Trong bộ tiêu chuẩn HIPAA về bảo vệ dữ liệu sức khỏe cá nhân trong doanh nghiệp thì cốt lõi của chúng chính là checklist đánh giá sự tuân thủ HIPAA. Việc doanh nghiệp áp dụng và nắm được hệ thống checklist tuan thủ HIPAA bao gồm những gì và những yêu cầu nào. Bài viết này, SQC Certification xin chia sẻ cho bạn về thông tin này một cách chi tiết nhất.
Tiêu chuẩn HIPAA là gì?
Tiêu chuẩn HIPAA viết tắt bởi cụm từ (Health Insurance Portability and Accountability Act) là Đạo luật về tính linh hoạt bảo hiểm sức khỏe và trách nhiệm giải trình, được ban hành tại Hoa Kỳ năm 1996.
HIPAA (Health Insurance Portability and Accountability Act) là bộ tiêu chuẩn bảo mật thông tin y tế bắt buộc đối với các tổ chức xử lý dữ liệu sức khỏe tại Mỹ. Việc đánh giá tuân thủ HIPAA giúp doanh nghiệp giảm thiểu rủi ro rò rỉ dữ liệu bệnh nhân, tránh vi phạm pháp lý và nâng cao uy tín tổ chức. Dưới đây là checklist đánh giá tuân thủ HIPAA đầy đủ và chi tiết nhất dành cho doanh nghiệp, bệnh viện, phòng khám, công ty công nghệ y tế, SaaS Healthcare hoặc đơn vị xử lý dữ liệu y tế.
1. Đánh giá phạm vi áp dụng HIPAA
Để triển khai và tuân thủ tiêu chuẩn HIPAA hiệu quả, bước đầu tiên doanh nghiệp cần thực hiện chính là đánh giá phạm vi áp dụng HIPAA đối với tổ chức của mình.
Việc này giúp xác định doanh nghiệp có thuộc nhóm Covered Entity (CE) như bệnh viện, phòng khám, công ty bảo hiểm y tế hoặc các đơn vị cung cấp dịch vụ chăm sóc sức khỏe hay không. Đồng thời, HIPAA cũng áp dụng cho nhóm Business Associate (BA) – bao gồm các nhà cung cấp dịch vụ CNTT, đơn vị cung cấp hạ tầng cloud, công ty xử lý dữ liệu y tế hoặc các nền tảng SaaS Healthcare có liên quan đến việc lưu trữ và xử lý thông tin sức khỏe.
Xác định dữ liệu PHI/ePHI
- Hồ sơ bệnh án
- Thông tin thanh toán
- Kết quả xét nghiệm
- Thông tin bệnh nhân
- Email chứa dữ liệu sức khỏe
- Dữ liệu lưu trữ điện tử
2. Checklist HIPAA Privacy Rule
Hiện nay các chính sách về quyền riêng tư bao gồm có các chính sách bảo vệ PHI bằng văn bản. có các quy trình xử lý dữ liệu bệnh nhân và các chính sách được cập nhật định kỳ.
Bên cạnh đó cần chia sẻ các quyền của bệnh nhân bao gồm:
- Truy cập hồ sơ y tế
- Yêu cầu chỉnh sửa dữ liệu
- Yêu cầu xóa hoặc hạn chế chia sẻ dữ liệu
- Nhận lịch sử truy cập dữ liệu
Bên cạnh đó bao gồm việc kiểm soát sử dụng PHI bao gồm có việc:
- Chỉ sử dụng PHI cho mục đích được cho phép
- Có cơ chế giới hạn truy cập tối thiểu (Minimum Necessary Rule)
- Có phân loại dữ liệu nhạy cảm
Thông báo quyền riêng tư
- Có Notice of Privacy Practices (NPP)
- Bệnh nhân được thông báo về cách sử dụng dữ liệu
>>> So sánh HIPAA và ISO 27001 và SOC 2: Điểm giống và khác nhau
3. Checklist HIPAA Security Rule
Việc quy luật bảo vệ HIPAA bao gồm có việc quản trị bảo mật, kiểm soát khu vực vật lý cũng như kiểm soát truy cập hệ thống. Cụ thể chi tiết về 3 quy tắc bảo mật nhu sau:
A. Administrative Safeguards
Biện pháp bảo vệ hành chính này bao gồm việc quản trị bảo mật, quản lý nhân sự cũng như quản lý truy cập. Checklist bao gồm:
Quản trị bảo mật
- Có chính sách an toàn thông tin
- Có Security Officer phụ trách HIPAA
- Có đánh giá rủi ro định kỳ
- Có quy trình xử lý sự cố
Quản lý nhân sự
- Đào tạo nhận thức HIPAA
- NDA cho nhân viên
- Quy trình thu hồi quyền khi nghỉ việc
Quản lý truy cập
- Phân quyền theo vai trò (RBAC)
- Chính sách mật khẩu mạnh
- MFA/2FA cho hệ thống quan trọng
B. Physical Safeguards
Trong việc áp dụng HIPAA, Physical Safeguards (Biện pháp bảo vệ vật lý) là tập hợp các yêu cầu nhằm bảo vệ hệ thống, thiết bị và khu vực lưu trữ dữ liệu y tế khỏi các nguy cơ truy cập trái phép, mất cắp, hư hỏng hoặc rò rỉ thông tin. Nói cách khác, đây là việc doanh nghiệp kiểm soát các yếu tố “vật lý” liên quan đến dữ liệu PHI/ePHI như văn phòng, phòng server, máy tính, thiết bị lưu trữ hay thiết bị làm việc của nhân viên.
