Persyaratan Keamanan HIPAA Inti untuk Video Telehealth
1. Enkripsi Ujung-ke-Ujung (E2EE)
Standar Enkripsi yang Diperlukan
Data dalam Transit
- Enkripsi minimum TLS 1.2 atau TLS 1.3
- Perfect Forward Secrecy (PFS) diaktifkan
- Enkripsi AES-256 bit untuk streaming video
- Saluran pensinyalan dan media terenkripsi
- Autentikasi berbasis sertifikat
Data yang Disimpan
- Enkripsi AES-256 untuk rekaman yang disimpan
- Log obrolan terenkripsi dan transfer file
- Modul kriptografi yang sesuai FIPS 140-2
- Penyimpanan cadangan terenkripsi
- Manajemen kunci Hardware Security Module (HSM)
Enkripsi end-to-end memastikan bahwa data dienkripsi pada perangkat pengirim dan hanya dapat didekripsi oleh penerima yang dituju, sehingga data yang disadap menjadi tidak berguna bagi pihak yang tidak berwenang.
2. Perjanjian Rekan Bisnis (BAA)
Persyaratan BAA
BAA adalah kontrak yang mengikat secara hukum yang diwajibkan oleh HIPAA setiap kali suatu entitas yang tercakup (penyedia layanan kesehatan) bekerja dengan mitra bisnis (vendor teknologi) yang mungkin memiliki akses ke PHI.
BAA Harus Mencakup:
- Penggunaan dan pengungkapan PHI yang diizinkan
- Perlindungan keamanan yang harus diterapkan vendor
- Prosedur pemberitahuan pelanggaran
- Persyaratan perjanjian subkontrak
- Kewajiban pengembalian/pemusnahan data
- Kerja sama audit kepatuhan
Tanggung Jawab Vendor:
- Menerapkan perlindungan teknis
- Mempertahankan kebijakan administratif
- Laporkan insiden keamanan dalam waktu 60 hari
- Izinkan akses audit HHS
- Melatih karyawan tentang persyaratan HIPAA
- Mempertahankan pertanggungan asuransi
Tanpa BAA yang ditandatangani, menggunakan platform konferensi video apa pun untuk telehealth merupakan pelanggaran HIPAA, terlepas dari fitur keamanan platform tersebut.
3. Kontrol Akses & Autentikasi
Kontrol Akses yang Diperlukan
Autentikasi Pengguna
- Otentikasi multi-faktor (MFA) diperlukan
- Kebijakan kata sandi yang kuat (12+ karakter)
- Identifikasi pengguna unik
- Batas waktu sesi otomatis (15 menit tidak aktif)
- Penguncian akibat upaya login yang gagal
- Integrasi single sign-on (SSO)
Keamanan Rapat:
- Fungsionalitas ruang tunggu
- Kata sandi/kode sandi rapat
- Kontrol host untuk pengelolaan peserta
- Pembatasan berbagi layar
- Notifikasi persetujuan perekaman
- Pembersihan data akhir rapat
Kontrol Akses Berbasis Peran (RBAC)
Peran Pengguna:
- Administrator - kontrol penuh platform
- Akses sesi penyedia - pasien
- Staf - akses penjadwalan terbatas
- Pasien - akses sesi sendiri saja
Prinsip Minimum yang Diperlukan:
- Akses terbatas sesuai persyaratan pekerjaan
- Pembatasan akses rekaman
- Izin melihat transkrip
- Pemisahan fungsi administrasi
Pembaruan Kepatuhan Telehealth HIPAA 2025
Akhir dari Diskresi Penegakan COVID-19
Selama keadaan darurat kesehatan masyarakat COVID-19, HHS menggunakan kebijakan diskresi penegakan yang memungkinkan penyedia layanan menggunakan platform video yang tidak patuh. Periode diskresi ini telah berakhir, yang berarti:
Tidak Lagi Dapat Diterima:
- Aplikasi video kelas konsumen (FaceTime, Skype)
- Video media sosial (Facebook Messenger)
- Platform tanpa ketersediaan BAA
- Pengecualian kepatuhan dengan itikad baik
- Ketergantungan pada pengaturan keamanan default
Sekarang Wajib:
- Menandatangani BAA dengan setiap vendor
- Kepatuhan penuh terhadap Aturan Keamanan HIPAA
- Penilaian risiko yang terdokumentasi
- Kontrol keamanan yang dikonfigurasi
- Dokumentasi pelatihan staf
Pembaruan Aturan Keamanan 2025
Persyaratan yang Ditingkatkan:
- Enkripsi wajib (tidak lagi dapat ditangani)
- Pelatihan kesadaran keamanan siber tahunan
- Penilaian kerentanan secara berkala
- Pembaruan rencana respons insiden
- Tinjauan keamanan vendor pihak ketiga
Persyaratan Dokumentasi:
- Kebijakan dan prosedur yang diperbarui
- Analisis risiko setiap 12 bulan
- Pelacakan insiden keamanan
- Pemeliharaan inventaris BAA
- Retensi jejak audit (6+ tahun)
Analisis Risiko untuk Platform Telehealth
Elemen Penilaian Risiko yang Diperlukan
Sesuai dengan Aturan Keamanan HIPAA, entitas yang tercakup harus mengidentifikasi, menilai, dan menangani potensi risiko terhadap ePHI saat menggunakan teknologi telehealth:
Nilai Risiko Ini:
- Penyadapan transmisi oleh pihak ketiga
- Akses tidak sah ke rekaman yang disimpan
- paparan ePHI selama berbagi layar
- Merekam tanpa persetujuan yang semestinya
- Pelanggaran data dari kerentanan vendor
- Ancaman internal dari akses staf
Pertanyaan Verifikasi:
- Apakah platform ini mendukung transmisi terenkripsi?
