Centers for Medicare and Medicaid Services (CMS)

CMS jest jednostką operacyjną Departamentu Zdrowia i Opieki Społecznej Stanów Zjednoczonych (HHS) z siedzibą w Baltimore w stanie Maryland. Powstała w 1977 roku jako Health Care Financing Administration, a w 2001 roku zmieniła nazwę. Dzięki swoim programom CMS jest największym pojedynczym nabywcą usług medycznych w USA. Jej reguły stają się więc faktycznym punktem odniesienia dla szpitali, lekarzy, płatników i ich dostawców.

CMS decyduje, co obejmują jej programy, ustala politykę płatności i publikuje warunki, które muszą spełnić świadczeniodawcy, aby uczestniczyć w programach. Zbiera też ogromne ilości danych o rozliczeniach i beneficjentach. To właśnie te dane oraz związane z nimi warunki sprawiają, że CMS ma znaczenie dla bezpieczeństwa danych.

CMS najlepiej rozumieć przez jego programy:

Poza ubezpieczeniami CMS ma drugi, mniej widoczny mandat: uproszczenie administracyjne w ramach HIPAA. Ustawa zobowiązała HHS do standaryzacji elektronicznych transakcji w ochronie zdrowia, a CMS opracowuje i utrzymuje te standardy. Obejmują one formaty transakcji dla rozliczeń, uprawnień i płatności, zestawy kodów, takie jak ICD-10 i HCPCS, które nadają diagnozom i procedurom wspólne słownictwo, oraz National Provider Identifier przydzielany każdemu świadczeniodawcy.

Egzekwowanie to osobna sprawa. Pierwotnie CMS odpowiadał także za Security Rule w HIPAA. Od ustawy HITECH z 2009 roku Privacy Rule i Security Rule, wraz z obowiązkiem zgłaszania naruszeń, egzekwuje Office for Civil Rights w HHS. CMS pozostaje opiekunem standardów transakcyjnych i kodowych. Organizacje wymieniające transakcje z CMS lub jego wykonawcami, w tym podmioty objęte przepisami HIPAA, muszą nadal spełniać te wymagania.

Obowiązki wynikające z CMS docierają do organizacji wieloma kanałami. Większość z nich zawiera oczekiwania dotyczące bezpieczeństwa:

1. 1

   Warunki uczestnictwa

   Zabezpieczenia danych pacjentów, sprawdzane kontrolami i audytami

2. 2

   Zgodność transakcji

   Niezgodne transakcje są odrzucane, więc to kwestia cyklu przychodów

3. 3

   Umowy o wykorzystaniu danych

   Określają dostęp, miejsce przechowywania i ochronę danych CMS

4. 4

   Zgłaszanie incydentów

   Utrata danych pacjentów wymaga powiadomień, a incydenty w systemach CMS także zgłaszania

Dla zespołu bezpieczeństwa obowiązki wynikające z CMS sprowadzają się do znanego zestawu zabezpieczeń. Security Rule w HIPAA, traktowana jako punkt odniesienia dla uczestniczących świadczeniodawców, wymaga udokumentowanej analizy ryzyka, zarządzania dostępem opartego na rolach, audytu systemów przetwarzających chronione informacje zdrowotne, ochrony integralności i bezpieczeństwa transmisji. Umowy o wykorzystaniu danych dodają zasady dotyczące lokalizacji przechowywania, szyfrowania, rejestrowania dostępu i tego, kto może pracować z danymi.

Skala ma takie samo znaczenie jak treść. Organizacje medyczne prowadzą systemy kliniczne, platformy rozliczeniowe i środowiska badawcze, a pracownicy przesyłają dane pacjentów pocztą e-mail, plikami, usługami chmurowymi i urządzeniami przenośnymi. Spełnienie oczekiwań CMS wymaga więc wiedzy, gdzie znajdują się regulowane dane, kontroli kanałów, którymi mogą wyjść, oraz kompletnych zapisów na potrzeby audytu lub postępowania.

CMS nie tylko publikuje zasady, ale je egzekwuje. Agencja może nakładać kary pieniężne, od niespełnienia warunków uczestnictwa po niewłaściwe postępowanie z danymi programów federalnych. Kwoty są co roku korygowane o inflację. Wraz z HHS Office of Inspector General CMS może też wykluczyć świadczeniodawców z federalnych programów zdrowotnych, co dla wielu jest dotkliwsze niż grzywna.

Naruszenia HIPAA karze Office for Civil Rights według stopniowanej skali zależnej od winy, od naruszeń nieumyślnych po rażące zaniedbanie pozostawione bez korekty. Prokuratorzy generalni stanów mogą działać w imieniu mieszkańców. Jeden incydent naruszenia danych, na przykład wyciek danych pacjentów, może uruchomić jednocześnie zasady CMS, egzekwowanie HIPAA i stanowe przepisy o naruszeniach, dlatego kontrole i reagowanie na incydenty planuje się z myślą o wszystkich trzech.

Zacznij od ustalenia, gdzie znajdują się regulowane dane pacjentów i beneficjentów, bo od tego zależy każdy z opisanych obowiązków. Do ich oznaczenia służy klasyfikacja danych, a potem trzeba ustalić kanały, którymi dane mogą wyjść: pocztę e-mail, udostępnianie plików, usługi chmurowe i urządzenia przenośne.

Kontrole i zapisy wynikają z tej mapy. Zasady pisane dla wszystkiego naraz kończą blokowaniem zwykłej pracy i zostają wyłączone.