// Checklist HIPAA gratuito
Checklist HIPAA gratuito para quem lida com dados de pacientes nos EUA
Dezessete perguntas sobre as salvaguardas administrativas, físicas e técnicas da HIPAA Security Rule. Cerca de cinco minutos, com relatório e sugestões de correção por e-mail. Por enquanto, o checklist está em inglês.
A HIPAA Security Rule exige que organizações de saúde nos EUA e os seus fornecedores protejam as informações de pacientes com três tipos de salvaguardas: administrativas, físicas e técnicas. Se a sua empresa presta serviços para a saúde nos EUA, mesmo estando no Brasil, ela pode ser considerada um business associate.
O que o checklist cobre
- Salvaguardas administrativas. Um Security Officer e um Privacy Officer nomeados, uma análise de risco nos últimos 12 meses, treinamento na contratação e todo ano com registro de ciência, e remoção de contas, chaves e e-mail no mesmo dia em que alguém sai.
- Salvaguardas físicas. Servidores e equipamentos de rede numa sala ou armário trancado, e telas da recepção e do atendimento fora da vista dos pacientes.
- Salvaguardas técnicas. Logins individuais, MFA no e-mail, no acesso remoto e nos sistemas com dados de pacientes, criptografia de disco e em trânsito, proteção de endpoints gerenciada, apenas sistemas operacionais com suporte, e backups criptografados, externos e com restauração testada.
- Políticas, fornecedores e BAAs. Um BAA assinado com cada fornecedor que toca em dados de pacientes, e apenas serviços elegíveis para a HIPAA.
- Prontidão para violações e incidentes. Um plano de resposta a incidentes por escrito e um processo de notificação de violações que a equipe entende, incluindo a regra dos 60 dias.
Por onde começar
A análise de risco é a peça que mais falta, e é o documento do qual todo o resto depende. Logo depois vêm BAAs não assinados com fornecedores de nuvem e backups nunca testados.
Depois do checklist
O relatório mostra a sua pontuação e uma sugestão de correção para cada lacuna. Veja como tratamos a HIPAA nos nossos programas de conformidade. Também trata dados de pessoas no Brasil? Faça o checklist LGPD.
Esta é uma autoavaliação baseada apenas nas suas respostas. A Logos Tech Systems não a conduz nem verifica, e não endossa o relatório a menos que o tenhamos revisado com você numa consultoria. Não é assessoria jurídica.
// Perguntas
Perguntas frequentes
Quem precisa seguir a HIPAA?
Nos EUA, prestadores de saúde, planos de saúde e clearinghouses, e os seus parceiros de negócio (business associates): qualquer fornecedor que cria, recebe, armazena ou transmite informações de pacientes em nome deles. Isso inclui empresas brasileiras que prestam serviços para a saúde nos EUA, como faturamento ou TI.
O que é um BAA?
O Business Associate Agreement é o contrato exigido pela HIPAA com cada fornecedor que toca em informações de pacientes, como e-mail, armazenamento em nuvem e backup.
O checklist está em português?
Ainda não. Por enquanto, as perguntas e o relatório estão em inglês. A versão em português está nos nossos planos.
// Próximo passo
Atende pacientes ou clientes de saúde nos EUA?
Implementamos as salvaguardas técnicas, documentamos tudo e guardamos as evidências, em português ou inglês.