Centers for Medicare and Medicaid Services (CMS)

O CMS é uma divisão operacional do Departamento de Saúde e Serviços Humanos dos EUA (HHS), com sede em Baltimore, Maryland. Foi criado em 1977 como Health Care Financing Administration e renomeado em 2001. Por meio de seus programas, o CMS é o maior comprador individual de serviços de saúde nos Estados Unidos. Por isso, suas regras funcionam como referência de fato para hospitais, médicos, operadoras de planos de saúde e seus fornecedores.

O CMS decide o que seus programas cobrem, define a política de pagamentos e publica as condições que os prestadores precisam cumprir para participar. Também coleta grandes volumes de dados de faturamento e de beneficiários. Esses dados, e as condições que os acompanham, são o ponto em que o CMS se torna relevante para a segurança de dados.

O CMS se entende melhor por meio de seus programas:

O CMS tem ainda um mandato menos visível: a simplificação administrativa prevista pela HIPAA. A lei determinou que o HHS padronizasse as transações eletrônicas de saúde, e o CMS desenvolve e mantém esses padrões. Eles incluem formatos de transação para faturamento, elegibilidade e pagamentos; conjuntos de códigos, como ICD-10 e HCPCS, que dão vocabulário comum a diagnósticos e procedimentos; e o National Provider Identifier atribuído a cada prestador abrangido.

A fiscalização é outra questão. Originalmente, o CMS também era responsável pela Security Rule da HIPAA. Desde a lei HITECH, de 2009, o Office for Civil Rights do HHS aplica as regras de privacidade e segurança, além da notificação de violações. O CMS continua como guardião dos padrões de transação e de códigos. As organizações que trocam transações com o CMS ou com seus contratados, incluindo as entidades cobertas, precisam continuar cumprindo esses requisitos.

As obrigações do CMS chegam às organizações por vários canais. A maioria inclui expectativas de segurança:

1. 1

   Condições de participação

   Salvaguardas para as informações dos pacientes, verificadas por pesquisas e auditorias.

2. 2

   Conformidade das transações

   Transações não conformes são rejeitadas, por isso é uma questão de receita.

3. 3

   Acordos de uso de dados

   Definem quem acessa, onde os dados ficam armazenados e como são protegidos.

4. 4

   Notificação de incidentes

   A perda de dados de pacientes gera notificações, e incidentes nos sistemas do CMS também precisam ser comunicados.

Para a equipe de segurança, as obrigações ligadas ao CMS convergem para um conjunto conhecido de controles. A Security Rule da HIPAA é a referência operacional para os prestadores participantes. Ela exige análise de risco documentada, gestão de acessos baseada em funções, controles de auditoria sobre sistemas que tratam informações de saúde protegidas, proteção da integridade e segurança na transmissão. Os acordos de uso de dados acrescentam regras sobre local de armazenamento, criptografia, registro de acessos e quem pode trabalhar com os dados.

A escala importa tanto quanto o conteúdo. As organizações de saúde mantêm sistemas clínicos, plataformas de faturamento e ambientes de pesquisa, e seus funcionários movimentam dados de pacientes por e-mail, arquivos, serviços em nuvem e dispositivos portáteis. Atender às expectativas do CMS significa, portanto, saber onde estão os dados regulamentados, controlar os canais pelos quais podem sair e manter registros completos o bastante para uma auditoria ou investigação.

O CMS não apenas publica regras, ele as aplica. A agência pode impor multas civis, desde o descumprimento de condições de participação até o tratamento inadequado de dados de programas federais. Os valores são corrigidos anualmente pela inflação. Junto com o HHS Office of Inspector General, o CMS também pode excluir prestadores dos programas federais de saúde, o que para muitos pesa mais do que qualquer multa.

As violações da HIPAA são punidas pelo Office for Civil Rights em uma escala graduada conforme a culpa, desde violações não intencionais até a negligência deliberada não corrigida. Procuradores-gerais estaduais também podem agir em nome de seus residentes. Uma única violação de dados, como o vazamento de prontuários de pacientes, pode acionar ao mesmo tempo as regras do CMS, a fiscalização da HIPAA e as leis estaduais de notificação, por isso controles e resposta a incidentes são planejados para as três frentes.

Comece identificando onde estão os dados regulamentados de pacientes e beneficiários, porque todas as obrigações acima dependem disso. A classificação de dados é a forma prática de marcá-los, e depois vêm os canais pelos quais podem sair: e-mail, compartilhamento de arquivos, serviços em nuvem e dispositivos portáteis.

Controles e registros decorrem desse mapa. Políticas escritas para tudo ao mesmo tempo acabam bloqueando o trabalho do dia a dia e são desativadas.