Penyimpanan Cloud Aman dan Patuh HIPAA untuk Kesehatan: Solusi Kepatuhan Terpercaya
Rumah sakit, klinik, dan organisasi kesehatan lain telah melalui jalan yang bertele-tele menuju adopsi cloud selama beberapa tahun terakhir. Risiko keamanan yang diimplikasikan dari penggunaan cloud publik atau bekerja dengan penyedia layanan pihak ketiga secara signifikan menunda adopsi cloud di industri kesehatan.
Bahkan hari ini, saat 84% organisasi kesehatan menggunakan layanan cloud, pertanyaan memilih penyedia cloud yang patuh HIPAA yang tepat dapat menjadi sakit kepala.
Semua penyedia layanan kesehatan yang data klien mereka disimpan di AS tunduk pada serangkaian peraturan yang dikenal sebagai kepatuhan HIPAA.
Hari ini, setiap organisasi yang menangani data pasien rahasia perlu mematuhi persyaratan penyimpanan HIPAA.
Apa itu Kepatuhan HIPAA?
Standar HIPAA memberikan perlindungan data kesehatan. Setiap vendor yang bekerja dengan organisasi kesehatan atau bisnis yang menangani file kesehatan harus mematuhi aturan privasi HIPAA. Ada juga banyak industri pendukung yang harus mematuhi pedoman jika mereka memiliki akses ke data medis dan pasien. Inilah peran yang signifikan dari Penyimpanan Cloud yang Patuh HIPAA.
Pada 1996, “Departemen Kesehatan dan Layanan Manusia AS (“HHS”) menerbitkan Aturan Privasi untuk menerapkan persyaratan Health Insurance Portability and Accountability Act (HIPAA) tahun 1996.” Aturan Privasi mengatasi “informasi kesehatan terlindungi elektronik” pasien dan bagaimana organisasi, atau “entitas tertutup HIPAA” yang tunduk pada Aturan Privasi harus mematuhi.
Sebagian besar lembaga kesehatan menggunakan bentuk perangkat elektronik untuk memberikan perawatan medis. Ini berarti informasi tidak lagi berada di kartu kertas, tetapi di komputer atau di cloud. Tidak seperti bisnis umum atau sebagian besar entitas komersial, lembaga kesehatan secara hukum diwajibkan untuk menggunakan praktik cadangan data yang paling andal.
Jadi, bagaimana hal ini mempengaruhi pilihan mereka atas penyedia cloud?
Saat merencanakan perpindahan mereka ke cloud computing, lembaga kesehatan perlu memastikan vendor mereka memenuhi kriteria keamanan tertentu.
Kriteria ini diterjemahkan menjadi persyaratan dan ambang batas yang harus dipenuhi dan dipelihara oleh perusahaan untuk menjadi siap HIPAA. Ini menyusul serangkaian sertifikasi, audit dan pelaporan SOC, tingkat enkripsi, dan fitur keamanan fisik.
Solusi penyimpanan cloud HIPAA harus bekerja untuk menjadikan kepatuhan sederhana dan mudah. Dengan cara ini, organisasi kesehatan memiliki satu hal lagi yang tidak perlu khawatir dan dapat fokus pada meningkatkan proses krusial mereka.
Persyaratan Penyimpanan Cloud dan Cadangan Data HIPAA
Penyedia layanan cloud yang berbisnis dengan perusahaan yang beroperasi di bawah aturan HIPAA-HITECH dianggap sebagai mitra bisnis. Sebagai mitra, mereka harus menunjukkan bahwa mereka mematuhi standar kepatuhan cloud dan mengikuti standar yang relevan. Meskipun vendor tidak langsung menangani informasi pasien, mereka menerima, mengelola, dan menyimpan Informasi Kesehatan Terlindungi (PHI). Fakta ini alone membuat mereka bertanggung jawab untuk melindunginya sesuai pedoman HIPAA-HITECH.
Menjadi patuh HIPAA berarti menerapkan semua aturan dan peraturan yang diusulkan oleh Act. Setiap vendor yang menawarkan layanan yang tunduk pada act harus memberikan dokumentasi sebagai bukti kesesuaian mereka. Dokumentasi ini perlu dikirim tidak hanya kepada klien mereka tetapi juga ke Office for Civil Rights (OCR). OCR adalah sub-agen dari Departemen Pendidikan AS, yang mempromosikan akses yang setara ke program kesehatan dan layanan manusia.
Organisasi industri kesehatan yang ingin bekerja dengan penyedia Penyimpanan Cloud yang Patuh HIPAA harus meminta bukti kepatuhan untuk melindungi diri mereka. Jika penyedia mematuhi semua standar, mereka tidak seharusnya ragu untuk berbagi dokumentasi yang sesuai dengan Anda.
Persyaratan HIPAA untuk organisasi cloud hosting sama dengan persyaratan untuk mitra bisnis. Mereka terbagi menjadi tiga kategori yang berbeda: perlindungan administratif, fisik, dan teknis.
