A Security Rule protege a ePHI. Obriga as entidades abrangidas e os associados comerciais a proteger a confidencialidade, a integridade e a disponibilidade da ePHI:
- Confidencialidade — só as pessoas autorizadas a podem ver.
- Integridade — não é alterada nem destruída de forma indevida.
- Disponibilidade — está lá quando as pessoas autorizadas precisam dela, por exemplo depois de uma avaria de computador ou de um ataque de ransomware.
A regra é flexível: cada organização faz uma análise de risco e escolhe as salvaguardas adequadas à sua dimensão e aos seus riscos. Algumas especificações de implementação são "obrigatórias" (required); outras são "adaptáveis" (addressable). Adaptável não significa facultativo — a organização tem de pôr a medida em prática se for razoável e adequada, ou documentar porque não o faz e usar uma alternativa equivalente.
Os três tipos de salvaguardas
Salvaguardas administrativas — políticas e pessoas:
- um responsável pela segurança (security officer) encarregado das políticas de segurança;
- uma análise de risco regular e a gestão do risco;
- segurança do pessoal e gestão de acessos — cada pessoa só tem acesso ao que a sua função exige, e o acesso é retirado quando sai;
- um programa de sensibilização e formação em segurança para todos os membros do pessoal;
- uma política de sanções para os membros do pessoal que violem as regras;
- procedimentos para comunicar e responder a incidentes de segurança;
- um plano de contingência: cópias de segurança, recuperação após desastre e operações de emergência.
Salvaguardas físicas — locais e dispositivos:
- controlar o acesso a edifícios, salas de servidores e zonas de arquivo;
- utilização e segurança dos postos de trabalho — ecrãs fora da vista do público, computadores bloqueados quando ninguém os usa;
- controlo de dispositivos e suportes — registar portáteis e discos e apagá-los ou destruí-los antes de os reutilizar ou eliminar.
Salvaguardas técnicas — tecnologia:
- controlo de acesso, incluindo um identificador de utilizador único para cada pessoa, procedimentos de acesso de emergência, encerramento automático da sessão e cifragem;
- controlos de auditoria que registam quem consultou ou alterou processos;
- controlos de integridade e autenticação que confirma que as pessoas são quem dizem ser;
- segurança na transmissão, que protege a ePHI enviada através de redes.
O que isto significa para si
Palavras-passe e inícios de sessão
- Nunca partilhe a sua palavra-passe nem inicie sessão por outra pessoa. É pelo seu identificador que o registo de auditoria sabe o que foi feito por si.
- Use frases-passe fortes e autenticação multifator quando disponível.
- Bloqueie ou termine a sessão no seu posto de trabalho sempre que se ausentar, mesmo por um minuto.
Cifragem e dispositivos
- Guarde e envie ePHI apenas com as ferramentas que a organização fornece. A cifragem protege a informação se um dispositivo for perdido ou roubado.
- Não copie PHI para pens USB pessoais, para o correio eletrónico pessoal nem para armazenamento pessoal na nuvem.
- Os telemóveis e portáteis que contêm ou acedem a PHI precisam de bloqueio de ecrã e têm de estar registados ou configurados como a organização exige. Comunique de imediato um dispositivo perdido ou roubado.
Phishing
- Os e-mails de phishing fingem vir do apoio informático, de um responsável, de um fornecedor ou de um banco para o levar a clicar numa ligação, a abrir um anexo ou a introduzir a palavra-passe.
- Sinais de alerta: urgência, ameaças de que a conta será encerrada, anexos inesperados, um endereço do remetente que não corresponde, pedidos de palavras-passe ou de cartões-oferta.
- Não clique. Comunique a mensagem da forma que a organização indicar. Se já clicou ou introduziu a palavra-passe, comunique-o imediatamente — agir depressa limita os danos.
Enviar PHI por e-mail e mensagem de texto
- Utilize apenas os sistemas de correio eletrónico e de mensagens seguras que a organização autoriza para PHI e siga as suas regras (por exemplo, cifrar o correio externo).
- Confirme o destinatário antes de enviar; os erros do preenchimento automático são uma causa frequente de PHI enviada para o sítio errado.
- Não envie PHI por mensagem de texto normal a partir de um telemóvel pessoal, a menos que a política da organização o permita expressamente.
- Os doentes podem pedir para receber informação por e-mail ou mensagem sem cifragem. As organizações podem fazê-lo depois de avisar o doente do risco e de obter o seu acordo — siga o procedimento da organização.
Cenários
Uma janela a pedir a palavra-passe. Aparece uma janela a dizer que a sessão expirou e a pedir a palavra-passe numa página que não reconhece. Feche-a e comunique-o. As equipas informáticas legítimas não pedem a palavra-passe por e-mail nem numa janela inesperada.
Um telemóvel perdido. O telemóvel de trabalho fica esquecido no autocarro. Comunique-o de imediato, mesmo a altas horas da noite. O apoio informático pode conseguir bloqueá-lo ou apagá-lo à distância, e o responsável pela privacidade tem de começar a avaliar se houve violação.
Um posto de trabalho partilhado. Na mudança de turno, uma colega continua com a sessão aberta no computador do carro da medicação. Não registe nada com a conta dela. Termine a sessão dela (ou peça-lhe que o faça) e inicie sessão com a sua, para que o registo mostre quem fez o quê.
Pontos-chave
- A Security Rule protege a confidencialidade, a integridade e a disponibilidade da ePHI.
- As salvaguardas são administrativas, físicas e técnicas; "adaptável" não significa facultativo.
- Nunca partilhe palavras-passe; bloqueie o ecrã; use apenas ferramentas e dispositivos autorizados.
- Comunique de imediato phishing, dispositivos perdidos e suspeitas de incidentes.