Este blog se publicó originalmente en el sitio web de Aware, pero con la adquisición de Aware por parte de Mimecast, nos aseguramos de que también esté disponible para los visitantes del sitio web de Mimecast.
Los proveedores sanitarios deben abordar riesgos como la proliferación de PHI, las violaciones de datos y las integraciones de aplicaciones de terceros para garantizar que el uso de Slack se ajusta a las normas de la HIPAA.
Slack puede cumplir la HIPAA si se configura correctamente, pero sólo los planes Enterprise Grid pueden firmar un BAA con los proveedores sanitarios.
Garantizar la confidencialidad de la información de los pacientes cumpliendo la normativa HIPAA es de suma importancia para los proveedores sanitarios, y esa responsabilidad se extiende a las herramientas digitales del lugar de trabajo como Slack. En esta completa guía, exploraremos el cumplimiento de la HIPAA para Slack, sus retos y cómo el sector sanitario puede aprovechar esta plataforma al tiempo que cumple con sus obligaciones para con sus pacientes, tal y como establece la HIPAA.
¿Qué es HIPAA?
La Ley de Portabilidad y Responsabilidad del Seguro Médico (HIPAA) se promulgó para salvaguardar la privacidad y la seguridad de la información sanitaria de los pacientes. Esta legislación estableció normas para la protección de los datos de los historiales médicos electrónicos e impuso normas y reglamentos estrictos que debían seguir los proveedores sanitarios y sus socios comerciales.
¿Cumple Slack con la HIPAA?
Slack es un servicio en la nube de comunicación y colaboración muy utilizado que ofrece la funcionalidad necesaria para agilizar el flujo de trabajo en el sector sanitario. Aunque Slack cuenta con sólidas funciones de seguridad de datos, no es intrínsecamente compatible con la HIPAA "nada más sacarlo de la caja." Sin embargo, con las salvaguardias adecuadas y la formación de los empleados, Slack puede ser utilizado por los proveedores de atención sanitaria y otras entidades cubiertas de manera que cumplan con sus obligaciones en virtud de la HIPAA.
¿Firmará Slack un BAA para los proveedores sanitarios?
Un acuerdo de socio comercial (BAA, por sus siglas en inglés) es un documento crucial que define las responsabilidades de los proveedores de servicios cuando manejan datos sanitarios. Slack sí celebra acuerdos BAA con los usuarios de los planes Enterprise Grid Slack, lo que significa que sólo estos planes pueden soportar el cumplimiento total de la HIPAA para Slack. Sin embargo, es importante tener en cuenta que Slack no suscribe BAA con ninguna aplicación de terceros, por lo que si una entidad cubierta conecta su espacio de trabajo de Slack a cualquier aplicación externa debe evaluar por separado si esto afecta a su cumplimiento general de la HIPAA.
5 formas en las que Slack ayuda a los profesionales sanitarios
Además de firmar un BAA con las entidades cubiertas, Slack ofrece una serie de funciones adicionales para ayudar a los proveedores sanitarios a maximizar las ventajas del lugar de trabajo digital sin poner en riesgo los datos de sus pacientes.
Etiquetas relacionadas
Data Governance
Comparte esto
1. Colaboración en equipo
Los canales de Slack reúnen a equipos multidisciplinares, incluidos médicos, enfermeras y personal administrativo, lo que les permite colaborar eficazmente y compartir información en tiempo real.
2. Flujos de trabajo racionalizados
Los proveedores sanitarios pueden integrar varias aplicaciones con Slack para automatizar tareas, lo que se traduce en una mejora de la productividad y de la atención al paciente.
3. Colaboración a distancia
En un entorno de trabajo cada vez más remoto, Slack ofrece a los profesionales sanitarios la posibilidad de colaborar eficazmente incluso cuando no están físicamente presentes en el mismo lugar.
4. Intercambio de archivos y documentación
Comparta de forma segura historiales médicos, imágenes y documentos dentro de canales restringidos de Slack para una colaboración segura.
5. Análisis de datos
La integración de Slack con las herramientas de análisis de datos puede ayudar a supervisar las tendencias sanitarias, los resultados de los pacientes y las iniciativas de mejora de la calidad, lo que permite tomar mejores decisiones.
5 riesgos de utilizar Slack para la sanidad
A pesar de las ventajas que ofrece Slack, las entidades cubiertas también deben ser conscientes de los riesgos potenciales que Slack puede introducir en el lugar de trabajo digital. Al abordar estos posibles escollos de antemano, los administradores pueden mitigar el riesgo de forma proactiva al utilizar Slack para la atención sanitaria.
Proliferación de PHI
Sin una configuración y aplicación adecuadas, Slack puede convertirse en un depósito de información sanitaria protegida que nunca se purga adecuadamente.