Physical Safeguards thường bao gồm các hoạt động như:
- Kiểm soát ra vào khu vực lưu trữ dữ liệu y tế
- Phân quyền sử dụng máy tính và thiết bị
- Camera giám sát, khóa cửa, thẻ từ
- Chính sách sử dụng laptop, USB và thiết bị di động
- Bảo vệ phòng máy chủ (server room)
- Quy trình tiêu hủy thiết bị chứa dữ liệu y tế
- Kiểm soát truy cập vật lý đối với nhân sự và bên thứ ba
Mục tiêu của Physical Safeguards là đảm bảo dữ liệu sức khỏe điện tử (ePHI) luôn được bảo vệ an toàn ngay cả ở cấp độ thiết bị và cơ sở hạ tầng vật lý, từ đó giảm thiểu nguy cơ rò rỉ thông tin bệnh nhân hoặc truy cập trái phép.
C. Technical Safeguards
Trong hệ thống HIPAA, Technical Safeguards (Biện pháp bảo vệ kỹ thuật) là các yêu cầu liên quan đến việc áp dụng công nghệ và giải pháp kỹ thuật để bảo vệ dữ liệu sức khỏe điện tử (ePHI). Một trong những nội dung quan trọng nhất của nhóm này chính là kiểm soát truy cập hệ thống (Access Control).
Kiểm soát truy cập hệ thống là quá trình giới hạn và quản lý quyền truy cập vào hệ thống, dữ liệu và ứng dụng nhằm đảm bảo chỉ những người được cấp quyền mới có thể xem, sử dụng hoặc chỉnh sửa thông tin y tế nhạy cảm. Điều này giúp ngăn chặn truy cập trái phép, giảm nguy cơ rò rỉ dữ liệu bệnh nhân và tăng cường khả năng bảo mật cho tổ chức.
Các biện pháp kiểm soát truy cập thường bao gồm:
- Cấp tài khoản riêng cho từng nhân viên
- Thiết lập mật khẩu mạnh và xác thực đa yếu tố (MFA)
- Phân quyền theo vai trò công việc (Role-Based Access Control)
- Tự động khóa phiên đăng nhập khi không sử dụng
- Theo dõi và ghi log hoạt động truy cập hệ thống
- Giới hạn quyền truy cập vào dữ liệu PHI/ePHI
- Thu hồi quyền truy cập khi nhân sự nghỉ việc hoặc thay đổi vị trí
Mục tiêu của Technical Safeguardslà đảm bảo tính bảo mật, toàn vẹn và khả dụng của dữ liệu y tế điện tử, đồng thời giúp tổ chức đáp ứng đầy đủ các yêu cầu tuân thủ HIPAA trong môi trường số.
4. Checklist HIPAA Breach Notification Rule
Trong hệ thống HIPAA,HIPAA Breach Notification Rule chính là một nhóm các yêu cầu quy định cách tổ chức xử lý và thông báo khi xảy ra sự cố rò rỉ hoặc vi phạm dữ liệu y tế. Hệ thống này chính là một phần quan trọng có thể giúp tổ chức, doanh nghiệp phản ứng kịp thời trước khi có các sự cố an ninh thông tin và giảm thiểu tối đa các tác động đối với các bệnh nhân cũng như tổ chức.
Để đáp ứng yêu cầu này, doanh nghiệp cần xây dựng quy trình xử lý vi phạm dữ liệu rõ ràng, bao gồm việc thiết lập Incident Response Plan nhằm hướng dẫn các bước ứng phó khi xảy ra sự cố bảo mật. Đồng thời, tổ chức cần có quy trình điều tra sự cố để xác định nguyên nhân, phạm vi ảnh hưởng và mức độ nghiêm trọng của vụ việc.
