Capacitación sobre HIPAA para el equipo de Recursos Humanos que administra su plan de salud grupal.
Si su empresa patrocina un plan de salud grupal del empleador autoasegurado o de financiamiento nivelado (level-funded), el propio plan es una entidad cubierta conforme a la Ley HIPAA — aunque usted no ejerza la medicina. El personal de Recursos Humanos y de beneficios que lo administra necesita la misma capacitación documentada que un consultorio médico, más una regla exclusiva de su situación: la separación (firewall) entre la administración del plan y el resto de la empresa.
Comodo Technology es un proveedor de servicios de TI administrados con sede en Sacramento. Hemos apoyado a consultorios de atención médica de California durante incidentes reales, y esta capacitación está escrita a partir de esa experiencia, no a partir de una plantilla.
- Dos programas, 17 lecciones
- Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness) y Concientización sobre HIPAA (HIPAA Awareness). Compre uno o ambos.
- Unos 10 a 15 minutos por lección
- Se completan entre paciente y paciente. El progreso se guarda sobre la marcha.
- Asignados por función
- Recepción, facturación, personal clínico, proveedores de atención, gerentes, laboratorio, esterilización.
- Certificados verificables públicamente
- Número de serie, programa, módulos completados, fecha. Verifique uno más abajo.
- El requisito de separación (firewall)
- El personal de administración del plan puede ver la PHI. El resto de la empresa, por lo general, no. Esta capacitación explica exactamente dónde está ese límite.
Cualquiera que maneje la información de salud del plan
El empleador en sí no es una entidad cubierta — el plan de salud grupal sí lo es. Pero todas las personas que realizan trabajo de administración del plan en nombre del plan necesitan la misma capacitación documentada que el personal clínico de un consultorio.
Los administradores externos y los corredores de beneficios que ayudan a administrar su plan también son socios comerciales (Business Associates). Si ese es su caso, la página para socios comerciales o la página para corredores está escrita más directamente para su lado de la relación.
Dos programas. Tome uno, o ambos.
Responden a dos preguntas distintas. Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness) trata sobre la protección de los sistemas — §164.308(a)(5). Concientización sobre HIPAA (HIPAA Awareness) trata sobre lo que usted puede decir, a quién, y lo que los pacientes pueden exigirle — §164.530(b). La mayoría de los consultorios necesitan ambos, pero si ya tiene un certificado de HIPAA de otro proveedor, compre solo la parte de seguridad.
Capacitación en Concientización sobre Seguridad de HIPAA (HIPAA Security Awareness Training)
9 lecciones por persona · unos 110 minutos · 8 preguntas por lección
- 01Phishing y amenazas por correo electrónico en un consultorio de atención médica
El truco del dominio parecido, los tres engaños que realmente llegan y qué hacer en los primeros sesenta segundos después de hacer clic.
- 02Contraseñas, inicios de sesión y autenticación multifactor
Por qué la identificación única de usuario es un requisito de HIPAA, no una preferencia del departamento de TI.
- 03La llamada telefónica que no es lo que parece
Clonación de voz, identificador de llamadas falsificado y la única frase que pone fin a cada una de estas llamadas.
- 04Cómo proteger la información de los pacientes en el día a día
Pantallas, voces, faxes y cámaras de teléfono — por dónde se filtra realmente.
- 05Estaciones de trabajo, dispositivos y la oficina misma
Expedientes abiertos, memorias USB prestadas, visitantes sin acompañante y el contenedor de basura.
- 06Trabajo fuera de la oficina: hogar, telesalud y dispositivos personales
Las reglas de telesalud posteriores a la emergencia, la sincronización con nubes personales y el papel impreso en casa.
- 07Correo electrónico, mensajes de texto, buzón de voz y el portal del paciente
Incluido el error en el campo CC que ha provocado algunas de las mayores sanciones contra consultorios pequeños en cualquier lugar.
- 08Cuando algo sale mal: notificación y respuesta
Las tres cosas que debe hacer en los primeros cinco minutos, y por qué la rapidez lo decide todo.
- 09El módulo de su función
Uno de siete, asignado automáticamente según la función que cada persona elige al inscribirse.