Infracciones de datos
Unas medidas de ciberseguridad inadecuadas pueden exponer los datos sensibles a posibles amenazas cibernéticas, a menudo debido a la debilidad de las credenciales o a ataques de fatiga por autenticación multifactor.
Pérdida y conservación de datos
Slack permite a los usuarios borrar o editar sus mensajes a voluntad, lo que supone un riesgo de pérdida de datos críticos si no se aplican políticas de conservación adecuadas.
Retos de la integración
Aunque Slack puede integrarse con varias soluciones de software sanitario, la complejidad de estas integraciones puede plantear problemas de compatibilidad y obstaculizar la eficacia del flujo de trabajo.
Aplicaciones de terceros
Aunque Slack suscribe BAA con los proveedores sanitarios, no lo hace con las aplicaciones de terceros, lo que supone un riesgo de incumplimiento de la HIPAA.
Cómo hacer que Slack cumpla la HIPAA
Para cumplir con la HIPAA mientras utilizan Slack, las entidades cubiertas deben tomar ciertas medidas para cumplir con sus obligaciones y asegurarse de que sus usuarios toman medidas para salvaguardar la PHI en cada paso. Esto incluye el establecimiento de políticas HIPAA y la formación rutinaria de los empleados sobre el uso seguro de Slack. La formación debe cubrir qué información puede y no puede compartirse dentro de Slack, cómo utilizar canales privados y restringidos para limitar la visibilidad de la información según convenga, y los fundamentos de las buenas prácticas de contraseñas para garantizar que el espacio de trabajo de Slack permanezca seguro.
Para apoyar y reforzar esta formación, los administradores también deben aplicar controles de acceso basados en funciones y la autenticación de dos factores (2FA) para limitar tanto el acceso al espacio de trabajo como la visibilidad de los datos en su interior. Se pueden tomar medidas adicionales para centralizar la encriptación de datos utilizando Slack Enterprise Key Management (Slack EKM). Esto es especialmente importante ya que Slack no está encriptado de extremo a extremo.
Las empresas sanitarias también deberían invertir en soluciones de prevención de pérdida de datos (DLP ) para Slack que capturen un registro completo de todos los mensajes -incluidas las ediciones y eliminaciones- y documenten la actividad con sólidas pistas de auditoría.
¿Está Slack certificado por HITRUST?
La certificación HITRUST (Health Information Trust Alliance), también conocida como HITRUST CSF, es un marco integral para que las organizaciones sanitarias demuestren su compromiso con unas prácticas de ciberseguridad sólidas. Esto incluye el establecimiento de normas para salvaguardar la PHI y otra información sensible frente a una amplia gama de amenazas.
Estar certificado por HITRUST indica que una organización ha cumplido estas normas. Sin embargo, la ausencia de certificación no significa que una organización no tenga el mismo cuidado robusto con la protección de datos sensibles. Aunque Slack no cuenta actualmente con la certificación HITRUST, cumple una serie de otras normas y obligaciones de conformidad que garantizan que Slack pueda utilizarse en entornos sanitarios de forma conforme a la HIPAA. Obtenga más información sobre las certificaciones de cumplimiento de Slack, incluidas SOC 2 e ISO 27001.
Cómo soporta Mimecast el cumplimiento de la HIPAA para Slack
Aware ayuda a los proveedores sanitarios y a otras entidades cubiertas a mejorar su postura de cumplimiento en Slack para satisfacer sus obligaciones en virtud de la HIPAA y otras normativas. La plataforma de datos Aware AI se conecta mediante API y webhooks e ingiere los mensajes de Slack en tiempo real, capturando un registro completo de las comunicaciones, incluidas las revisiones y las eliminaciones. Cada mensaje es normalizado y analizado por un tejido de datos de inteligencia para aflorar el incumplimiento a medida que se produce. A continuación, las automatizaciones inteligentes de los flujos de trabajo toman medidas inmediatas para mitigar el riesgo, bombardeando los mensajes, notificando a los administradores y formando a los empleados sobre las mejores prácticas.
Utilizando Aware, los administradores de Slack pueden implementar controles de seguridad granulares, aplicar políticas de uso aceptable y detectar proactivamente instancias de PHI compartidas en cualquier lugar dentro del entorno de Slack. Por eso, las principales organizaciones sanitarias confían en los flujos de trabajo de gestión de riesgos de Aware para que les ayuden a aprovechar las capacidades y ventajas de Slack manteniendo la seguridad y confidencialidad de los datos de los pacientes.
Suscríbete a «Cyber Resilience Insights» para leer más artículos como estos.
Recibe las últimas noticias y análisis del sector de la ciberseguridad directamente en tu bandeja de entrada
Cargando el formulario
Averigüe si Slack cumple la HIPAA y explore los aspectos esenciales del cumplimiento de la HIPAA por parte de Slack, incluido cómo sus funciones protegen los datos confidenciales en los entornos sanitarios. | Mimecast
