Abordar el cumplimiento de la privacidad de HIPAA en las redes inalámbricas de los hospitales

Este artículo, el segundo de una serie de tres partes, examina el tema, a veces espinoso, del cumplimiento de la Ley de Portabilidad y Responsabilidad de los Seguros de Salud (HIPAA) en lo que respecta al uso de dispositivos médicos inalámbricos. La parte 1 proporcionó diez consejos para implementar una red inalámbrica en un hospital.

Los CIO de atención médica están atrapados entre la espada (tecnología) y un lugar difícil (regulación). Por un lado, los pacientes exigentes y el número cada vez mayor de dispositivos médicos inalámbricos requieren que abran sus redes inalámbricas. Por otro lado, las reglas más estrictas para el cumplimiento de la privacidad de HIPAA los están obligando a bloquear las redes con cifrado y un control de acceso más estricto, para que no encuentren el nombre de sus instalaciones publicado en un sitio web del gobierno en relación con una violación de datos.

Para John Cameron, especialista técnico en computación y técnico inalámbrico en el Milford Regional Medical Center de 121 camas en Massachusetts, acomodar a los huéspedes mientras se mantiene el cumplimiento de la privacidad de HIPAA en la nueva red inalámbrica de la instalación comienza con tres medidas tecnológicas:

• Particionar la red y mantener los datos del paciente y la actividad de los huéspedes en particiones separadas

• Limitación de la actividad de los invitados al navegador, es decir, sin redes privadas virtuales, VPN u otras aplicaciones.

• Usar servidores de nombres de dominio público, o DNS, para la partición de invitados, no la propia del hospital.

Las pautas de HIPAA también deben tenerse en cuenta cuando los compradores de equipos médicos del hospital soliciten nuevos equipos inalámbricos, recomendó Cameron. No todos los dispositivos de monitoreo o bombas intravenosas inalámbricas tienen la capacidad de cifrar los bits de datos que protege la HIPAA, como el nombre y la fecha de nacimiento. Esa realidad debe tenerse en cuenta en las decisiones de compra siempre que sea posible. En el mismo punto, todos los dispositivos médicos en uso en la red inalámbrica de un hospital deben evaluarse y la configuración de seguridad debe maximizarse, agregó.

«Trabajar con el [wireless and biomedical equipment] proveedores para obtener el nivel de seguridad más alto que puede obtener con lo que tiene «, dijo Cameron.» El equipo biomédico está un par de años atrás en el campo inalámbrico. Eventualmente, cuando se conecten a la conexión inalámbrica, debemos asegurarnos de que puedan soportar una cierta cantidad de cifrado. . . y asegúrese de que esté dentro de las pautas de la HIPAA «.

Para Robert Mann, gerente de tecnología de la información de Westminster Canterbury Richmond, una comunidad de retiro de atención continua en Virginia, el problema de cumplimiento de la HIPAA inalámbrica es especialmente espinoso. La instalación comunitaria de 158 camas y tres pisos utiliza la red para brindar atención médica, pero sus 900 residentes también acceden a ella para su uso personal. Eso representa 900 puntos más vulnerables en la red para malware u otro acceso no autorizado que los hospitales con poblaciones más transitorias podrían no tener. Sin embargo, la instalación decidió ofrecer Internet a los residentes a través de equipos inalámbricos de Aruba Networks Inc. porque el cableado de los edificios antiguos de la comunidad de la década de 1970 habría arruinado el presupuesto.

«Decidimos que este sería un gran lugar para poner en marcha nuestra gran iniciativa inalámbrica empresarial», dijo Mann, cuya red se actualizó aún más para dar cabida a los médicos y enfermeras que acceden al sistema de registro de salud electrónico (EHR) de Westminster Canterbury a través de computadoras portátiles y estaciones de trabajo con ruedas junto a la cama. . «Esto nos dará documentación en tiempo real», dijo.

Para hacer eso y mantener su cumplimiento con HIPAA y con los estándares de seguridad de datos de la Industria de Tarjetas de Pago (PCI), su equipo primero configuró LAN virtuales en conmutadores de Cisco Systems Inc. para acordonar ciertas áreas de la red y reforzar la seguridad, dijo Mann. Para mantener los datos del paciente bloqueados, el equipo configuró un firewall de cumplimiento de políticas en el lado inalámbrico. Luego, implementaron lentamente la tecnología inalámbrica en los edificios de atención médica y probaron las vulnerabilidades.

PCI e HIPAA no son tan diferentes. Practicamos la defensa en profundidad, así que todo lo que hacemos, empezamos por

Las redes inalámbricas de atención médica seguras y que cumplen con HIPAA comienzan con una red cableada bloqueada, enfatizaron tanto Mann como Scott Vachon, gerente de servicios de red para el sistema LRGHealthcare de dos hospitales con sede en Laconia, NH. Una vez que el acceso a esas áreas está adecuadamente limitado y protegido, se puede abordar la seguridad inalámbrica con encriptación y enrutamiento y políticas de tráfico.

«Mi CIO y yo venimos de compañías financieras, por lo que estamos capacitados en PCI», dijo Vachon. «[PCI and HIPAA] no son tan diferentes. Practicamos la defensa en profundidad, por lo que en todo lo que hacemos, empezamos con un ‘no’, luego salimos y decimos: ‘¿Qué necesitamos abrir para cumplir con sus requisitos?’ «.

Mann enfatiza que el cumplimiento de la privacidad de HIPAA es un proceso continuo. Una vez que la red inalámbrica del hospital esté operativa, el trabajo acaba de comenzar. Mantener la seguridad es una cuestión de probar y volver a probar, así como de revisar las áreas donde las operaciones de mantenimiento podrían afectar el equipo inalámbrico y su función.

«Para nosotros no se trata de ‘configurarlo y olvidarlo'», dijo Mann. «Es algo que hemos traído consigo, algo que hemos hecho crecer. Pero seguimos supervisándolo, seguimos teniendo proveedores externos que lo prueban».

El tercer y último artículo de esta serie examina el creciente uso de la tecnología de identificación por radiofrecuencia médica (RFID) y cómo afecta a la red inalámbrica de un hospital. Háganos saber lo que piensa sobre la historia; Email Don Fluckinger, escritor de artículos.