
ePHI
Electronic Protected Health Information - qualsiasi PHI memorizzata, creata, ricevuta o trasmessa in forma elettronica. La HIPAA Security Rule si applica esclusivamente alle ePHI. Tutti i 18 identificatori PHI che esistono nei sistemi elettronici costituiscono ePHI.
FHIR
Fast Healthcare Interoperability Resources - lo standard HL7 per lo scambio di dati sanitari basato su REST utilizzando risorse JSON o XML. FHIR R4 è la versione di produzione attuale. Le PHI scambiate tramite API FHIR sono ePHI soggette alla HIPAA.
HL7
Health Level Seven International - l'organizzazione di sviluppo degli standard che pubblica FHIR, HL7 v2 e gli standard CDA per l'interoperabilità dei dati sanitari. I messaggi HL7 v2 (ADT, ORU, ORM) contengono PHI e devono essere crittografati in transito.
HHS
Department of Health and Human Services - il dipartimento federale statunitense che amministra la HIPAA attraverso due sottoagenzie: OCR (applicazione della privacy/sicurezza) e CMS (standard delle transazioni). L'HHS pubblica la guida ufficiale HIPAA su hhs.gov/hipaa.
HITECH
Health Information Technology for Economic and Clinical Health Act - la legislazione federale del 2009 che ha rafforzato l'applicazione della HIPAA, ha introdotto il Breach Notification Rule, ha aumentato le sanzioni e ha esteso gli obblighi HIPAA direttamente ai business associate.
IAM
Identity and Access Management - la disciplina e la categoria tecnologica che copre il ciclo di vita dell'identità utente, autenticazione, autorizzazione e governance degli accessi. Nei sistemi HIPAA, l'IAM deve supportare ID utente univoci, RBAC, MFA e disconnessione automatica.
IDS/IPS
Intrusion Detection/Prevention System - strumenti di sicurezza di rete che monitorano il traffico per indicatori di attacco o compromissione. Negli ambienti HIPAA, gli avvisi IDS/IPS sono input per il processo di risposta agli incidenti di sicurezza richiesto da 45 CFR § 164.308(a)(6).
JWT
JSON Web Token - un formato di token compatto e URL-safe utilizzato per i flussi di autenticazione OAuth 2.0 e OpenID Connect. Quando i JWT vengono utilizzati per controllare l'accesso alle API ePHI, devono avere scope minimi necessari e tempi di scadenza brevi (tipicamente 15 minuti per i token di accesso).
MFA
Multi-Factor Authentication - autenticazione che richiede due o più tipi di credenziali indipendenti (qualcosa che si conosce, si ha o si è). L'MFA è il principale controllo tecnico per soddisfare il requisito di autenticazione HIPAA e prevenire le violazioni da furto di credenziali.
NIST SP 800-66
NIST Special Publication 800-66 - "Implementing the Health Insurance Portability and Accountability Act Security Rule". Questa pubblicazione fornisce una guida pratica per implementare ogni standard della HIPAA Security Rule, inclusi i crosswalk al NIST Cybersecurity Framework.
NPP
Notice of Privacy Practices - il documento che le entità coperte devono fornire ai pazienti descrivendo come le PHI vengono utilizzate e divulgate. Le applicazioni sanitarie devono visualizzare l'NPP e registrare la conferma del paziente come parte del loro workflow di consenso.
OCR
Office for Civil Rights - la divisione HHS che applica le HIPAA Privacy, Security e Breach Notification Rules. L'OCR indaga sui reclami, conduce audit e impone sanzioni pecuniarie civili. Gli accordi di risoluzione OCR sono pubblici e servono come guida all'implementazione de-facto.
RBAC
Role-Based Access Control - il modello di controllo degli accessi standard per i sistemi HIPAA. I ruoli aggregano i permessi allineati alle funzioni lavorative e agli utenti vengono assegnati uno o più ruoli. L'RBAC implementa direttamente il principio del minimo necessario a livello di sistema.
PHI
Protected Health Information - informazioni sanitarie individualmente identificabili trasmesse o mantenute da un'entità coperta o da un business associate. Le PHI comprendono 18 categorie di identificatori; qualsiasi registro contenente uno o più identificatori collegati allo stato di salute, all'erogazione delle cure o al pagamento delle cure costituisce PHI.
SIEM
Security Information and Event Management - una piattaforma che aggrega i log da tutti i sistemi, correla gli eventi e genera avvisi per gli incidenti di sicurezza. Negli ambienti HIPAA, le piattaforme SIEM acquisiscono i log di audit da tutti i sistemi ePHI per rilevare pattern di accesso non autorizzato.
TLS
Transport Layer Security - il protocollo crittografico che fornisce comunicazione autenticata e crittografata sulle reti. La HIPAA richiede che le ePHI in transito siano crittografate; TLS 1.2 è il minimo, TLS 1.3 è raccomandato. SSLv3, TLS 1.0 e TLS 1.1 sono deprecati e non devono essere utilizzati.
TOTP
Time-Based One-Time Password - un secondo fattore MFA definito in RFC 6238. I codici TOTP sono generati da app di autenticazione (Google Authenticator, Authy) e sono validi per 30 secondi. Ampiamente utilizzato come secondo fattore nelle implementazioni MFA conformi alla HIPAA.