Che cosa sono le informazioni sanitarie protette (PHI)?

Esempi di informazioni sanitarie protette

1. Informazioni di identificazione personale (PII)

Le informazioni personali identificabili (PII) comprendono tutti i dati che collegano un paziente con identificatori personali, come i dati demografici, la patente di guida e i dati dell'assicurazione sanitaria.

2. Informazioni sanitarie personali (PHI)

PHI è un sottoinsieme di PII che si riferisce alle informazioni condivise specificamente con le entità HIPAA. Questo può includere la corrispondenza tra il paziente e il suo fornitore, i registri di fatturazione, le scansioni digitali delle apparecchiature diagnostiche e i risultati degli esami.

Esempi di identificatori PHI

L'HHS elenca 18 identificatori PHI specifici:

1. Nomi dei pazienti
2. Elementi geografici (indirizzi, comuni, codice postale)
3. Date relative alla salute o all'identità delle persone (date di nascita, data di ammissione, data di dimissione, data di morte).
4. Numeri di telefono
5. Numeri di fax
6. Indirizzi e-mail
7. Numeri di previdenza sociale
8. Numeri di cartelle cliniche
9. Numeri dei beneficiari dell'assicurazione sanitaria
10. Numeri di conto
11. Numeri di certificato/licenza
12. Identificatori del veicolo
13. Attributi del dispositivo o numeri di serie
14. Identificatori digitali, come gli URL dei siti web.
15. Indirizzi IP
16. Elementi biometrici, tra cui impronte digitali, retiniche e vocali.
17. Immagini fotografiche a pieno viso
18. Altri numeri o codici di identificazione

Che cos'è l'ePHI?

La PHI elettronica (ePHI) è semplicemente la PHI in formato elettronico/digitale. Potrebbe trattarsi di un PDF di un referto medico o di un database online della storia medica di un paziente. Le ePHI sono specificamente indicate nella HIPAA Security Rule. All'interno della norma, c'è una sottosezione dedicata ai dati sanitari elettronici.

Oggi più che mai, le informazioni sui pazienti vengono create, archiviate e condivise in formato elettronico. I fornitori di servizi sanitari devono prestare molta attenzione alla protezione di questi documenti digitali da un capo all'altro dell'ecosistema sanitario.

La norma sulla sicurezza HIPAA definisce i requisiti per proteggere la riservatezza, l'integrità e la disponibilità (nota come triade CIA) di tutte le informazioni elettroniche. Ciò include l'identificazione e la protezione contro le minacce previste alla sicurezza delle informazioni sanitarie digitali. Inoltre, consente alle entità coperte di mettere in atto sistemi, procedure e politiche volte a garantire la conformità con le linee guida HIPAA stabilite dalla Security Rule.

Protezione delle informazioni sanitarie protette

La Regola di sicurezza HIPAA impone alle entità coperte di adottare misure specifiche per dimostrare la conformità, assicurando così la fiducia tra pazienti e fornitori quando si tratta di proteggere i dati personali e le informazioni elettroniche. Questi passi rientrano in tre categorie:

• Salvaguardie amministrative
• Protezioni fisiche
• Salvaguardie tecniche

1. Salvaguardie amministrative

Le salvaguardie amministrative hanno lo scopo di individuare e determinare i rischi potenziali per i dati personali, e di mettere in atto misure che riducano i rischi e le vulnerabilità della sicurezza. Inoltre, impongono che un funzionario della sicurezza sia tenuto a sviluppare e implementare le regole e le procedure di sicurezza dell'entità coperta.

I fornitori sono inoltre tenuti a valutare regolarmente il livello di conformità delle loro politiche di sicurezza ai requisiti della HIPAA Security Rule.

2. Protezioni fisiche

Le salvaguardie fisiche riguardano questioni come la limitazione dell'accesso fisico non autorizzato alle strutture, pur consentendo l'accesso autorizzato. Le entità coperte sono inoltre tenute a distribuire politiche e procedure per la corretta gestione dei dati archiviati elettronicamente e dei supporti elettronici contenenti PII e PHI.

