Centers for Medicare and Medicaid Services (CMS)

Το CMS είναι επιχειρησιακή μονάδα του Υπουργείου Υγείας και Ανθρωπίνων Υπηρεσιών των ΗΠΑ (HHS), με έδρα τη Βαλτιμόρη του Μέριλαντ. Ιδρύθηκε το 1977 ως Health Care Financing Administration και μετονομάστηκε το 2001. Μέσω των προγραμμάτων του, το CMS είναι ο μεγαλύτερος μεμονωμένος αγοραστής υπηρεσιών υγείας στις ΗΠΑ. Οι κανόνες του λειτουργούν έτσι, στην πράξη, ως σημείο αναφοράς για νοσοκομεία, γιατρούς, ασφαλιστικά ταμεία και τους προμηθευτές τους.

Η υπηρεσία αποφασίζει τι καλύπτουν τα προγράμματά της, καθορίζει την πολιτική πληρωμών και δημοσιεύει τους όρους που πρέπει να πληρούν οι πάροχοι για να συμμετέχουν. Συγκεντρώνει επίσης τεράστιο όγκο δεδομένων τιμολόγησης και δικαιούχων. Τα δεδομένα αυτά και οι όροι που τα συνοδεύουν είναι το σημείο όπου το CMS γίνεται σχετικό με την ασφάλεια δεδομένων.

Το CMS κατανοείται καλύτερα μέσα από τα προγράμματά του:

Πέρα από τις ασφαλίσεις, το CMS έχει μια δεύτερη, λιγότερο ορατή αποστολή: τη διοικητική απλοποίηση της HIPAA. Ο νόμος ανέθεσε στο HHS την τυποποίηση των ηλεκτρονικών συναλλαγών υγείας, και το CMS αναπτύσσει και συντηρεί αυτά τα πρότυπα. Περιλαμβάνουν μορφές συναλλαγών για αποζημιώσεις, επιλεξιμότητα και πληρωμές, σύνολα κωδίκων όπως ICD-10 και HCPCS, που δίνουν κοινό λεξιλόγιο σε διαγνώσεις και πράξεις, και τον National Provider Identifier που αποδίδεται σε κάθε καλυπτόμενο πάροχο.

Η επιβολή είναι ξεχωριστό ζήτημα. Αρχικά το CMS ήταν υπεύθυνο και για τον Security Rule της HIPAA. Από τον νόμο HITECH του 2009, το HHS Office for Civil Rights επιβάλλει τους κανόνες ιδιωτικότητας και ασφάλειας, καθώς και την κοινοποίηση παραβιάσεων. Το CMS παραμένει θεματοφύλακας των προτύπων συναλλαγών και κωδίκων. Οι οργανισμοί που ανταλλάσσουν συναλλαγές με το CMS ή με τους αναδόχους του, συμπεριλαμβανομένων των καλυπτόμενων φορέων, πρέπει ακόμη να πληρούν τις απαιτήσεις του.

Οι υποχρεώσεις του CMS φτάνουν στους οργανισμούς μέσω πολλών καναλιών. Οι περισσότερες περιλαμβάνουν προσδοκίες ασφάλειας:

1. 1

   Όροι συμμετοχής

   Δικλείδες για τα δεδομένα ασθενών, που ελέγχονται με επιθεωρήσεις και audits

2. 2

   Συμμόρφωση συναλλαγών

   Οι μη συμμορφούμενες συναλλαγές απορρίπτονται, άρα είναι θέμα εσόδων

3. 3

   Συμφωνίες χρήσης δεδομένων

   Ορίζουν ποιος έχει πρόσβαση, πού αποθηκεύονται και πώς προστατεύονται

4. 4

   Αναφορά περιστατικών

   Απώλεια δεδομένων ασθενών απαιτεί κοινοποίηση και αναφορά στην υπηρεσία

Για μια ομάδα ασφάλειας, οι υποχρεώσεις που σχετίζονται με το CMS συγκλίνουν σε ένα οικείο σύνολο ελέγχων. Ο Security Rule της HIPAA, ως βάση αναφοράς για τους συμμετέχοντες παρόχους, απαιτεί τεκμηριωμένη ανάλυση κινδύνου, διαχείριση πρόσβασης με βάση ρόλους, ελέγχους audit σε συστήματα με προστατευόμενες υγειονομικές πληροφορίες, προστασία ακεραιότητας και ασφάλεια μετάδοσης. Οι συμφωνίες χρήσης δεδομένων προσθέτουν κανόνες για τον τόπο αποθήκευσης, την κρυπτογράφηση, την καταγραφή πρόσβασης και για το ποιος μπορεί να εργάζεται με τα δεδομένα.

Η κλίμακα μετράει όσο και το περιεχόμενο. Οι οργανισμοί υγείας διατηρούν κλινικά συστήματα, πλατφόρμες τιμολόγησης και ερευνητικά περιβάλλοντα, ενώ το προσωπικό μεταφέρει δεδομένα ασθενών με email, αρχεία, υπηρεσίες cloud και φορητές συσκευές. Η κάλυψη των προσδοκιών του CMS απαιτεί γνώση του πού βρίσκονται τα ρυθμιζόμενα δεδομένα, έλεγχο των καναλιών εξόδου τους και πλήρη αρχεία για audit ή έρευνα.

Το CMS δεν δημοσιεύει απλώς κανόνες, τους επιβάλλει. Η υπηρεσία μπορεί να επιβάλει χρηματικές ποινές, από τη μη τήρηση των όρων συμμετοχής έως τον ακατάλληλο χειρισμό δεδομένων ομοσπονδιακών προγραμμάτων, με ποσά που αναπροσαρμόζονται ετησίως για τον πληθωρισμό. Μαζί με το HHS Office of Inspector General, το CMS μπορεί επίσης να αποκλείσει παρόχους από τα ομοσπονδιακά προγράμματα υγείας, κάτι που για πολλούς είναι βαρύτερο από κάθε πρόστιμο.

Οι παραβιάσεις της HIPAA επιβάλλονται από το Office for Civil Rights με κλιμακούμενη δομή ανάλογη του βαθμού υπαιτιότητας, από μη εσκεμμένες παραβιάσεις έως εκούσια αμέλεια που δεν διορθώθηκε. Οι γενικοί εισαγγελείς των πολιτειών μπορούν επίσης να δράσουν για λογαριασμό των κατοίκων τους. Ένα μόνο περιστατικό παραβίασης δεδομένων, όπως η διαρροή αρχείων ασθενών, μπορεί να ενεργοποιήσει ταυτόχρονα τους κανόνες του CMS, την επιβολή της HIPAA και τους πολιτειακούς νόμους για παραβιάσεις.

Ξεκινήστε εντοπίζοντας πού βρίσκονται τα ρυθμιζόμενα δεδομένα ασθενών και δικαιούχων, επειδή κάθε υποχρέωση που περιγράφηκε παραπάνω εξαρτάται από αυτά. Η κατηγοριοποίηση δεδομένων είναι ο πρακτικός τρόπος να τα σημάνετε, και στη συνέχεια χαρτογραφείτε τα κανάλια από τα οποία μπορούν να διαρρεύσουν: email, κοινή χρήση αρχείων, υπηρεσίες cloud και φορητές συσκευές.

Οι δικλείδες και τα αρχεία προκύπτουν από αυτόν τον χάρτη. Οι πολιτικές που γράφονται για όλα μαζί καταλήγουν να μπλοκάρουν την κανονική εργασία και να απενεργοποιούνται.