Centers for Medicare and Medicaid Services (CMS)

Il CMS è una divisione operativa del Dipartimento della Salute e dei Servizi Umani degli Stati Uniti (HHS), con sede a Baltimora, nel Maryland. È stato creato nel 1977 come Health Care Financing Administration e rinominato nel 2001. Attraverso i suoi programmi, il CMS è il più grande singolo acquirente di assistenza sanitaria negli Stati Uniti. Le sue regole fungono quindi da riferimento di fatto per ospedali, medici, assicuratori sanitari e i loro fornitori.

Il CMS decide cosa coprono i suoi programmi, definisce la politica dei pagamenti e pubblica le condizioni che i fornitori devono soddisfare per partecipare. Raccoglie inoltre grandi volumi di dati di fatturazione e sugli assistiti. Questi dati, e le condizioni che li accompagnano, sono il punto in cui il CMS diventa rilevante per la sicurezza dei dati.

Il CMS si capisce meglio attraverso i suoi programmi:

Il CMS ha anche un mandato meno visibile: la semplificazione amministrativa prevista dalla HIPAA. La legge ha incaricato l'HHS di standardizzare le transazioni elettroniche nel settore sanitario, e il CMS sviluppa e mantiene questi standard. Comprendono i formati delle transazioni per rimborsi, idoneità e pagamenti, sistemi di codici come ICD-10 e HCPCS, che danno un vocabolario comune a diagnosi e prestazioni, e il National Provider Identifier assegnato a ogni fornitore interessato.

L'applicazione è una questione a parte. In origine il CMS era responsabile anche della HIPAA Security Rule. Dalla legge HITECH del 2009, l'Office for Civil Rights dell'HHS fa rispettare le norme su privacy e sicurezza, insieme all'obbligo di notifica delle violazioni. Il CMS resta il custode degli standard di transazione e di codifica. Le organizzazioni che scambiano transazioni con il CMS o con i suoi appaltatori, comprese le entità coperte, devono continuare a rispettare questi requisiti.

Gli obblighi legati al CMS raggiungono le organizzazioni attraverso diversi canali. La maggior parte comporta aspettative in materia di sicurezza:

1. 1

   Condizioni di partecipazione

   Garanzie per le informazioni dei pazienti, verificate con ispezioni e audit.

2. 2

   Conformità delle transazioni

   Le transazioni non conformi vengono respinte, quindi è una questione di ricavi.

3. 3

   Accordi sull'uso dei dati

   Definiscono chi accede, dove vengono conservati e come sono protetti i dati del CMS.

4. 4

   Segnalazione degli incidenti

   La perdita di dati dei pazienti fa scattare le notifiche, e gli incidenti nei sistemi del CMS vanno segnalati.

Per un team di sicurezza, gli obblighi legati al CMS convergono su un insieme di controlli ben noto. La HIPAA Security Rule è il riferimento operativo per i fornitori partecipanti. Richiede un'analisi del rischio documentata, la gestione degli accessi basata sui ruoli, controlli di audit sui sistemi che trattano informazioni sanitarie protette, la tutela dell'integrità e la sicurezza della trasmissione. Gli accordi sull'uso dei dati aggiungono regole su luogo di conservazione, cifratura, registrazione degli accessi e chi può lavorare con i dati.

La scala conta quanto il contenuto. Le organizzazioni sanitarie gestiscono sistemi clinici, piattaforme di fatturazione e ambienti di ricerca, e il loro personale sposta dati dei pazienti via e-mail, file, servizi cloud e dispositivi portatili. Rispettare le aspettative del CMS significa quindi sapere dove si trovano i dati regolamentati, controllare i canali da cui possono uscire e conservare registrazioni abbastanza complete per un audit o un'indagine.

Il CMS non si limita a pubblicare regole, le fa rispettare. L'agenzia può imporre sanzioni pecuniarie civili, dal mancato rispetto delle condizioni di partecipazione fino al trattamento scorretto dei dati dei programmi federali. Gli importi vengono aggiornati ogni anno in base all'inflazione. Insieme all'HHS Office of Inspector General, il CMS può inoltre escludere i fornitori dai programmi sanitari federali, che per molti è una conseguenza più pesante di qualsiasi multa.

Le violazioni della HIPAA sono sanzionate dall'Office for Civil Rights con una scala graduata in base alla colpa, dalle violazioni involontarie alla negligenza deliberata non corretta. Anche i procuratori generali dei singoli stati possono agire per conto dei loro residenti. Una singola violazione di dati, come la fuga di cartelle cliniche, può attivare contemporaneamente le regole del CMS, l'applicazione della HIPAA e le leggi statali sulle notifiche, quindi controlli e risposta agli incidenti vengono pianificati su tutti e tre i fronti.

Inizia individuando dove si trovano i dati regolamentati di pazienti e assistiti, perché ogni obbligo descritto sopra dipende da questo. La classificazione dei dati serve a contrassegnarli, poi bisogna mappare i canali da cui possono uscire: e-mail, condivisione di file, servizi cloud e dispositivi portatili.

Controlli e registrazioni derivano da questa mappa. Le policy scritte per tutto insieme finiscono per bloccare il lavoro ordinario e vengono disattivate.