Capacitación en Concientización sobre HIPAA (HIPAA Awareness Training)
8 lecciones por persona · unos 95 minutos · 8 preguntas por lección
- 01Concientización sobre HIPAA: qué puede compartir y qué pueden solicitar los pacientes
Tratamiento, pago y operaciones de atención médica — y todo lo que queda fuera de ellos.
- 02El Aviso de Prácticas de Privacidad: la promesa que hizo su consultorio
Por qué un acuse de recibo firmado no es un consentimiento, y los cinco hallazgos que los auditores encuentran con regularidad.
- 03Mínimo necesario: cuánto es demasiado para compartir
El expediente completo como archivo adjunto, y por qué mirar cuenta como un uso.
- 04Expedientes, enmiendas y restricciones: los plazos que debe cumplir
30 días, 60 días, tarifas basadas en el costo, y la única solicitud de restricción que no puede rechazar.
- 05Socios comerciales: los proveedores que guardan los datos de sus pacientes
Incluida la aplicación gratuita que nadie aprobó, que es el proveedor de mayor riesgo en la mayoría de los consultorios.
- 06¿Brecha o no?: cómo se toma realmente esa decisión
La evaluación de riesgos de cuatro factores, las tres excepciones y el puerto seguro (safe harbor) del cifrado.
- 07Cuándo puede compartir sin pedir autorización: policía, familia, tribunales y salud pública
Por qué la citación (subpoena) de un abogado no es una orden judicial, y por sí sola no autoriza divulgar nada.
- 08El módulo de su función
Las mismas siete funciones, escritas desde el punto de vista de la privacidad.
Siete módulos por función
Recepción y admisión · seguros, reclamaciones y facturación · personal clínico y sala de examen · proveedores de atención y prescriptores · gerentes de consultorio y oficiales de HIPAA · laboratorios e imágenes externos · esterilización y entregas.
Calificado en el servidor
Se aprueba con 80%. Las preguntas se presentan en orden aleatorio y la clave de respuestas nunca llega al navegador, así que un certificado significa que la persona realmente dominaba el material.
Registros por seis años
Cada finalización se conserva durante todo el período de documentación que exige HIPAA, y el gerente de su consultorio puede exportar los datos de todo el consultorio a una hoja de cálculo en cualquier momento.
La separación (firewall) entre la administración del plan y el resto de la empresa
Conforme a 45 CFR §164.504(f), un plan de salud grupal puede compartir información médica protegida con el empleador que lo patrocina — pero solo para funciones de administración del plan, y solo después de que el empleador certifique, por escrito, que la información permanecerá aislada de las decisiones de empleo. Las decisiones de contratación, despido, ascenso y disciplina no pueden basarse en lo que el plan sabe sobre la salud de un empleado.
Lo que “aislada” significa realmente en la práctica
Las personas que procesan reclamaciones, responden preguntas sobre beneficios o gestionan COBRA no pueden ser las mismas personas — ni compartir información habitualmente con las mismas personas — que toman decisiones de contratación o de desempeño. Esa separación tiene que ser real, no solo una política en papel.
Plan totalmente asegurado frente a plan autoasegurado
Si su plan es totalmente asegurado (fully insured) y el empleador no crea ni recibe PHI más allá de la información de inscripción/baja y la información resumida, sus obligaciones son menores. Los planes autoasegurados y de financiamiento nivelado, en los que el propio personal del empleador procesa las reclamaciones, conllevan el conjunto completo de obligaciones. Si no está seguro de cuál le aplica, vale la pena conversarlo antes de suponer una u otra cosa.
Un certificado que cualquiera puede verificar
Si lee con atención el §164.530(b), notará que el requisito no es solo capacitar a su personal. Es documentarlo y conservar esa documentación durante seis años. Lo que un consultorio realmente compra es una prueba.
Cada certificado que emitimos lleva un número de serie, el programa al que pertenece, cuántos módulos de ese programa había completado la persona, la calificación, la fecha y el nombre del consultorio — tomado del registro del consultorio, nunca escrito por el participante. Cualquier persona que tenga el número de serie puede confirmar que es auténtico sin una cuenta y sin comunicarse con nosotros.
