Para hospitales, clínicas, consultorios dentales y de especialidad, planes de salud y sus socios comerciales, retirar una computadora es un evento regulado. Una laptop, un disco de servidor o una copiadora que sale del edificio con información de salud protegida electrónica (ePHI) todavía almacenada puede convertirse en una brecha reportable. Esta lista convierte los requisitos de HIPAA en pasos que sus equipos de TI y cumplimiento pueden seguir.

Qué dice realmente la norma

El estándar de controles de dispositivos y medios de la HIPAA Security Rule, 45 CFR 164.310(d)(1), exige políticas y procedimientos que regulen la recepción y el retiro de hardware y medios electrónicos con ePHI hacia y desde una instalación, así como su movimiento dentro de ella. Dos de sus especificaciones de implementación son obligatorias (required), no direccionables:

• 45 CFR 164.310(d)(2)(i), Disposal (disposición): implementar políticas y procedimientos para la disposición final de la ePHI y/o del hardware o medio electrónico en el que se almacena.
• 45 CFR 164.310(d)(2)(ii), Media re-use (reutilización de medios): implementar procedimientos para eliminar la ePHI de los medios electrónicos antes de ponerlos a disposición para su reutilización.

Otras dos especificaciones relacionadas son direccionables (addressable): (d)(2)(iii) Accountability, mantener un registro de los movimientos del hardware y los medios y de la persona responsable, y (d)(2)(iv) Data backup and storage, crear una copia exacta y recuperable de la ePHI cuando sea necesario antes de mover equipos.

La guía de notificación de brechas del HHS también es relevante: los medios electrónicos que han sido sometidos a clear, purge o destroy de forma coherente con NIST SP 800-88, Guidelines for Media Sanitization, de modo que la PHI no pueda recuperarse, no se consideran PHI "no asegurada". Es una razón de peso para adoptar NIST SP 800-88 como su estándar escrito.

La lista de verificación

1. Política e inventario

• Procedimientos escritos de disposición y reutilización de medios que nombren un estándar (NIST SP 800-88) y los métodos permitidos: purge para medios reutilizables y destroy para medios dañados o sin soporte.
• Un inventario de activos que registre los números de serie de los equipos y, cuando sea posible, de los discos que contienen.
• Un análisis de riesgos de la Security Rule que incluya todo tipo de dispositivo que almacene ePHI, no solo computadoras y servidores.

2. Encuentre el almacenamiento oculto

Muchos incidentes involucran equipos que nadie consideraba una computadora. Incluya:

• Impresoras multifunción, copiadoras, escáneres y faxes con disco duro o memoria flash interna, en especial unidades arrendadas que se devuelven.
• Dispositivos médicos y estaciones de imagen (ultrasonido, rayos X, analizadores de laboratorio, monitores de pacientes) que guardan imágenes o datos de pacientes.
• Teléfonos, tabletas, memorias USB, respaldos externos, cintas y almacenamiento en red.
• Servidores, arreglos SAN/NAS y discos de repuesto guardados en bodegas.

En 2013, el HHS anunció un acuerdo de $1,215,780 con Affinity Health Plan después de que se devolvieran copiadoras a un arrendador sin borrar sus discos duros. La investigación de la OCR también determinó que el plan no había incluido esos discos en su análisis de riesgos. Revise en cada contrato de arrendamiento quién sanitiza el disco y quién conserva la evidencia.

3. Acuerdo de socio comercial con el proveedor de ITAD

El HHS ha indicado que una entidad cubierta puede, aunque no está obligada a hacerlo, contratar a un socio comercial para desechar PHI, y que en ese caso debe tener un contrato que exija al socio comercial proteger adecuadamente la PHI durante la disposición. En la práctica, un proveedor de ITAD que maneja equipos con ePHI debe firmar un business associate agreement (BAA). Confirme que el acuerdo cubra:

• Usos permitidos (sanitización, destrucción, reciclaje, reventa de equipos sanitizados) y nada más.
• Salvaguardas coherentes con la Security Rule, incluidos transporte y almacenamiento seguros.
• Reporte oportuno de cualquier incidente de seguridad o dispositivo extraviado.
• Traslado de obligaciones a cualquier subcontratista que manipule los equipos.
• Devolución o destrucción de la PHI al terminar el contrato.

4. Custodia desde la recolección hasta la disposición

• Los equipos se cuentan y se cotejan con su inventario antes de salir de sus instalaciones.
• Contenedores con llave o vehículos asegurados, con un registro firmado de cadena de custodia en cada entrega.
• Cualquier discrepancia (serie faltante, equipo adicional, disco sin etiqueta) se le informa por escrito.

5. Sanitización y destrucción

• Los discos reutilizables se someten a purge con software de borrado certificado y se verifican.
• Los SSD se sanitizan con comandos a nivel de firmware, nunca solo con sobrescritura ni con desmagnetización.
• Los discos que no superan el borrado, o que usted decide no reutilizar, se destruyen físicamente.
• El almacenamiento integrado en copiadoras y equipos médicos se retira y se trata de la misma manera, o se sanitiza con el procedimiento documentado del fabricante.

6. Documentación que debe conservar

• Un certificado por dispositivo con número de serie, método, fecha y técnico responsable.
• Los registros de cadena de custodia y el BAA del proveedor.
• Su bitácora interna de disposición que vincule cada certificado con el registro original del activo.

Según 45 CFR 164.316(b)(2)(i), la documentación de la Security Rule debe conservarse durante seis años a partir de su fecha de creación o de la fecha en que estuvo vigente por última vez, lo que ocurra después. Guarde los certificados donde su equipo de cumplimiento pueda recuperarlos durante una auditoría, no solo en una bandeja de correo.

Errores comunes

• Aceptar un único certificado que dice "42 discos destruidos" sin números de serie.
• Permitir que una arrendadora o un empleado que se retira se lleve un equipo "para borrarlo después".
• Considerar que eliminar archivos o reformatear un disco equivale a sanitizarlo.
• Reciclar equipos con un proveedor que no ha firmado un BAA.

Cómo apoya AVM a los clientes del sector salud

Asset Value Management Services (AVM) realiza borrado con WipeOS certified erasure conforme a NIST SP 800-88, destruye físicamente cualquier disco que no pueda borrarse y emite un certificado de destrucción por número de serie. Cada proyecto incluye auditoría a nivel de número de serie, cadena de custodia documentada y reportes en un portal privado para clientes, lo que facilita tener los registros listos para una auditoría.

Si está planificando una renovación de equipos, el cierre de una clínica o la devolución de copiadoras arrendadas en el área de Houston, puede solicitar una cotización y revisaremos con usted su lista de equipos y sus necesidades de documentación. Comuníquese al 713-869-0200 o visítenos en 4647 Pine Timbers St., Houston, TX 77041.