La Regla de Seguridad de HIPAA está escrita para sobrevivir cambios tecnológicos, por eso suena vaga. En la práctica, para una organización de menos de cincuenta personas, se reduce a un conjunto manejable de controles y la documentación que prueba su existencia.
Los controles
- Control de acceso: usuarios únicos, permisos por rol, bloqueo automático de pantalla y revisiones de acceso demostrables.
- Cifrado: disco completo en cada dispositivo que toca PHI y cifrado en tránsito para correo y transferencia de archivos.
- Controles de auditoría: registros de quién accedió a qué, conservados lo suficiente para investigar.
- Plan de contingencia: respaldo, recuperación ante desastres y un plan de operación en modo emergencia, probados y no solo escritos.
- Acuerdos de socio comercial con cada proveedor que pueda acceder a PHI, incluido su proveedor de TI.
Los documentos
El análisis de riesgos es el documento que los auditores piden primero y el que la mayoría de las prácticas pequeñas no tiene. Debe ser escrito, fechado, específico de su entorno y actualizado cuando algo cambia, no una plantilla con su nombre encima.
En una auditoría, un control sin documentar y un control ausente se ven idénticos.
Por eso documentamos continuamente en vez de una vez al año, y por eso un técnico lo acompaña en la parte de TI de la auditoría. La evidencia debe existir antes de que alguien la pida.