Verificatore di Conformità HIPAA

Input

Practices

We are a telehealth startup. Patient video visits run through a third-party API, session notes are stored in a cloud Postgres database, and clinicians access records via a web app with email/password login. PHI is sometimes emailed to patients as PDFs. Backups are stored in cloud object storage. We have not yet signed BAAs with all vendors.

Entity Type

covered

Focus

full

Output (estratto)

Istantanea di conformità HIPAA

Lacune segnalate:
1. BAA mancanti - Qualsiasi fornitore che tocca dati sanitari (PHI) (API video, DB cloud, object storage) richiede un Business Associate Agreement firmato. Priorità ALTA.
2. Autenticazione - Solo email/password è debole; imponi l'MFA per l'accesso dei clinici.
3. Invio di PHI via email - PDF non cifrati via email rischiano una divulgazione non consentita; usa un portale paziente sicuro o un invio cifrato.
4. Crittografia - Verifica che i PHI siano cifrati a riposo e in transito.

Prossimo passo: dai priorità a BAA e MFA. Questo testo è informativo, non un parere legale.

Input

Practices

We are a medical billing company that processes claims on behalf of several clinics. We receive patient demographics, diagnosis codes, and insurance details via SFTP. Staff work remotely on company laptops. We have BAAs with our clinic clients but our staff sometimes use personal phones to check work email.

Entity Type

business_associate

Focus

security

Output (estratto)

Revisione della Security Rule (business associate)

Punti di forza: SFTP per i trasferimenti e BAA con i clienti già in essere.

Rischi:
1. Uso di dispositivi personali - Accedere ai PHI su telefoni personali non gestiti viola i controlli sui dispositivi; richiedi MDM o limita ai dispositivi aziendali.
2. Endpoint remoti - Assicura la crittografia dell'intero disco e il blocco automatico su tutti i laptop.
3. Controlli di accesso - Implementa accesso basato sui ruoli e log di audit su chi visualizza quali record.
4. Si raccomanda un'analisi dei rischi documentata e una formazione del personale sulla sicurezza.

Input

Practices

We run a small wellness coaching business that collects client health intake forms, including conditions and medications, stored in a shared cloud drive. We are not sure whether we count under HIPAA. Forms are sometimes printed and kept in an unlocked filing cabinet at the front desk.

Entity Type

unsure

Focus

privacy

Output (estratto)

Revisione della privacy (status incerto)

Prima cosa: l'HIPAA si applica generalmente se fatturi l'assicurazione in via elettronica o agisci per conto di un'entità coperta. Se accetti solo contanti e non trasmetti mai richieste di rimborso, potresti restarne fuori - ma le leggi statali sulla privacy si applicano comunque.

Indipendentemente dallo status, correggi questi punti:
1. Schedario non chiuso a chiave - Chiudi a chiave tutti i documenti cartacei con informazioni sanitarie.
2. Drive cloud condiviso - Limita l'accesso a personale nominato; evita link di condivisione aperti.
3. Aggiungi un'informativa sulla privacy chiara che descriva come vengono usati i dati dei clienti.