- Di mana ePHI disimpan dan untuk berapa lama?
- Siapa yang memiliki akses ke rekaman rapat?
- Bagaimana identitas pasien diverifikasi?
- Apa yang terjadi pada data setelah sesi berakhir?
- Bagaimana insiden keamanan dilaporkan?
Platform Telehealth yang Mematuhi HIPAA
Platform yang Menawarkan BAA
Platform Telehealth Khusus
- Doxy.me - Paket gratis dengan BAA, dirancang untuk layanan kesehatan
- VSee - Telehealth tingkat perusahaan dengan kepatuhan penuh
- Curogram - Platform komunikasi pasien dengan BAA
- SecureVideo - Konferensi video khusus layanan kesehatan
- Teladoc - Solusi telehealth layanan lengkap
- Amwell - Video layanan kesehatan enterprise
- SimplePractice - Manajemen praktik dengan telehealth
- TherapyNotes - Telehealth kesehatan mental
Platform Bisnis yang Dapat Dikonfigurasi
Platform ini dapat mematuhi HIPAA jika dikonfigurasi dengan benar dan BAA telah ditandatangani:
- Zoom untuk Kesehatan - Memerlukan paket Layanan Kesehatan
- Microsoft Teams - Dengan konfigurasi yang tepat
- Google Meet - Google Workspace dengan BAA
- Cisco Webex - Edisi layanan kesehatan tingkat perusahaan
- GoTo Meeting - Dengan add-on layanan kesehatan
- Pexip - Infrastruktur video layanan kesehatan
Penting: Memiliki BAA yang tersedia tidak secara otomatis membuat sebuah platform menjadi patuh. Anda harus menandatangani BAA dan mengonfigurasi pengaturan keamanan dengan benar.
Persyaratan Pencatatan & Pemantauan Audit
Jejak Audit Komprehensif
Platform yang patuh harus menyediakan jejak audit terperinci yang mencatat semua aktivitas pengguna untuk melacak akses terhadap PHI dan menunjukkan kepatuhan selama audit.
Harus Masuk Log:
- Stempel waktu login/logout pengguna
- Waktu mulai/selesai rapat
- Peristiwa peserta bergabung/keluar
- Akses rekaman dan unduhan
- Acara berbagi layar
- Upaya autentikasi yang gagal
- Perubahan izin
- Aktivitas ekspor data
Persyaratan Log:
- Penyimpanan log anti-rusak
- Retensi minimum 6 tahun
- Kemampuan pemantauan waktu nyata
- Arsip log yang dapat dicari
- Peringatan anomali otomatis
- Pembuatan laporan kepatuhan
- Pelacakan rantai pengawasan
- Pencatatan akses geografis
Daftar Periksa Implementasi Keamanan Telehealth
Langkah Pra-Implementasi
Sebelum Siaran Langsung:
- ☐Melakukan penilaian risiko untuk teknologi telehealth
- ☐Tandatangani Business Associate Agreement dengan vendor
- ☐Verifikasi enkripsi memenuhi standar HIPAA
- ☐Konfigurasikan ruang tunggu dan kata sandi rapat
- ☐Aktifkan autentikasi multi-faktor untuk semua pengguna
- ☐Siapkan kontrol akses berbasis peran
- ☐Konfigurasikan pencatatan audit dan pemantauan
- ☐Melatih staf tentang persyaratan telehealth HIPAA
- ☐Mengembangkan prosedur persetujuan pasien
- ☐Kebijakan dan prosedur keamanan dokumen
Tugas Kepatuhan Berkelanjutan
- Tinjau log akses untuk anomali
- Verifikasi ketepatan akun pengguna
- Periksa pembaruan keamanan
- Pantau upaya login yang gagal
- Perbarui penilaian risiko
- Tinjau dan perbarui BAA
- Melaksanakan pelatihan keamanan
- Uji rencana respons insiden
Sumber Kepatuhan Kesehatan Terkait
Butuh Alat Telehealth yang Mematuhi HIPAA?
Temukan platform konferensi video dan transkripsi rapat yang aman yang memenuhi persyaratan kepatuhan layanan kesehatan.