Capacitación sobre HIPAA para los proveedores que manejan información médica protegida (PHI) sin ser el consultorio.
Empresas de facturación, proveedores de TI y de servicios administrados (MSP), servicios de contestación telefónica, almacenamiento de documentos, transcripción, mensajería y consultores — si la información de pacientes pasa por sus manos en nombre de una entidad cubierta, usted es un socio comercial (Business Associate) conforme a la Ley HIPAA, y la Ley HITECH lo hizo directamente responsable de partes de la Regla de Seguridad (Security Rule). Es el mismo programa de capacitación, con el mismo precio y la misma forma de entrega, escrito para su lado de la relación en lugar del lado del consultorio.
Comodo Technology es un proveedor de servicios de TI administrados con sede en Sacramento. Hemos apoyado a consultorios de atención médica de California durante incidentes reales, y esta capacitación está escrita a partir de esa experiencia, no a partir de una plantilla.
- Dos programas, 17 lecciones
- Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness) y Concientización sobre HIPAA (HIPAA Awareness). Compre uno o ambos.
- Unos 10 a 15 minutos por lección
- Se completan entre paciente y paciente. El progreso se guarda sobre la marcha.
- Asignados por función
- Recepción, facturación, personal clínico, proveedores de atención, gerentes, laboratorio, esterilización.
- Certificados verificables públicamente
- Número de serie, programa, módulos completados, fecha. Verifique uno más abajo.
- Respalda su BAA
- El acuerdo de socio comercial (BAA, Business Associate Agreement) firmado que ya tiene con cada cliente es una promesa. Esta es la documentación que la respalda.
Si maneja PHI en nombre de otra entidad, esto le aplica
Un acuerdo de socio comercial no es una formalidad — la Ley HITECH hizo a los socios comerciales directamente responsables de sus propios incumplimientos de la Regla de Seguridad y de sus propios incumplimientos en la notificación de brechas de seguridad (breach notification), independientemente del contrato de la entidad cubierta. Capacitar a su propio personal es parte de cumplir con lo que le corresponde.
Dos programas. Tome uno, o ambos.
Responden a dos preguntas distintas. Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness) trata sobre la protección de los sistemas — §164.308(a)(5). Concientización sobre HIPAA (HIPAA Awareness) trata sobre lo que usted puede decir, a quién, y lo que los pacientes pueden exigirle — §164.530(b). La mayoría de los consultorios necesitan ambos, pero si ya tiene un certificado de HIPAA de otro proveedor, compre solo la parte de seguridad.
Capacitación en Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness Training)
9 lecciones por persona · unos 110 minutos · 8 preguntas por lección
- 01Phishing y amenazas por correo electrónico en un consultorio de atención médica
El truco del dominio parecido, los tres engaños que realmente llegan y qué hacer en los primeros sesenta segundos después de hacer clic.
- 02Contraseñas, inicios de sesión y autenticación multifactor
Por qué la identificación única de usuario es un requisito de HIPAA, no una preferencia del departamento de TI.
- 03La llamada telefónica que no es lo que parece
Clonación de voz, identificador de llamadas falsificado y la única frase que pone fin a cada una de estas llamadas.
- 04Cómo proteger la información de los pacientes en el día a día
Pantallas, voces, faxes y cámaras de teléfono — por dónde se filtra realmente.
- 05Estaciones de trabajo, dispositivos y la oficina misma
Expedientes abiertos, memorias USB prestadas, visitantes sin acompañante y el contenedor de basura.
- 06Trabajo fuera de la oficina: hogar, telesalud y dispositivos personales
Las reglas de telesalud posteriores a la emergencia, la sincronización con nubes personales y el papel impreso en casa.
- 07Correo electrónico, mensajes de texto, buzón de voz y el portal del paciente
Incluido el error en el campo CC que ha provocado algunas de las mayores sanciones contra consultorios pequeños en cualquier lugar.
- 08Cuando algo sale mal: notificación y respuesta
Las tres cosas que debe hacer en los primeros cinco minutos, y por qué la rapidez lo decide todo.
- 09El módulo de su función
Uno de siete, asignado automáticamente según la función que cada persona elige al inscribirse.
