Servicios de cumplimiento
Cumplimiento HIPAA que protege a los pacientes — y a su empresa
Identifique brechas respecto a los requisitos de HIPAA aplicables a su organización. Las evaluaciones de Auditsuisse documentan el alcance acordado, los hallazgos y las prioridades de las medidas correctivas para apoyar su trabajo continuo de cumplimiento.
¿Qué es el cumplimiento HIPAA?
HIPAA regula los planes de salud, las entidades de compensación de información sanitaria y los proveedores de atención sanitaria que realizan transacciones electrónicas cubiertas. Los asociados comerciales tienen obligaciones aplicables cuando desempeñan funciones o prestan servicios cubiertos que implican información sanitaria protegida en nombre de una entidad cubierta o de otro asociado comercial. Una empresa tecnológica no está sujeta a HIPAA por el mero hecho de manejar algún tipo de dato de salud.
La Oficina de Derechos Civiles del HHS hace cumplir las Reglas de Privacidad, Seguridad y Notificación de Brechas de HIPAA. Los importes de las sanciones pecuniarias civiles y las políticas de aplicación pueden cambiar. La determinación de cualquier sanción depende de las normas aplicables y de los hechos del caso.
Regla del HHS sobre el ajuste de sanciones (en inglés)
Auditsuisse combina su experiencia en la regulación del sector de la salud en Estados Unidos con la precisión suiza para realizar evaluaciones HIPAA que van mucho más allá de marcar casillas. Como firma CPA con licencia en Estados Unidos, conocemos la intersección de la HIPAA con SOC 2, HITRUST y las leyes de privacidad de los distintos estados — una ventaja para las empresas de salud digital de España y América Latina que se dirigen al mercado estadounidense y deben demostrar su cumplimiento ante hospitales, aseguradoras y socios de ese país. Las evaluaciones estándar comienzan en 2000 USD, según el número de empleados de la empresa — consulte la lista completa de precios HIPAA.
Qué incluye
Evaluación HIPAA de principio a fin
Evaluación de riesgos de seguridad
SRA (Security Risk Assessment) exhaustiva, alineada con NIST SP 800-66 y las guías de la OCR, que abarca todos los sistemas con ePHI, sus amenazas y vulnerabilidades.
Revisión de la Privacy Rule
Evaluación de sus políticas sobre derechos de los pacientes, principio de uso mínimo necesario, autorizaciones y aviso de prácticas de privacidad (Notice of Privacy Practices).
Análisis de brechas y remediación
Informe detallado de hallazgos con una hoja de ruta de remediación priorizada, calificación de riesgos y orientación práctica para la implementación.
Revisión de políticas y procedimientos
Evaluación de sus políticas, procedimientos y documentación HIPAA frente a los requisitos regulatorios vigentes y las mejores prácticas.
Evaluación de la formación del personal
Revisión de su programa de sensibilización en seguridad y recomendaciones de formación del personal específicas para la HIPAA.
Planificación de la respuesta a incidentes
Evaluación de sus procedimientos de notificación de violaciones de seguridad y de su preparación para responder a incidentes frente a los requisitos de la Breach Notification Rule de la HIPAA.
Nuestro proceso
Un enfoque estructurado del cumplimiento HIPAA
Diagnóstico inicial
Conocemos el tipo de organización, sus flujos de ePHI y su situación actual de cumplimiento para ajustar el alcance de la evaluación.
Evaluación
Realizamos la evaluación de riesgos de seguridad, las revisiones de privacidad y las pruebas técnicas en todos los sistemas incluidos en el alcance.
Remediación
Entregamos hallazgos priorizados y trabajamos junto a su equipo para cerrar las brechas y reforzar los controles.
Hallazgos de la evaluación
Documente los hallazgos acordados y cualquier revisión de medidas correctivas realizada dentro del alcance del encargo. Toda carta de evaluación y cualquier trabajo de seguimiento deben describir su alcance, sus limitaciones y la fecha de revisión.
Preguntas frecuentes
¿Qué es la HIPAA?
HIPAA regula los planes de salud, las entidades de compensación de información sanitaria y los proveedores de atención sanitaria que realizan transacciones electrónicas cubiertas. Los asociados comerciales tienen obligaciones aplicables cuando desempeñan funciones o prestan servicios cubiertos que implican información sanitaria protegida en nombre de una entidad cubierta o de otro asociado comercial. Una empresa tecnológica no está sujeta a HIPAA por el mero hecho de manejar algún tipo de dato de salud.
¿Quién debe cumplir con la HIPAA?
HIPAA regula los planes de salud, las entidades de compensación de información sanitaria y los proveedores de atención sanitaria que realizan transacciones electrónicas cubiertas. Los asociados comerciales tienen obligaciones aplicables cuando desempeñan funciones o prestan servicios cubiertos que implican información sanitaria protegida en nombre de una entidad cubierta o de otro asociado comercial. Una empresa tecnológica no está sujeta a HIPAA por el mero hecho de manejar algún tipo de dato de salud.
¿Qué es una evaluación de riesgos de seguridad HIPAA?
Una evaluación de riesgos de seguridad HIPAA (Security Risk Assessment, SRA) es una evaluación exhaustiva de los riesgos y vulnerabilidades que pueden afectar a la confidencialidad, la integridad y la disponibilidad de la información de salud protegida electrónica (ePHI). Exigida por la Security Rule de la HIPAA, consiste en identificar los activos que contienen ePHI, evaluar las amenazas y vulnerabilidades, valorar las medidas de seguridad existentes y determinar la probabilidad y el impacto de posibles violaciones de seguridad.
¿Cuánto cuesta una evaluación HIPAA?
Auditsuisse publica honorarios iniciales estándar para sus auditorías y evaluaciones HIPAA: 2000 USD para organizaciones de 1 a 20 empleados, 3000 USD de 21 a 35, 4000 USD de 36 a 50, 5000 USD de 51 a 100 y 10 000 USD de 101 a 250 empleados, con presupuesto personalizado para más de 250. El honorario final depende de la participación de un MSP, del uso de una plataforma GRC (no se exige ninguna plataforma) y de la duración del período de observación. La lista completa de precios está publicada en auditsuisse.com/es/precios-hipaa.
¿Una evaluación de HIPAA proporciona una certificación gubernamental?
No. El HHS no reconoce las certificaciones privadas de la Regla de Seguridad como prueba de cumplimiento. Una evaluación externa documenta el trabajo realizado dentro de su alcance declarado; no elimina las obligaciones legales de la organización ni impide que el HHS determine que se ha producido una infracción.
Orientaciones del HHS sobre la certificación privada de la Regla de Seguridad (en inglés)
Comenzar
Proteja los datos de sus pacientes con confianza
Hable con nuestro equipo sobre su organización, su entorno de ePHI y sus necesidades de evaluación para definir un alcance y un entregable adecuados.