El 27 de diciembre de 2024, la Oficina de Derechos Civiles (OCR) del Departamento de Salud y Servicios Humanos de los Estados Unidos (HHS) publicó un aviso de propuesta de reglamentación (NPRM) para modificar la Norma de Seguridad de la Ley de Portabilidad y Responsabilidad del Seguro Médico de 1996 (HIPAA), con el fin de reforzar las medidas de ciberseguridad para la información médica protegida en formato electrónico (ePHI). Los cambios normativos de la HIPAA recientemente propuestos podrían tener un impacto significativo en la forma en que los MSP y los equipos de TI mantienen el cumplimiento normativo.
La NPRM propone reforzar las normas y las especificaciones de aplicación de la Norma de Seguridad con nuevas propuestas y aclaraciones, entre las que se incluyen:
- Eliminar la distinción entre especificaciones de aplicación "requeridas" y "abordables" y hacer que todas las especificaciones de aplicación sean requeridas.
- Exigir documentación escrita de todas las políticas, procedimientos, planes y análisis relacionados con la Norma de Seguridad.
- Se establecen plazos de cumplimiento específicos para muchos de los requisitos existentes. Además, se introduce una auditoría anual de los controles de seguridad que deberá realizarse al menos una vez cada 12 meses.
- Exigir la elaboración y revisión de un inventario de activos tecnológicos y un mapa de la red al menos una vez cada 12 meses.
- Exija un análisis de vulnerabilidades al menos cada seis meses y pruebas de penetración al menos una vez cada 12 meses.
- Exigir una mayor especificidad para realizar un análisis de riesgos. Los nuevos requisitos expresos incluirían una evaluación de riesgos por escrito.
Por qué los próximos cambios en la política de la HIPAA son importantes para los MSP:
Si prestas apoyo a empresas del sector sanitario, tendrás que ayudarles a cumplir con la nueva lista de controles de seguridad, cumplimiento normativo y auditoría en 2025. Las empresas del sector sanitario que, históricamente, no han obtenido un retorno de la inversión en seguridad o cumplimiento normativo se verán obligadas a cumplir con los nuevos cambios en la normativa HIPAA para poder mantener su licencia, contratar seguros o recibir pagos de Medicare/Medicaid. Los responsables de compras del sector sanitario empezarán a preguntar por la HIPAA, los servicios de cumplimiento normativo y las mejoras de seguridad, como las pruebas de penetración.
¿Qué deben hacer los MSP para prepararse?
Este es el momento de diseñar y comercializar una oferta específica para el sector sanitario que satisfaga las necesidades de sus clientes, amplíe su negocio y gestione los riesgos. Evalúe su capacidad para valorar adecuadamente el cumplimiento normativo de la red y ofrecer soluciones de gestión de riesgos a sus clientes. Considere la posibilidad de implementar soluciones como Compliance Manager GRC automatizar los componentes clave del cumplimiento normativo. Explore nuevas herramientas de seguridad que le ayuden a diseñar soluciones que cumplan con la HIPAA para sus clientes, adelantándose a la tendencia antes de que sus competidores le quiten clientes.
Kaseya se esfuerza por adelantarse a estos cambios normativos para garantizar que pueda ofrecer soluciones automatizadas e integradas que cumplan con estas normas. Descubra cómo puede gestionar con eficacia las auditorías de infraestructura, el cumplimiento normativo y la gestión de riesgos con las soluciones de auditoría y cumplimiento de Kaseya.