- Perlindungan Administratif: Jenis perlindungan ini adalah kebijakan transparan yang mencakup bagaimana bisnis akan mematuhi dari segi operasional. Operasi dapat mencakup manajemen penilaian risiko keamanan, prosedur yang tepat, respons bencana dan darurat, dan manajemen kata sandi.
- Perlindungan Fisik: Perlindungan fisik biasanya adalah sistem yang ada untuk melindungi data pelanggan. Mereka mungkin mencakup penyimpanan yang tepat, cadangan data, dan pembuangan media yang tepat di data center. Langkah keamanan penting untuk fasilitas tempat perangkat penyimpanan perangkat keras atau lunak tinggal juga merupakan bagian dari kategori ini.
- Perlindungan Teknis: Kelompok perlindungan ini merujuk pada fitur teknis yang diterapkan untuk meminimalkan risiko data dan memaksimalkan perlindungan. Memerlukan informasi login unik, kebijakan auto-logoff, dan otentikasi untuk akses PHI adalah hanya beberapa perlindungan teknis yang harus ada.
Apa yang Membuat Penyedia Cloud yang Sertifikasi HIPAA Patuh?
Menyediakan perangkat keras atau perangkat lunak penyimpanan file yang patuh HIPAA tidak seolah membalikkan saklar. Membutuhkan waktu dan upaya yang luar biasa bagi perusahaan untuk menjadi patuh.
Elemen kunci yang harus dicari di penyedia penyimpanan cloud yang sertifikasi HIPAA adalah kemauan mereka untuk membuat Perjanjian Mitra Bisnis. Dikenal sebagai BAA, perjanjian ini dibuat di antara dua pihak yang berencana untuk mentransmisikan, memproses, atau menerima PHI. Tujuan utamanya adalah melindungi kedua pihak dari dampak hukum yang timbul dari penyalahgunaan informasi kesehatan terlindungi.
Perjanjian Mitra Bisnis BAA tidak boleh menambah, mengurangi, atau menstandarkan standar keseluruhan HIPAA. Namun, jika kedua pihak setuju, menambahkan terminologi tertentu dapat diterima. Ada juga beberapa istilah inti yang membentuk dasar untuk perjanjian mitra bisnis yang patuh dan harus tetap ada agar kontrak dianggap secara hukum mengikat.
Tingkat enkripsi yang diaktifkan oleh penyedia cloud memerlukan perhatian yang tepat. Perusahaan harus mengenkripsi file tidak hanya saat transmisi tetapi juga saat diam. Advanced Encryption Standard (AES) adalah tingkat enkripsi minimum yang harus digunakan untuk penyimpanan dan berbagi file. AES adalah penerus Data Encryption Standard (DES) dan dikembangkan oleh National Institute of Standards and Technology (NIST) pada 1997. Ini adalah algoritma enkripsi canggih yang menawarkan pertahanan yang ditingkatkan terhadap berbagai insiden keamanan.
Memilih Penyedia Penyimpanan Cloud yang Patuh
Saat memilih penyedia yang patuh HIPAA, cari Web Hosting HIPAA yang memenuhi langkah-langkah yang diuraikan di bagian sebelumnya. Pastikan Anda menanyakan kepada mereka tentang praktik keamanan penyimpanan data mereka seberapa aman data PHI Anda akan menjadi.
Apakah penyedia calon menawarkan perjanjian tingkat layanan?
Kontrak SLA menunjukkan waktu tanggaran yang dijamin terhadap ancaman, biasanya dalam jendela dua puluh empat jam. Sebagai perusahaan yang mentransmisikan PHI, Anda perlu mengetahui secepat apa penyedia dapat memberitahu Anda dalam hal insiden. Semakin cepat Anda menerima pemberitahuan pelanggaran, semakin efisien Anda dapat bereaksi.
Jangan lupa bahwa penyimpanan rekam medis elektronik berbasis cloud harus berada di data center yang aman.
Apa saja langkah keamanan yang ada dalam hal insiden? Bagaimana akses ke fasilitas ditentukan? Minta garis besar detail tentang bagaimana mereka menerapkan dan mematuhi keamanan fisik. Periksa bagaimana mereka bereaksi dalam hal pelanggaran data. Pastikan Anda mendapatkan semua detail yang relevan sebelum Anda membawa data Anda ke risiko.
Penyedia yang Anda pilih juga harus memiliki Rencana Pemulihan Bencana dan Kelanjutan yang ada.
Rencana kelanjutan akan mengantisipasi kerugian akibat bencana alam, pelanggaran data, dan insiden tak terduga lainnya. Ini juga akan menyediakan proses dan prosedur yang diperlukan jika atau saat peristiwa tersebut terjadi. Sehubungan dengan praktik terbaik pencegahan kehilangan data, juga penting untuk menentukan seberapa sering metode yang diusulkan mengalami pengujian yang ketat.
Keamanan Rekam Medis Kesehatan – Bagaimana Saya Bisa Yakin?
Penyedia cloud yang menjaga kepatuhan dengan serius akan memastikan sertifikasi mereka tetap terkini. Ada beberapa cara untuk memeriksa apakah mereka mematuhi standar dan peraturan yang relevan.
