Seguridad y TI en el sector salud: Cuestionario de cumplimiento de la ley HIPAA

Como MSP en el mercado actual, es probable que hayas oído mencionar las siglas "HIPAA". Si alguno de tus clientes son proveedores de atención médica, centrales de transacciones o empresas que gestionan información médica protegida electrónica (ePHI), es casi seguro que hayas oído hablar del cumplimiento de la norma HIPAA.

HIPAA, o la Ley de Portabilidad y Responsabilidad del Seguro Médico (Health Insurance Portability and Accountability Act), es un conjunto de normativas en los Estados Unidos que se aplican a todas las personas que tienen acceso a los datos y/o redes que contienen ePHI. Si solo gestionas la red de un cliente que maneja ePHI, e incluso si nunca accedes a dicha información, sigues considerándote un "asociado de negocios" (business associate) según la ley, estás obligado legalmente a cumplir con ella y puedes ser considerado responsable en caso de una brecha de datos.

Esto significa que si prestas, o tienes la intención de prestar, servicios a clientes del sector sanitario, debes cumplir con la normativa HIPAA. Aunque HIPAA es una legislación estadounidense, muchos países cuentan con leyes similares que establecen requisitos equivalentes.

Esto nos plantea una pregunta clave: ¿Qué exige el cumplimiento de HIPAA en lo que respecta a la seguridad informática, la gestión de identidades y de accesos?

Afortunadamente, he sintetizado las respuestas a esta pregunta en una lista de sencillas preguntas de sí o no que puedes hacerle a tu cliente. Si la respuesta es negativa, considéralo una mala señal.

Políticas y procedimientos de seguridad

Se deben establecer políticas para gestionar y controlar todas las infracciones de seguridad. Puedes hacer a tus clientes preguntas como:

• ¿Son conscientes sus empleados de las sanciones que conllevan las infracciones de seguridad?
• ¿Existen sanciones internas establecidas para los empleados que infrinjan los procedimientos de seguridad?
• ¿Saben todos sus usuarios cómo actuar en caso de incidentes o problemas de seguridad?
• ...
• ¿Hay alguien encargado de revisar todos los registros, informes y historiales de seguridad?
• ¿Cuenta con un responsable de seguridad a cargo de una política de contraseñas y seguridad inteligente?
• ¿Ha realizado alguna vez un análisis de riesgos?

Gestión de accesos

El acceso a la ePHI debe restringirse exclusivamente a quienes cuenten con autorización para ello. Puedes hacer a tus clientes preguntas como:

• ¿Dispone de medidas para autorizar o supervisar el acceso a la ePHI?
• ¿Existen procesos para determinar la validez del acceso a la ePHI?
• En caso de cese de un empleado, ¿se bloquea su acceso a la ePHI?

Formación en concienciación sobre seguridad

HIPAA exige la creación de un programa de concienciación sobre seguridad para todo el personal. Puedes hacer a tus clientes preguntas como:

• ¿Se recuerda regularmente a los empleados cuáles son las cuestiones de seguridad?
• ¿Organiza reuniones sobre la importancia de las contraseñas, el software y la seguridad informática?
• ¿Conocen sus empleados el protocolo de actuación ante software malicioso?
• ¿Tiene procedimientos para revisar periódicamente los intentos de inicio de sesión?
• ¿Dichos procedimientos comprueban si existen discrepancias o problemas?
• ¿Ha establecido procedimientos para supervisar, gestionar y proteger las contraseñas?

El peor escenario posible

Debe existir un plan establecido para la protección y el uso de la ePHI en caso de emergencia o desastre. Debería plantear a sus clientes preguntas como:

• ¿Existen planes probados y revisados para casos de emergencia?
• ¿Se han analizado las aplicaciones y los datos necesarios para estos planes de emergencia?
• En caso de desastre (I.T.E.O.A.D.), ¿se pueden hacer o recuperar copias de la ePHI?
• I.T.E.O.A.D… ¿Se puede restaurar o recuperar toda la ePHI?>
• I.T.E.O.A.D… ¿Estará protegida su ePHI?
• I.T.E.O.A.D… ¿Se pueden llevar a cabo las funciones comerciales críticas relacionadas con la ePHI?

Contratos para Asociados de Negocio

Los contratos de asociado de negocio son fundamentales tanto para los ITSP como para los MSP que operan en el ámbito sanitario. Aunque no firmar un acuerdo puede ofrecer una ligera protección frente a la responsabilidad legal, detallar y formalizar las obligaciones y responsabilidades acordadas proporciona una protección considerablemente mayor en caso de una investigación, auditoría o brecha de seguridad. La documentación es clave a la hora de protegerse.

Protección tecnológica y física

Es necesario implementar procedimientos quelimitaren el acceso físico a las instalaciones y equipos que albergan datos de ePHI. Asimismo, es igual de crucial garantizar que únicamente los empleados autorizados tengan acceso a dicha información.

Desde un puesto de TI, es su responsabilidad garantizar que el acceso a las aplicaciones y datos que contienen ePHI esté limitado exclusivamente a los usuarios autorizados. Aquí es donde la autenticación cobra una importancia crítica.

Un método que puede comentar con su cliente es la autenticación multifactor (MFA). Con la MFA, los usuarios inician sesión con una contraseña junto con un factor de seguridad adicional, como el escaneo de huellas dactilares o un código de un solo uso procedente de una aplicación móvil segura. El avanzado nivel de seguridad de la MFA también permite a las empresas explorar otras soluciones de productividad y seguridad, como el inicio de sesión único (SSO), que permite utilizar una única credencial para acceder a otros servicios. Para muchas empresas que deben cumplir con las normativas de la HIPAA, la autenticación multifactor y el inicio de sesión único constituyen soluciones cómodas y prácticas para resolver gran parte de sus problemas de cumplimiento.