Me he estado preguntando la semana pasada porque mi gran jefe me dijo que comenzara a hacer un seguimiento de todas las cosas que he arreglado, cómo solucionarlas, etc. Lo cual es razonable y he estado haciendo de todos modos. Pero entonces me vino a la mente una pregunta relacionada. ¿Qué tipo de documentación debo tener a mano en lo que respecta a los usuarios? Más específicamente, estoy hablando en términos de EULA, ToC, etc. (corríjame si estoy usando los términos incorrectos) O más específicamente una política, por así decirlo, para los usuarios y demás. No puedo decir que soy un experto legal, de lo contrario sería un abogado. El entorno en el que se encuentran los usuarios es bastante relajado, así que no preveo ningún problema. Pero suponga que alguna vez surja un problema, ¿qué debería haber escrito / tener a mano?
EDITAR: Realmente debería haber notado que somos un centro de transporte médico y tenemos registros de pacientes, así que sé que se debe hacer algo allí para cumplir con las políticas de HIPAA, creo. Me gusta lo que dijo anthonysomerset sobre el Escenario "Si llego en un autobús" y quiero aplicarlo no solo a la documentación que estoy escribiendo actualmente, sino también, por ejemplo, si un empleado roba información del servidor o casos extremos, robo , etc. En lo que respecta a nuestro personal, es relativamente pequeño como en una sola persona de recursos humanos, no hay departamento legal aparte de los 2 abogados de los propietarios y yo somos la única persona de TI en el personal con un tipo que no es más que un superusuario de mac.
Respuestas:
Debe trabajar con su jefe / personal de recursos humanos para tener una serie de políticas escritas, adoptadas por los supervisores, que describan cómo se manejan los diversos problemas y qué se espera de los empleados. Estos pueden variar según el negocio, pero básicamente tendría documentos que especifiquen qué está y qué no está permitido en su red y sistemas informáticos y cuáles son las acciones de seguimiento (cómo se maneja la remediación, qué puede llevar a la terminación, etc.) . Luego, sus empleados reciben el material como parte de un manual o memorando de empleados, posiblemente para firmar y mantener en el archivo.
Piense en escenarios con los que tendría que lidiar en términos de uso aceptable en los sistemas informáticos y luego hable con su jefe al respecto; a menos que tenga la autoridad de despedir a alguien, debe trabajar en el lenguaje de las políticas con otros jefes de departamento o supervisores. Si tiene un departamento legal, deseará que también lo revise para asegurarse de no pisar asuntos legales que involucran privacidad o terminación en su área.
Idealmente, su negocio ya tiene algunos manuales o materiales para empleados que los empleados deben conocer y respaldar sus escritorios, por lo que podría haber alguna idea de una plantilla para trabajar para usted.
fuente
Nuestra oficina acaba de pasar por esto. Sin embargo, tenemos que cumplir con HIPAA. Tomamos un marco para nuestros estándares de TI de una versión en línea y lo desarrollamos. Yo personalmente escribí una gran mayoría de las políticas. Como dijo @Bart Silverstrim, deberá trabajar con su persona de Recursos Humanos. Éramos un equipo de dos personas para nuestro documento de normas.
No es facil Solo ve despacio y metódicamente. Comience con su rutina diaria y anótelo en una lista con viñetas. Hay una lista completa de ideas, solo una muestra de las nuestras
Hay mucho más, todo depende de qué tan lejos quieras llegar.
Tenemos estos estándares (reglas) para cubrirnos en caso de que alguien rompa la HIPAA. Entonces podemos decir "hey, tenemos estas reglas y las rompimos".
Este es el marco que utilizamos. Puede o no funcionar para usted también.
fuente
En este momento tenemos cuatro documentos que utilizamos:
Por supuesto, también conservamos muchos otros registros, pero se trata de eso como si fueran documentos legales públicos.
Los registros de pacientes son otro juego de pelota, y mi último concierto fue en una oficina de facturación médica. Hay, por supuesto, muchas regulaciones adicionales que debe seguir, pero el único documento legal que aún recuerdo es que debe obtener y mantener un registro legal de permiso de las personas antes de poder compartir cualquier "información de identificación personal" con otras partes.
fuente
Ya ha recibido excelentes consejos, algunas ideas específicas para el campo médico (no todas relacionadas con TI, pero si está almacenando datos de pacientes electrónicamente, hay MUCHO sangrado):
Además del marco Thoreau vinculado anteriormente, puede usar los Estándares de Seguridad de Datos de la Industria de Tarjetas de Pago (PCI DSS) como guía para proteger la información del paciente, donde sea que diga "información del titular de la tarjeta" o similar, piense en cosas protegidas por HIPAA, principalmente PHI / ePHI.
Es importante tener suficiente documentación para demostrar el cumplimiento de los procedimientos de seguridad razonables (que demuestre el cumplimiento de las partes relevantes de PCI-DSS u otros marcos).
Querrá una declaración de cumplimiento de HIPAA y políticas de cumplimiento de HIPAA (que detallen quién tiene acceso a PH / ePHII, en qué circunstancias, etc.).
Parte de esta política debe incluir cómo verifica la identidad de los solicitantes de información.
Una parte separada de esta política debe tratar cómo protege sus copias de seguridad, información en tránsito, etc.
Desde una perspectiva de cobertura legal de su trasero, también necesita (y probablemente ya tenga) formularios de confidencialidad firmados por cualquier persona que tenga acceso a esa información: en mi empresa se revisan y se vuelven a firmar anualmente en su evaluación de desempeño.
Asegúrese de que estos sean lo suficientemente amplios como para cubrir ePHI (registros electrónicos).
fuente