What is HIPAA Compliance?

誰需要符合 HIPAA 規範，為什麼？

HIPAA 定義了需要遵守其要求的兩種組織類型：

• 涵蓋實體： HIPAA 將「涵蓋實體」定義為可訪問 PHI 的醫療保健組織及其員工。 這包括醫生，護士和保險公司。
• 業務合作夥伴： 在 HIPAA 下，「業務合作夥伴」是為涉及訪問 PHI 的涵蓋實體提供服務的組織。 例如，處理醫療保健提供者的帳單的組織可以訪問患者姓名、地址等，這些機構受 HIPAA 保護為 PHI。

根據 HIPAA，涵蓋的實體和業務合作夥伴都必須遵守 HIPAA。 涵蓋的實體受到衞生及人類服務部（HHS）公民權辦公室（OCR）直接監管。 通過與受保實體的合同，對業務合作夥伴實施 HIPAA 要求。

但是，該規例僅適用於符合法律規定的涵蓋實體或業務關係人定義的組織。 其他有權訪問健康信息但未從受保實體接收該信息的組織不受 HIPAA 法規的約束。 例如，直接從用戶收集健康信息但不是醫療保健組織的健康和健身應用程序的開發人員不需要遵守其指令。

但是，這些組織可以從這樣做中受益。 HIPAA 描述了保護 PHI 的最佳做法，並遵守這些最佳做法可以減少組織對網絡威脅的暴露，以及潛在數據洩露的可能性和影響。 此外，如果發生違規或安全事故，遵守該規例有助於證明公司進行盡職調查並努力保護其客戶數據。

受 HIPAA 保護的數據

HIPAA 旨在保護患者向受保實體及其業務夥伴提供的 PHI。 HHS 定義了十八種類型的 PHI 識別碼，包括：

1. 姓名
2. 地址
3. 重要日期 
4. 社會安全號碼
5. 電話號碼
6. 電子郵件地址
7. 傳真號碼
8. 健康計劃受益人號碼
9. 醫療記錄號碼
10. 證書 ／ 執照號碼
11. 賬戶號碼
12. 車輛識別碼、序號或車牌號
13. 裝置識別碼或序號
14. IP 位址
15. 網址
16. 全臉照片
17. 生物特徵識別碼，例如指紋或語音印
18. 任何其他唯一識別號碼、特徵或代碼

HIPAA 合規性檢查表

實現 HIPAA 合規性是一個多步驟的過程。要採取的一些關鍵步驟包括：

1. 確定您的合規義務： 如前所述，HIPAA 適用於受保實體，以及 — 通過它們 — 其業務合作夥伴。 根據 HIPAA，涵蓋實體被定義為醫療保健提供者、健康計劃和醫療保健結算所。 他們的業務夥伴是他們與其共享 PHI 的任何組織。 
2. 了解 HIPAA 規則： HIPAA 隱私與安全規則定義涵蓋實體或業務合作夥伴在 HIPAA 下的責任。 了解所需的控制、政策和流程對於實現和維持合規至關重要。 
3. 確定合規範圍： HHS 定義了 18 種資料類型，該資料符合 PHI 資料，並且必須受到 HIPAA 保護。 確定在組織的 IT 環境中存儲、處理和傳輸這些類型資料的位置對於確定哪些系統和人員受 HIPAA 的授權限而言至關重要。 
4. Perform a Gap Assessment: 組織可能有一些必要的 HIPAA 控制項，但其他控制項可能缺少。 為了確定公司在哪些方面未達到合規性要求，有必要根據 HIPAA 要求進行差距評估。 
5. 部署缺少的控制項： 差距評估可能會識別組織目前不符合規範的地方。 在確定這些差距之後，制定並實施關閉孔的策略。 
6. 建立必要的文件： HIPAA 要求涵蓋的實體擁有特定記錄的政策和流程。 如果任何程序丟失或無文件，請生成所需的文件。 
7. 準備合規審核： 透過合規性審計需要能夠向審計員證明組織的安全控制、流程和程序符合法規的要求。制定一個進行稽核的計劃，並在審計之前收集所需的數據和報告。