Trong trường hợp xảy ra vi phạm dữ liệu, doanh nghiệp phải thực hiện thông báo cho bệnh nhân bị ảnh hưởng trong thời gian quy định theo HIPAA. Ngoài ra, nếu sự cố đạt ngưỡng báo cáo bắt buộc, tổ chức cũng cần gửi thông báo đến U.S. Department of Health and Human Services (HHS)theo đúng yêu cầu pháp lý.
Bên cạnh đó, các tổ chức, doanh nghiệp của bạn cần phải lưu trữ được hệ thống hồ sơ một cách đầy đủ để giúp phục vụ được hoạt động kiểm tra, đánh giá cũng như chứng minh sự tuân thủ. Với quá trình xử lý này cũng cần phải bao gồm các việc đánh giá mức độ ảnh hưởng, xác định phạm vi dữ liệu bị lộ cũng như thực hiện đánh giá rủi ro tác động đối với bệnh nhân và hệ thống của tổ chức nhằm đưa ra được các biện pháp khắc phục phù hợp.
5. Checklist HIPAA Business Associate Agreement (BAA)
Trong HIPAA, Business Associate Agreement (BAA) là thỏa thuận bắt buộc giữa tổ chức y tế và các bên thứ ba có liên quan đến việc truy cập, xử lý hoặc lưu trữ dữ liệu sức khỏe điện tử (ePHI). Mục tiêu của BAA là đảm bảo các đối tác và nhà cung cấp dịch vụ cũng phải tuân thủ các yêu cầu bảo mật và quyền riêng tư theo HIPAA.
Hợp đồng với bên thứ ba
- Có ký BAA với vendor liên quan
- Cloud provider có hỗ trợ HIPAA
Đánh giá nhà cung cấp
- Security assessment
- Kiểm tra chứng nhận: như SOC 2, ISO 27001, HITRUST vv
6. Checklist quản lý rủi ro HIPAA
Risk Assessment
- Xác định tài sản thông tin
- Xác định mối đe dọa
- Phân tích lỗ hổng
- Đánh giá mức độ rủi ro
Sau khi xác định tài sản thông tin, tổ chức cần nhận diện các mối đe dọa có thể ảnh hưởng đến hệ thống như tấn công mạng, truy cập trái phép, mã độc, rò rỉ dữ liệu hoặc lỗi từ con người. Đồng thời, doanh nghiệp phải tiến hành phân tích lỗ hổng bảo mật để tìm ra các điểm yếu tồn tại trong hệ thống, quy trình hoặc hạ tầng CNTT. Từ đó, tổ chức sẽ thực hiện đánh giá mức độ rủi ro dựa trên khả năng xảy ra và mức độ tác động đối với dữ liệu ePHI.
7. Checklist đào tạo & nhận thức
Chương trình đào tạo HIPAA
- Đào tạo định kỳ hàng năm
- Đào tạo phishing
- Đào tạo xử lý PHI
Đánh giá nhận thức
- Kiểm tra sau đào tạo
- Mô phỏng tấn công email
8. Checklist kiểm tra kỹ thuật bảo mật
Việc kiểm tra kỹ thuật bảo mật chính là việc làm bao gồm khá nhiều việc kiểm tra bảo mật, kiểm thử và các cơ sở hạ tầng. Việc kiểm tra này bao gồm các thông tin như sau:
Hạ tầng CNTT
- Firewall
- IDS/IPS
- EDR/XDR
- Antivirus
Kiểm thử bảo mật
- Vulnerability Assessment
- Penetration Testing
- Security Scan
Cloud Security
- Kiểm soát IAM
- Cloud encryption
- Backup & DR
9. Checklist tài liệu bắt buộc
Hồ sơ cần có các loại tài liệu bắt buộc như sau:
- Chính sách HIPAA
- Risk Assessment Report
- Incident Response Plan
- Asset Inventory
- Access Control Policy
- Training Record
- Audit Log
Những hành vi vi phạm HIPAA phổ biến
So sánh ISO/IEC 42001 vs ISO/IEC 27001
Vòng đời hệ thống AI theo ISO/IEC 23053:2022
AI bias là gì? Doanh nghiệp tìm hiểu về thiên kiến AI
10 rủi ro lớn nhất khi doanh nghiệp ứng dụng AI
Hệ thống quản lý AI theo tiêu chuẩn quốc tế
