La Regla de Seguridad protege la ePHI. Exige a las entidades cubiertas y a los socios comerciales proteger la confidencialidad, la integridad y la disponibilidad de la ePHI:
- Confidencialidad — solo las personas autorizadas pueden verla.
- Integridad — no se modifica ni se destruye indebidamente.
- Disponibilidad — está ahí cuando las personas autorizadas la necesitan, por ejemplo después de una falla informática o de un ataque de ransomware.
La regla es flexible: cada organización hace un análisis de riesgos y elige las salvaguardas que se ajustan a su tamaño y a sus riesgos. Algunas especificaciones de implementación son "obligatorias" (required); otras son "abordables" (addressable). Abordable no significa opcional: la organización debe aplicar la medida si es razonable y apropiada, o documentar por qué no lo es y usar una alternativa equivalente.
Los tres tipos de salvaguardas
Salvaguardas administrativas — políticas y personas:
- un oficial de seguridad responsable de las políticas de seguridad;
- un análisis de riesgos periódico y la gestión de riesgos;
- la seguridad del personal y la gestión de accesos: cada persona accede solo a lo que necesita su función, y el acceso se retira cuando se va;
- un programa de concientización y capacitación en seguridad para todos los miembros del personal;
- una política de sanciones para los miembros del personal que infrinjan las reglas;
- procedimientos para notificar y responder a los incidentes de seguridad;
- un plan de contingencia: copias de seguridad de los datos, recuperación ante desastres y operaciones de emergencia.
Salvaguardas físicas — lugares y dispositivos:
- controlar el acceso a los edificios, las salas de servidores y las áreas de archivos;
- uso y seguridad de las estaciones de trabajo — pantallas colocadas fuera de la vista del público, computadoras bloqueadas cuando nadie las usa;
- controles de dispositivos y medios — llevar un registro de computadoras portátiles y unidades de almacenamiento, y borrarlas o destruirlas antes de reutilizarlas o desecharlas.
Salvaguardas técnicas — tecnología:
- control de acceso, que incluye una identificación de usuario única para cada persona, procedimientos de acceso de emergencia, cierre automático de sesión y cifrado;
- controles de auditoría que registran quién consultó o modificó los expedientes;
- controles de integridad y autenticación que confirma que cada persona es quien dice ser;
- seguridad de la transmisión que protege la ePHI enviada por las redes.
Qué significa esto para usted
Contraseñas e inicios de sesión
- Nunca comparta su contraseña ni inicie sesión por otra persona. Su identificación de usuario es lo que permite que el registro de auditoría sepa lo que hizo usted.
- Use frases de contraseña robustas y la autenticación multifactor cuando se ofrezca.
- Bloquee o cierre la sesión de su estación de trabajo cada vez que se aleje, aunque sea por un minuto.
Cifrado y dispositivos
- Guarde y envíe ePHI solo con las herramientas que proporciona su organización. El cifrado protege la información si un dispositivo se pierde o es robado.
- No copie PHI en memorias USB personales, en su correo electrónico personal ni en un almacenamiento en la nube personal.
- Los teléfonos celulares y las computadoras portátiles que contienen PHI o tienen acceso a ella necesitan un bloqueo de pantalla y deben estar inscritos o configurados como exige su organización. Notifique de inmediato la pérdida o el robo de un dispositivo.
Phishing
- Los correos de phishing se hacen pasar por el departamento de informática, un gerente, un proveedor o un banco para que usted haga clic en un enlace, abra un archivo adjunto o escriba su contraseña.
- Señales de alerta: urgencia, amenazas de que se cerrará su cuenta, archivos adjuntos inesperados, una dirección de remitente que no coincide, peticiones de contraseñas o de tarjetas de regalo.
- No haga clic. Notifique el mensaje de la forma que le indique su organización. Si ya hizo clic o escribió su contraseña, notifíquelo de inmediato: actuar rápido limita el daño.
Enviar PHI por correo electrónico y mensajes de texto
- Use solo los sistemas de correo electrónico y de mensajería segura que su organización autoriza para la PHI, y siga sus reglas (por ejemplo, cifrar el correo externo).
- Compruebe dos veces el destinatario antes de pulsar enviar; los errores del autocompletado son una causa frecuente de PHI enviada a la persona equivocada.
- No envíe PHI desde un teléfono personal por mensajes de texto comunes, salvo que la política de su organización lo permita expresamente.
- Los pacientes pueden pedir recibir información por correo electrónico o mensaje de texto sin cifrar. Las organizaciones pueden hacerlo después de advertir al paciente del riesgo y obtener su conformidad; siga el procedimiento de su organización.
Situaciones prácticas
Una ventana emergente que pide su contraseña. Aparece una ventana que dice que su sesión ha caducado y le pide que escriba su contraseña en una página que no reconoce. Ciérrela y notifíquelo. Los equipos de informática legítimos no piden su contraseña por correo electrónico ni en ventanas emergentes inesperadas.
Un teléfono perdido. Pierde en el autobús el teléfono inscrito por su trabajo. Notifíquelo de inmediato, aunque sea de noche. Es posible que el departamento de informática pueda bloquearlo o borrarlo a distancia, y el oficial de privacidad debe empezar a evaluar si se produjo una violación de seguridad.
Una estación de trabajo compartida. En el cambio de turno, una colega sigue con la sesión iniciada en la computadora del carro de medicamentos. No registre nada con su sesión. Ciérrele la sesión (o pídale que la cierre) e inicie sesión con su propio usuario, para que el registro muestre quién hizo qué.
Puntos clave
- La Regla de Seguridad protege la confidencialidad, la integridad y la disponibilidad de la ePHI.
- Las salvaguardas son administrativas, físicas y técnicas; "abordable" no significa opcional.
- Nunca comparta contraseñas; bloquee su pantalla; use solo herramientas y dispositivos autorizados.
- Notifique de inmediato el phishing, los dispositivos perdidos y los posibles incidentes.