Capacitación en Concientización sobre HIPAA (HIPAA Awareness Training)
8 lecciones por persona · unos 95 minutos · 8 preguntas por lección
- 01Concientización sobre HIPAA: qué puede compartir y qué pueden solicitar los pacientes
Tratamiento, pago y operaciones de atención médica — y todo lo que queda fuera de ellos.
- 02El Aviso de Prácticas de Privacidad: la promesa que hizo su consultorio
Por qué un acuse de recibo firmado no es un consentimiento, y los cinco hallazgos que los auditores encuentran con regularidad.
- 03Mínimo necesario: cuánto es demasiado para compartir
El expediente completo como archivo adjunto, y por qué mirar cuenta como un uso.
- 04Expedientes, enmiendas y restricciones: los plazos que debe cumplir
30 días, 60 días, tarifas basadas en el costo, y la única solicitud de restricción que no puede rechazar.
- 05Socios comerciales: los proveedores que guardan los datos de sus pacientes
Incluida la aplicación gratuita que nadie aprobó, que es el proveedor de mayor riesgo en la mayoría de los consultorios.
- 06¿Brecha o no?: cómo se toma realmente esa decisión
La evaluación de riesgos de cuatro factores, las tres excepciones y el puerto seguro (safe harbor) del cifrado.
- 07Cuándo puede compartir sin pedir autorización: policía, familia, tribunales y salud pública
Por qué la citación (subpoena) de un abogado no es una orden judicial, y por sí sola no autoriza divulgar nada.
- 08El módulo de su función
Las mismas siete funciones, escritas desde el punto de vista de la privacidad.
Siete módulos por función
Recepción y admisión · seguros, reclamaciones y facturación · personal clínico y sala de examen · proveedores de atención y prescriptores · gerentes de consultorio y oficiales de HIPAA · laboratorios e imágenes externos · esterilización y entregas.
Calificado en el servidor
Se aprueba con 80%. Las preguntas se presentan en orden aleatorio y la clave de respuestas nunca llega al navegador, así que un certificado significa que la persona realmente dominaba el material.
Registros por seis años
Cada finalización se conserva durante todo el período de documentación que exige HIPAA, y el gerente de su consultorio puede exportar los datos de todo el consultorio a una hoja de cálculo en cualquier momento.
Usted no es una entidad cubierta — aun así es directamente responsable
Antes de 2013, las obligaciones de HIPAA de un socio comercial existían únicamente dentro de su contrato con la entidad cubierta — si algo salía mal, la entidad cubierta respondía por ello. La Ley HITECH cambió eso: las autoridades ahora pueden investigar y multar directamente a un socio comercial por sus propios incumplimientos de la Regla de Seguridad y por sus propios incumplimientos en la notificación de brechas, independientemente de lo que diga el contrato.
Lo que realmente promete un BAA
Cada acuerdo de socio comercial que sus clientes le piden firmar es su promesa ante el consultorio de que protegerá la PHI de la manera en que HIPAA les exige a ellos. La capacitación documentada del personal es la prueba de que esa promesa es real, y no solo un papel firmado.
La pregunta de auditoría que le harán
Un número creciente de consultorios agrega ahora “muéstrenos los registros de capacitación sobre HIPAA de su personal” a su lista de verificación para incorporar proveedores, de la misma forma en que le preguntarían por su seguro. Este es exactamente el registro que responde a esa pregunta.
Un certificado que cualquiera puede verificar
Si lee con atención el §164.530(b), notará que el requisito no es solo capacitar a su personal. Es documentarlo y conservar esa documentación durante seis años. Lo que un consultorio realmente compra es una prueba.
Cada certificado que emitimos lleva un número de serie, el programa al que pertenece, cuántos módulos de ese programa había completado la persona, la calificación, la fecha y el nombre del consultorio — tomado del registro del consultorio, nunca escrito por el participante. Cualquier persona que tenga el número de serie puede confirmar que es auténtico sin una cuenta y sin comunicarse con nosotros.
Por qué los conteos quedan fijos
"Módulo 4 de 9" queda registrado en el momento en que se emite, y no se recalcula cuando alguien lo consulta después. Cuando publiquemos un décimo módulo el próximo año, ese certificado seguirá indicando con veracidad lo que era cierto ese día. Un certificado que cambia sus propias cifras sin avisar no tiene valor como prueba.
