‏Centers for Medicare and Medicaid Services (CMS)

مركز CMS وحدة تشغيلية تابعة لوزارة الصحة والخدمات الإنسانية الأمريكية (HHS)، ويقع مقرها في بولتيمور بولاية ماريلاند. أُنشئ عام 1977 باسم Health Care Financing Administration، ثم أُعيدت تسميته عام 2001. ومن خلال برامجه، يُعد CMS أكبر مشترٍ منفرد للرعاية الصحية في الولايات المتحدة، لذلك تعمل قواعده بوصفها مرجعاً فعلياً للمستشفيات والأطباء وشركات التأمين الصحي ومزوّديها.

يحدد CMS ما تغطيه برامجه، ويضع سياسة الدفع، وينشر الشروط التي يجب على مقدمي الخدمات استيفاؤها للمشاركة. كما يجمع كميات كبيرة من بيانات المطالبات والمستفيدين. وهذه البيانات، والشروط المرتبطة بها، هي ما يجعل CMS ذا صلة بـأمن البيانات.

يُفهم CMS بشكل أفضل من خلال برامجه:

لدى CMS أيضاً تفويض أقل وضوحاً: التبسيط الإداري بموجب HIPAA. ألزم القانون وزارة الصحة بتوحيد المعاملات الصحية الإلكترونية، ويطوّر CMS هذه المعايير ويحافظ عليها. وتشمل صيغ المعاملات للمطالبات والأهلية والمدفوعات، ومجموعات الرموز مثل ICD-10 وHCPCS التي تمنح التشخيصات والإجراءات مفردات مشتركة، والمعرّف الوطني لمقدم الخدمة National Provider Identifier المخصص لكل مقدم خدمة مشمول.

أما الإنفاذ فمسألة منفصلة. كان CMS مسؤولاً في الأصل عن قاعدة الأمن في HIPAA أيضاً. ومنذ قانون HITECH لعام 2009، يتولى مكتب الحقوق المدنية في HHS إنفاذ قواعد الخصوصية والأمان، إلى جانب إشعار خرق البيانات. ويبقى CMS الجهة المشرفة على معايير المعاملات وأنظمة الرموز. وعلى المنظمات التي تتبادل المعاملات مع CMS أو متعاقديه، بما في ذلك الكيانات المشمولة، أن تواصل استيفاء هذه المتطلبات.

تصل التزامات CMS إلى المنظمات عبر عدة قنوات، ويحمل معظمها توقعات أمنية:

1. 1

   شروط المشاركة

   ضمانات لحماية معلومات المرضى، تُتحقق منها بالمسوح والتدقيق.

2. 2

   الامتثال للمعاملات

   تُرفض المطالبات غير المتوافقة، لذلك فالأمر مسألة إيرادات.

3. 3

   اتفاقيات استخدام البيانات

   تحدد الوصول وموقع التخزين وحماية بيانات CMS.

4. 4

   الإبلاغ عن الحوادث الأمنية

   يؤدي فقدان بيانات المرضى إلى إشعارات، ويجب الإبلاغ عن حوادث أنظمة CMS.

بالنسبة لفريق الأمن، تتلاقى الالتزامات المرتبطة بـCMS عند مجموعة مألوفة من الضوابط. وتُعد قاعدة الأمن في HIPAA المرجع التشغيلي لمقدمي الخدمات المشاركين. وهي تتوقع تحليلاً موثقاً للمخاطر، وإدارة وصول قائمة على الأدوار، وضوابط تدقيق على الأنظمة التي تعالج المعلومات الصحية المحمية، وحماية لسلامة البيانات وأمان النقل. وتضيف اتفاقيات استخدام البيانات قواعد تتعلق بموقع التخزين والتشفير وتسجيل الوصول ومن يحق له العمل بالبيانات.

الحجم يهم بقدر أهمية المحتوى. تشغّل المنظمات الصحية أنظمة سريرية ومنصات فوترة وبيئات بحثية، ويُنقل موظفوها بيانات المرضى عبر البريد الإلكتروني والملفات وخدمات السحابة والأجهزة المحمولة. لذلك فإن تلبية توقعات CMS تعني معرفة مكان البيانات الخاضعة للتنظيم، والتحكم في القنوات التي يمكن أن تخرج منها، والاحتفاظ بسجلات كاملة بما يكفي لتدقيق أو تحقيق.

لا يكتفي CMS بنشر القواعد بل يفرض تطبيقها. يمكن للوكالة فرض غرامات مالية مدنية، من الإخلال بشروط المشاركة إلى سوء التعامل مع بيانات البرامج الفيدرالية. وتُعدَّل المبالغ سنوياً بحسب التضخم. ويمكن لـCMS، بالتعاون مع مكتب المفتش العام في HHS، استبعاد مقدمي الخدمات من برامج الصحة الفيدرالية، وهو إجراء أشد وطأة على كثيرين من أي غرامة.

تُعاقب الوكالة على مخالفات HIPAA عبر مكتب الحقوق المدنية وفق مقياس متدرج يعكس درجة المسؤولية، من المخالفات غير المقصودة إلى الإهمال المتعمد الذي لم يُصحح. ويمكن للمدعين العامين في الولايات التصرف نيابة عن سكانها. وقد يُفعّل حادث خرق بيانات واحد، مثل تسريب سجلات المرضى، قواعد CMS وإنفاذ HIPAA وقوانين الإشعار بالخرق في الولاية في آن واحد، ولذلك تُخطط الضوابط والاستجابة للحوادث لمواجهة الجهات الثلاث معاً.

ابدأ بتحديد مكان بيانات المرضى والمستفيدين الخاضعة للتنظيم، لأن كل التزام مذكور أعلاه يعتمد عليها. وتصنيف البيانات هو الطريقة العملية لوسمها، ثم تأتي القنوات التي يمكن أن تخرج منها: البريد الإلكتروني، ومشاركة الملفات، وخدمات السحابة، والأجهزة المحمولة.

تنبثق الضوابط والسجلات من هذه الخريطة. أما السياسات التي تُكتب لكل شيء دفعة واحدة فتنتهي بعرقلة العمل اليومي وتُعطَّل.