Por qué los conteos quedan fijos
"Módulo 4 de 9" queda registrado en el momento en que se emite, y no se recalcula cuando alguien lo consulta después. Cuando publiquemos un décimo módulo el próximo año, ese certificado seguirá indicando con veracidad lo que era cierto ese día. Un certificado que cambia sus propias cifras sin avisar no tiene valor como prueba.
Una pregunta que vale la pena hacerle a cualquier proveedor de capacitación
No existe ningún organismo federal que certifique a los capacitadores de HIPAA. El Departamento de Salud y Servicios Humanos (HHS) lo dice claramente en su propio sitio. Así que, cuando un sitio web le venda un certificado “certificado en HIPAA”, pregúnteles quién los certificó a ellos.
Lo que la regla realmente le exige conservar es una prueba de que una persona identificada fue capacitada, en una fecha determinada, que pueda presentar todavía seis años después. Eso es precisamente lo que es esto — y puede verificar cualquiera de ellos desde esta página.
Cumplimiento de HIPAA y programas de capacitación
Verifique un certificado ahora mismo
Es el mismo servicio público de verificación que usaría un auditor o una aseguradora. No necesita una cuenta.
Autoevaluación de brechas de cuatro factores
Algo salió mal. ¿Es una brecha de seguridad (breach) que debe notificar a los pacientes? Conforme a 45 CFR §164.402, se presume que lo es, a menos que su consultorio pueda demostrar una baja probabilidad de que la información haya sido comprometida — y demostrarlo con una evaluación por escrito, no con una impresión. Revise aquí los cuatro factores.
Esta es una herramienta educativa, no una determinación legal, y nada de lo que ingrese sale de su navegador. La evaluación real le corresponde a su Oficial de Privacidad (Privacy Officer), quien debe realizarla y dejarla por escrito.
¿Qué tan identificable es y qué tan delicada?
¿Quién terminó teniéndola?
No si pudo haberlo sido — sino si lo fue.
La mitigación cuenta — pero solo si puede demostrarla.
Responda los cuatro factores y le mostraremos cómo se interpreta la evaluación y qué sigue en cualquier caso.
El plazo ya comenzó a correr
El descubrimiento es el primer día en que cualquier miembro de su personal lo supo, o razonablemente debió saberlo — no el día en que llegó al gerente del consultorio. Un fax que nadie mencionó hasta el lunes ya lleva tres días dentro del plazo.
(916) 740-1407Llévese esto, compre algo o no
Imprímalos, plastifíquelos, colóquelos donde trabaja la gente. Son útiles por sí solos y preferimos que usted los tenga.
Guía rápida de seguridad de estaciones de trabajo
Una página para la recepción y cada estación de trabajo clínica.
AbrirPlan de respuesta a incidentes
Dos páginas. Qué hacer en la primera hora, en orden, con los números de teléfono incluidos.
AbrirDerechos de los pacientes según HIPAA
Lo que los pacientes pueden solicitar y los plazos que corresponden a cada solicitud.
AbrirAcuse de capacitación del personal
El formulario firmado que va al expediente. Consérvelo durante seis años.
Abrir¿No es exactamente su caso?
La misma capacitación, al mismo precio, escrita para algunas otras situaciones: Socio comercial, Proveedor de salud mental, Corredor o agente de seguros, y consultorios médicos y de especialidad. ¿Tiene un consultorio dental? Comience con la página principal de capacitación y el kit gratuito para consultorios dentales.
Cuatro pasos, y ninguno es difícil
-
1
Díganos el nombre de su organización y qué programas desea
Concientización sobre Seguridad de HIPAA, Concientización sobre HIPAA, o ambos.
-
2
Le enviamos un enlace de inscripción para su organización
Reenvíelo a todos. Cada persona ingresa su propio nombre y función — el nombre de su organización proviene del enlace, así que siempre aparece correctamente en su certificado y nadie puede escribirlo mal.
-
3
Cada persona avanza a su propio ritmo
Sin contraseñas — reciben un enlace de inicio de sesión por correo electrónico. El progreso se guarda, así que pueden detenerse entre paciente y paciente y regresar después.
-
4
Su gerente recibe el registro
Quién ha terminado, quién no, cada número de certificado, exportable a una hoja de cálculo. Ese es el expediente que usted entrega a un auditor o con un cuestionario de seguros.
Hable con una persona
Ningún formulario que se pierde. Estos medios llegan a nosotros.