Salah satu caranya adalah melakukan audit penyedia calon Anda menggunakan pihak independen. Audit akan membawa risiko apa pun kepada perhatian Anda dan mengungkapkan taktik keamanan vendor. Penyedia penyimpanan cloud untuk rekam medis harus secara teratur melakukan audit sistem dan lingkungan mereka untuk mengamankan ancaman agar tetap patuh. Istilah ‘secara teratur’ tidak didefinisikan oleh act, jadi penting untuk meminta dokumentasi dan informasi setidaknya setiap tiga bulan sekali. Anda juga harus memastikan Anda memiliki akses konstan ke laporan dan dokumentasi yang memerinci audit terbaru.
Cara lain untuk menentukan apakah perusahaan patuh adalah dengan menilai kualifikasi karyawannya. Semua staf perlu diberi pendidikan tentang standar terbaru dan terbiasa dengan perlindungan tertentu. Hanya dengan perlindungan ini organisasi dapat mencapai kepatuhan.
Minta kepada penyedia calon Anda pertanyaan yang sulit. Siapa pun yang memiliki akses ke PHI memerlukan pelatihan yang tepat tentang metode transmisi data yang aman. Pelatihan perlu mencakup kemampuan untuk dengan aman mengenkripsi informasi pasien tidak peduli di mana mereka disimpan.
Perusahaan yang patuh HIPAA tidak akan meminta Anda untuk pintu belakang untuk mengakses data Anda atau izin untuk melewati protokol manajemen akses Anda. Vendor semacam itu menyadari risiko mengharuskan otentikasi atau titik akses tambahan. Menyeringkapi akses ke protokol otentikasi dan persyaratan kata sandi adalah pelanggaran serius dan tidak boleh terjadi.
Pertanyaan Umum Cadangan & Penyimpanan Cloud
Minta kepada penyedia calon cloud metode apa yang mereka gunakan untuk mengevaluasi kepatuhan HIPAA Anda.
Apakah templat kebijakan HIPAA tersedia untuk digunakan? Apakah penyedia menawarkan panduan dan masukan tentang kepatuhan? Bagaimana mereka memastikan Anda selalu terupdate dan menyadari aturan dan peraturan keamanan? Apakah mereka menawarkan email yang patuh HIPAA?
Apakah perusahaan memiliki karyawan full-time on-premise?
Memiliki kehadiran di lokasi dan tersedia sepanjang waktu adalah mekanisme untuk memastikan keamanan yang canggih. Perwakilan yang tersedia membuat keamanan PHI lebih andal dan menjamin respons cepat jika diperlukan. Ini juga memberi Anda ketenangan pikiran mengetahui bahwa perusahaan yang bertanggung jawab atas perlindungan data Anda sangat mahir dalam standar yang diperlukan.
Penyedia yang tepat juga harus cepat beradaptasi dengan perubahan dan memberitahu Anda tentang apa pun yang langsung mempengaruhi PHI Anda atau akses Anda ke data tersebut.
Penghapusan data adalah komponen krusial dalam memilih mitra bisnis HIPAA yang tepat. Berapa lama informasi disimpan selama waktu tertentu sebelum dibersihkan? Bagaimana pencegah kebocoran data dilakukan saat server diambil dari komisi atau dihapus? Apakah data diberikan kepada Anda sebelum penghapusan? Act tidak menawarkan pedoman mengenai panjang waktu yang diperlukan, tetapi ini adalah kesepakatan yang harus Anda capai bersama penyedia Anda.
Selain pengetahuan Anda, tentukan seberapa baik penyedia calon Anda mahir dalam peraturan HIPAA. Perusahaan cloud sering gagal mengikuti perubahan peraturan terbaru, dan Anda harus mencari yang memiliki dedikasi yang konsisten.
Berbelanja di berbagai tempat. Jangan puas dengan penawaran pertama.
Banyak perusahaan memamerkan keamanan HIPAA mereka, hanya untuk menemukan bahwa mereka kurang dari pengukur. Lakukan riset Anda, tanyakan pertanyaan, dan tentukan vendor mana yang paling sesuai dengan kebutuhan Anda.
Penyimpanan Cloud yang Patuh HIPAA Adalah Penting
Saat berkaitan dengan melindungi rekam medis di cloud, phoenixNAP akan mendukung upaya Anda dengan kualitas layanan tertinggi, keamanan, dan keandalan.
Kami menyediakan pilihan data center yang menawarkan perlindungan terbaik kelas untuk file medis Anda. Dengan solusi cloud yang skalabel, jaminan uptime 100%, dan pemulihan bencana yang tak tertandingi, Anda dapat yakin bahwa infrastruktur Anda patuh.
Sertifikasi HIPAA dapat membingungkan, rumit, dan menimbulkan stres.
Anda perlu dapat percaya kepada penyedia cloud Anda untuk menjaga file Anda tetap aman. PhoenixNap Global IT Services akan memberi Anda kebebasan untuk memfokuskan perhatian Anda pada area lain bisnis Anda dan memastikan perlindungan entitas dan mitra bisnis Anda.
