Em 27 de dezembro de 2024, o Escritório de Direitos Civis (OCR) do Departamento de Saúde e Serviços Humanos dos Estados Unidos (HHS) publicou um Aviso de Proposta de Regulamentação (NPRM) para alterar a Regra de Segurança da Lei de Portabilidade e Responsabilidade dos Seguros de Saúde de 1996 (HIPAA), com o objetivo de reforçar as proteções de segurança cibernética para as informações de saúde protegidas em formato eletrônico (ePHI). As mudanças propostas na política da HIPAA podem ter impactos significativos na forma como os MSPs e as equipes de TI mantêm a conformidade com as regulamentações.
A NPRM propõe reforçar as normas e especificações de implementação da Regra de Segurança com novas propostas e esclarecimentos, incluindo:
- Remova a distinção entre especificações de implementação "obrigatórias" e "endereçáveis" e torne todas as especificações de implementação obrigatórias.
- Exigir documentação por escrito de todas as políticas, procedimentos, planos e análises relativos à Regra de Segurança.
- Adiciona prazos específicos de conformidade para muitos requisitos já existentes. Além disso, prevê uma auditoria anual dos controles de segurança, a ser realizada pelo menos uma vez a cada 12 meses.
- Exigir o desenvolvimento e a revisão de um inventário de ativos de tecnologia e de um mapa de rede pelo menos uma vez a cada 12 meses.
- Exigir varredura de vulnerabilidades pelo menos a cada seis meses e testes de penetração pelo menos uma vez a cada 12 meses.
- Exigir maior especificidade para a realização de uma análise de risco. Novos requisitos expressos incluiriam uma avaliação de risco por escrito.
Por que as próximas mudanças na política da HIPAA são importantes para os MSPs:
Se você presta serviços a empresas do setor de saúde, precisará ajudá-las a cumprir a nova lista de controles de segurança, conformidade e auditoria em 2025. As empresas de saúde que, historicamente, não viram retorno sobre o investimento em segurança ou conformidade serão obrigadas a cumprir as novas alterações na política da HIPAA para manter suas licenças, obter seguros ou receber pagamentos do Medicare/Medicaid. Os compradores do setor de saúde começarão a perguntar sobre a HIPAA, serviços de conformidade e atualizações de segurança, como testes de penetração.
O que as MSPs devem fazer para se preparar:
Este é o momento de criar e comercializar uma oferta específica para o setor de saúde, a fim de atender às necessidades de seus clientes, expandir seus negócios e gerenciar riscos. Avalie sua capacidade de avaliar adequadamente a conformidade da rede e fornecer soluções de gestão de riscos aos seus clientes. Considere implementar soluções como Compliance Manager GRC automatizar os principais componentes da conformidade. Explore novas ferramentas de segurança que o ajudem a criar soluções em conformidade com a HIPAA para seus clientes, mantendo-se à frente da tendência antes que seus concorrentes conquistem sua carteira de clientes.
A Kaseya se empenha em se antecipar a essas mudanças regulatórias para garantir que você possa oferecer soluções automatizadas e integradas que atendam a essas normas. Descubra como você pode dominar as auditorias de infraestrutura, a conformidade e a gestão de riscos com as Soluções de Auditoria e Conformidade da Kaseya.