Una pregunta que vale la pena hacerle a cualquier proveedor de capacitación
No existe ningún organismo federal que certifique a los capacitadores de HIPAA. El Departamento de Salud y Servicios Humanos (HHS) lo dice claramente en su propio sitio. Así que, cuando un sitio web le venda un certificado “certificado en HIPAA”, pregúnteles quién los certificó a ellos.
Lo que la regla realmente le exige conservar es una prueba de que una persona identificada fue capacitada, en una fecha determinada, que pueda presentar todavía seis años después. Eso es precisamente lo que es esto — y puede verificar cualquiera de ellos desde esta página.
Cumplimiento de HIPAA y programas de capacitación
Verifique un certificado ahora mismo
Es el mismo servicio público de verificación que usaría un auditor o una aseguradora. No necesita una cuenta.
Autoevaluación de brechas de cuatro factores
Algo salió mal. ¿Es una brecha de seguridad (breach) que debe notificar a los pacientes? Conforme a 45 CFR §164.402, se presume que lo es, a menos que su consultorio pueda demostrar una baja probabilidad de que la información haya sido comprometida — y demostrarlo con una evaluación por escrito, no con una impresión. Revise aquí los cuatro factores.
Esta es una herramienta educativa, no una determinación legal, y nada de lo que ingrese sale de su navegador. La evaluación real le corresponde a su Oficial de Privacidad (Privacy Officer), quien debe realizarla y dejarla por escrito.
¿Qué tan identificable es y qué tan delicada?
¿Quién terminó teniéndola?
No si pudo haberlo sido — sino si lo fue.
La mitigación cuenta — pero solo si puede demostrarla.
Responda los cuatro factores y le mostraremos cómo se interpreta la evaluación y qué sigue en cualquier caso.
El plazo ya comenzó a correr
El descubrimiento es el primer día en que cualquier miembro de su personal lo supo, o razonablemente debió saberlo — no el día en que llegó al gerente del consultorio. Un fax que nadie mencionó hasta el lunes ya lleva tres días dentro del plazo.
(916) 740-1407Llévese esto, compre algo o no
Imprímalos, plastifíquelos, colóquelos donde trabaja la gente. Son útiles por sí solos y preferimos que usted los tenga.
Guía rápida de seguridad de estaciones de trabajo
Una página para la recepción y cada estación de trabajo clínica.
AbrirPlan de respuesta a incidentes
Dos páginas. Qué hacer en la primera hora, en orden, con los números de teléfono incluidos.
AbrirDerechos de los pacientes según HIPAA
Lo que los pacientes pueden solicitar y los plazos que corresponden a cada solicitud.
AbrirAcuse de capacitación del personal
El formulario firmado que va al expediente. Consérvelo durante seis años.
Abrir¿No es exactamente su caso?
La misma capacitación, al mismo precio, escrita para algunas otras situaciones: Plan de salud grupal del empleador, Proveedor de salud mental, Corredor o agente de seguros, y consultorios médicos y de especialidad. ¿Tiene un consultorio dental? Comience con la página principal de capacitación y el kit gratuito para consultorios dentales.
Cuatro pasos, y ninguno es difícil
-
1
Díganos el nombre de su organización y qué programas desea
Concientización sobre Seguridad de HIPAA, Concientización sobre HIPAA, o ambos.
-
2
Le enviamos un enlace de inscripción para su organización
Reenvíelo a todos. Cada persona ingresa su propio nombre y función — el nombre de su organización proviene del enlace, así que siempre aparece correctamente en su certificado y nadie puede escribirlo mal.
-
3
Cada persona avanza a su propio ritmo
Sin contraseñas — reciben un enlace de inicio de sesión por correo electrónico. El progreso se guarda, así que pueden detenerse entre paciente y paciente y regresar después.
-
4
Su gerente recibe el registro
Quién ha terminado, quién no, cada número de certificado, exportable a una hoja de cálculo. Ese es el expediente que usted entrega a un auditor o con un cuestionario de seguros.
Hable con una persona
Ningún formulario que se pierde. Estos medios llegan a nosotros.