3. Salvaguardie tecniche

Le salvaguardie tecniche sono progettate per garantire che solo le persone debitamente autorizzate possano accedere ai registri digitali e ad altre informazioni elettroniche. Ciò riguarda non solo l'hardware, il software e i servizi necessari per acquisire, archiviare e gestire le cartelle cliniche e sanitarie, ma anche le credenziali di sicurezza e le procedure di autenticazione che regolano l'accesso.

Includono anche la crittografia e altre tecnologie progettate per salvaguardare l'accesso improprio ai PHI e alle ePHI su una rete digitale.

Che cos'è una violazione dei dati personali?

Negli ultimi anni, il settore sanitario ha visto un'impennata di attacchi informatici che hanno preso di mira le informazioni personali dei pazienti. Gli attori maligni utilizzano tattiche come il ransomware e l'estorsione per ottenere pagamenti esorbitanti dai fornitori - alcuni addirittura vendono le cartelle cliniche dei pazienti ai migliori offerenti.

Le organizzazioni sanitarie pagano in media 1,41 milioni di dollari per riscatto, secondo l' Incident Response Report 2022di Unit 42. E una violazione dei dati può costare fino a 10,10 milioni di dollari, secondo il rapporto di IBM Cost of a data breach 2022 .

Cosa conta come violazione dei dati personali?

L'HHS definisce ampiamente una violazione delle PHI come "un uso o una divulgazione non consentiti ai sensi della Privacy Rule che compromettono la sicurezza o la privacy delle informazioni sanitarie protette". In un contesto reale, ciò può includere un'ampia gamma di azioni che comportano l'esposizione dei dati personali.

Per esempio, gli hacker che commettono frodi Medicare o altre truffe assicurative spesso mettono in atto una serie di tecniche volte a ottenere i dati personali. Ransomware, furto d'identità, ingegneria sociale, furto di credenziali, phishing e malware sono tutti utilizzati per compromettere i dispositivi personali non criptati o poco protetti.

Secondo l'HIPAA, ci sono quattro elementi chiave per una violazione di PHI:

1. La natura e l'estensione dei dati personali coinvolti, compresi i tipi di identificatori e la probabilità di re-identificazione.
2. La persona non autorizzata che ha utilizzato le informazioni sanitarie protette o a cui è stata fatta la divulgazione.
3. Se le informazioni sanitarie protette sono state effettivamente acquisite o visionate.
4. La misura in cui il rischio per le informazioni sanitarie protette è stato mitigato.

Nella maggior parte dei casi, le violazioni di PHI derivanti da azioni non intenzionali, piuttosto che dolose, non sono considerate violazioni dell'HIPAA. Si consiglia vivamente alle entità coperte di verificare con i propri avvocati e team di conformità se la divulgazione di PHI costituisce una violazione dell'HIPAA o di altre linee guida sulla privacy.

Paesaggio in evoluzione: Tecnologie emergenti e sicurezza dei dati personali

Il settore dell'assistenza sanitaria sta subendo una trasformazione drammatica su molti fronti, tra cui come, quando, dove e perché avviene la fornitura di assistenza sanitaria. Tendenze come l'ascesa dell'assistenza a distanza, l'aumento del numero di dispositivi medici intelligenti (Internet of Medical Things) e un ambiente IT sempre più complesso e interconnesso si sono combinati per creare un panorama in rapida evoluzione.

Per mantenere la sicurezza dei dati personali, le organizzazioni sanitarie e i loro partner/business associate hanno bisogno di un partner esperto in cybersecurity per progettare, costruire, fidarsi e monitorare le operazioni di cybersecurity a livello aziendale.

Nel valutare i potenziali partner di cybersecurity, i responsabili della sicurezza informatica e i loro colleghi dovrebbero richiedere diverse capacità chiave:

• Esperienza in Zero Trust, che previene le violazioni eliminando la fiducia implicita.
• Esperienza in una gamma completa di strumenti di cybersecurity, dalla sicurezza di rete ai SOC di nuova generazione.
• Conoscenza delle procedure e dei framework di sicurezza del cloud , in particolare per gli ambienti cloud ibridi e multicloud.
• Accesso ai più recenti e completi servizi di threat intelligence.

Scopra come Palo Alto Networks è il leader della cybersecurity per gli ospedali e i sistemi sanitari di tutto il mondo. Visiti www.paloaltonetworks.com/healthcare.

Domande frequenti sulle informazioni sanitarie protette (PHI)