Cumplimiento HIPAA en Catalyst

Introducción

HIPAA (Health Insurance Portability and Accountability Act) es una ley promulgada por el gobierno de los Estados Unidos que regula la distribución de información en el sector de la salud. La información de salud individualmente identificable (IIHI) y la información de identificación personal (PII) que están protegidas por las regulaciones de HIPAA en función de ciertas normas y condiciones predefinidas, incluyendo su transmisión, uso o mantenimiento a través de medios electrónicos, se clasifican como información de salud protegida (PHI).

Ejemplos de dichos identificadores de PHI incluyen, entre otros, información personal y de contacto como nombre, dirección y números de teléfono, historial e información médica incluyendo el número de registro médico (MRN) y el identificador de beneficiario de Medicare (MBI), e información de identidad como el número de seguro social e identificadores de vehículos.

Catalyst cumple con los estándares impuestos a las entidades cubiertas que deben implementar prácticas de seguridad reconocidas para proteger la ePHI en ausencia de la autorización de un individuo. El cumplimiento de estas regulaciones garantiza que se proporcionará la capacidad de proteger la integridad, confidencialidad y seguridad de todos los datos de usuario final que se clasifican como PHI en la plataforma de desarrollo de Catalyst. Esto indica que todas las aplicaciones, microservicios y soluciones creadas en Catalyst pueden cumplir completamente con los estándares y directrices necesarios impuestos por HIPAA.

Implementación del cumplimiento HIPAA en Catalyst

Catalyst ha actualizado varias funcionalidades en la configuración y los componentes que almacenan, procesan o manejan PHI de usuarios finales para permitir el cumplimiento de las directrices más recientes de HIPAA. Los componentes de Cloud Scale que entran en esta categoría incluyen:

• Data Store
• File Store

La configuración de Profiles and Permissions, que permite a un miembro de cuenta de Catalyst especificar permisos de acceso a componentes que se pueden otorgar a varios perfiles, también ha sido actualizada siguiendo los cambios en estos componentes.

De manera similar, la funcionalidad de Audit Logs que muestra los registros de actividades realizadas en un proyecto ha sido renovada para manejar datos sensibles y protegidos de los usuarios.

Veamos estos cambios en detalle.

Almacenamiento de ePHI en Data Store y File Store

Los componentes Data Store y File Store de Cloud Scale pueden almacenar datos de usuario en tablas o como archivos respectivamente. Para habilitar el almacenamiento de datos ePHI de manera compatible con HIPAA, se ha incluido un validador de PII/ePHI para columnas y carpetas en estos componentes respectivamente.

Puedes marcar una columna en una tabla como contenedora de información protegida habilitando este validador al crear la columna o editándola en cualquier momento.

Además, puedes almacenar datos sensibles en una tabla seleccionando el tipo de dato para las columnas requeridas como Encrypted text. Esto te permite cifrar texto extenso que contiene datos protegidos.

De forma similar, puedes marcar una carpeta en File Store como contenedora de información protegida habilitando este validador al crear la carpeta o editándola en cualquier momento.

Cuando este validador está habilitado para una columna o una carpeta, solo los administradores de cuenta de Catalyst y los miembros del proyecto con los permisos necesarios podrán ver o acceder a los datos en estas columnas o carpetas.

Definición del acceso a ePHI en Profiles and Permissions

Los administradores de Catalyst ahora pueden asignar el acceso a Data Store, File Store y, por extensión, a los componentes Event Listeners y Logs, de manera detallada. Es decir, pueden otorgar acceso individual a cada uno de estos componentes para cada tipo de acceso y cada perfil personalizado que creen, solo a los perfiles específicos que los requieran. Luego pueden asignar un perfil apropiado a un miembro del proyecto en consecuencia.

Puedes consultar la página de ayuda de Profiles and Permissions para obtener detalles sobre las condiciones para habilitar estos permisos y la necesidad de permisos individuales para acceder a Event Listeners y Logs.

Almacenamiento y visualización de ePHI en Audit Logs

Audit Logs en la configuración ahora incluye Application Logs que mostrarán los registros de actividades realizadas a nivel de aplicación relacionadas con ePHI en los componentes Data Store y File Store. Por lo tanto, estos registros mostrarán:

• Cualquier creación, actualización o eliminación de filas en una columna con el validador de ePHI habilitado en Data Store
• Cualquier creación o eliminación de archivos en una carpeta con el validador de ePHI habilitado en File Store

Catalyst ahora también te permite obtener registros de hasta seis años atrás exportándolos desde la consola. Para garantizar aún más el cumplimiento de las regulaciones HIPAA, solo los administradores de cuenta de Catalyst podrán exportar los registros de aplicación y descargarlos en sus sistemas locales. Los miembros del proyecto no podrán realizar esta acción.

Con todos estos cambios incorporados en la plataforma de desarrollo de Catalyst, ahora puedes crear fácilmente aplicaciones y microservicios que cumplen completamente con las regulaciones HIPAA.