Todo lo que sabes sobre la HIPAA está cambiando: un primer vistazo a cómo preparar tu MSP
El 27 de diciembre de 2024, la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos (HHS) de EE. UU. emitió un aviso de propuesta de reglamentación (NPRM) para modificar la Regla de Seguridad de la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA) con el fin de reforzar las protecciones de ciberseguridad para la información médica protegida electrónica (ePHI). Los nuevos cambios propuestos en las políticas de la HIPAA podrían tener un impacto significativo en la forma en que los MSP y los equipos de TI cumplen con las normativas.
El NPRM propone reforzar los estándares de la Regla de Seguridad y las especificaciones de implementación con nuevas propuestas y aclaraciones, entre las que se incluyen:
- Eliminar la distinción entre especificaciones de implementación «obligatorias» y «susceptibles de direccionamiento» y hacer que todas las especificaciones de implementación sean obligatorias.
- Exigir documentación escrita de todas las políticas, procedimientos, planes y análisis de la Regla de Seguridad.
- Añadir plazos de cumplimiento específicos para muchos requisitos existentes. También se añade una auditoría anual de los controles de seguridad al menos una vez cada 12 meses.
- Exigir la elaboración y revisión de un inventario de activos tecnológicos y un mapa de red al menos una vez cada 12 meses.
- Exigir análisis de vulnerabilidades al menos cada seis meses y pruebas de penetración al menos una vez cada 12 meses.
- Exigir mayor especificidad para realizar un análisis de riesgos. Los nuevos requisitos expresos incluirían una evaluación de riesgos por escrito.
Por qué son importantes para los MSP los próximos cambios en las políticas de la HIPAA:
Si prestas soporte a empresas del sector salud, tendrás que ayudarlas a cumplir con la nueva lista de controles de seguridad, cumplimiento y auditoría en 2025. Las empresas de salud que históricamente no han visto un ROI en seguridad o cumplimiento se verán obligadas a cumplir con los nuevos cambios en las políticas de la HIPAA para poder mantener sus licencias, obtener seguros o recibir pagos de Medicare/Medicaid. Los compradores del sector salud van a empezar a preguntar por la HIPAA, los servicios de cumplimiento y las actualizaciones de seguridad, como las pruebas de penetración.
¿Qué deben hacer los MSP para prepararse?
Este es el momento de diseñar y comercializar una oferta específica para el sector salud que satisfaga las necesidades de tus clientes, expanda tu negocio y gestione el riesgo. Evalúa tu capacidad para valorar adecuadamente el cumplimiento de la red y ofrecer soluciones de gestión de riesgos a tus clientes. Considera la posibilidad de implementar soluciones como Compliance Manager GRC para automatizar componentes clave del cumplimiento. Explora nuevas herramientas de seguridad que te ayuden a diseñar soluciones compatibles con la HIPAA para tus clientes, adelantándote a la tendencia antes de que la competencia venda en tu cartera de clientes.
Kaseya trabaja duro para adelantarse a estas normativas cambiantes y garantizar que puedas ofrecer soluciones automatizadas e integradas que cumplan con estos estándares. Descubre cómo puedes dominar las auditorías de infraestructura, el cumplimiento y la gestión de riesgos con las soluciones de auditoría y cumplimiento de Kaseya.
