Luật Di động và Trách nhiệm Bảo hiểm Y tế (HIPAA - 1996) quy định các tiêu chuẩn bắt buộc đối với bất kỳ ai xử lý dữ liệu y tế điện tử.
Các quy định yêu cầu cơ sở y tế, bảo hiểm y tế và nhà cung cấp dịch vụ y tế phải có biện pháp bảo vệ thông tin bệnh nhân khi lưu trữ, truy cập, chia sẻ dữ liệu y tế điện tử. Vi phạm HIPAA có thể dẫn đến phạt tiền lớn, thậm chí thu hồi giấy phép hành nghề.
Ai cần tuân thủ HIPAA?
Các thực thể cung cấp hoặc trả tiền cho dịch vụ y tế: bệnh viện, phòng khám, kế hoạch bảo hiểm y tế, và bất kỳ nhà cung cấp dịch vụ y tế nào (chăm sóc, dịch vụ, cung cấp liên quan đến sức khỏe cá nhân, bao gồm phòng ngừa, chẩn đoán, trị liệu, phục hồi, duy trì, giảm nhẹ, tư vấn, đánh giá hoặc thủ tục liên quan đến sức khỏe thể chất, tình trạng tinh thần hoặc trạng thái chức năng của cá nhân ảnh hưởng đến cấu trúc hoặc chức năng của cơ thể).
Thực thể lai (hybrid entities) thực hiện một phần các chức năng trên cũng phải tuân thủ. Ví dụ: đại học có bệnh viện - bệnh viện truyền thông tin sức khỏe cá nhân điện tử, do đó thuộc phạm vi HIPAA.
Ngược lại, nếu đại học có phòng thí nghiệm nghiên cứu không tích hợp với bệnh viện, phòng lab này không cần tuân thủ HIPAA vì dù xử lý thông tin y tế nhưng không truy cập thông tin như bệnh viện.
Tóm tắt quy định HIPAA
Với slogan "Thông tin sức khỏe của bạn, quyền lợi của bạn", công dân là trung tâm của HIPAA. Các quy định quan trọng:
- Truy cập thông tin: Mọi người có quyền truy cập thông tin sức khỏe của mình, đề xuất chỉnh sửa, lấy bản sao vật lý hoặc điện tử.
- Chia sẻ thông tin: Công dân có thể chia sẻ thông tin với bác sĩ/chuyên gia y tế vì mọi thông tin đều trực tuyến, họ tự chọn người chia sẻ.
- Bảo vệ thông tin: Các thực thể tuân thủ HIPAA phải tuân theo quy tắc riêng tư (Privacy Rule) và quy tắc bảo mật (Security Rule) của HIPAA. Thông tin bệnh nhân không được tiết lộ nếu không có sự ủy quyền (trừ trường hợp đặc biệt).
HIPAA và Website WordPress
Nếu bạn có website y tế trên WordPress, có thể thắc mắc nó có cần/tuân thủ HIPAA không. Thực tế HIPAA không tập trung vào tuân thủ liên quan đến website, nên yêu cầu HIPAA cho website hơi mờ nhạt.
Khái niệm quan trọng: ePHI (Electronic Protected Health Information) - thông tin y tế được bảo vệ dưới dạng điện tử, có thể dùng để nhận diện bệnh nhân. HIPAA yêu cầu bảo mật như nhau đối với mọi hình thức truyền PHI (vật lý hoặc điện tử), làm cho ePHI thành phần thiết yếu của tuân thủ HIPAA.
Do đó, phải triển khai các biện pháp bảo vệ đáp ứng yêu cầu HIPAA về tính bảo mật, tính toàn vẹn và tính sẵn sàng của ePHI. Website liên quan cần triển khai các biện pháp quản trị, vật lý, kỹ thuật và bảo mật để đảm bảo tính bảo mật của thông tin y tế được bảo vệ luôn được đảm bảo.
Một phần thiết yếu của chương trình tuân thủ HIPAA hiệu quả là Business Associate Agreement (BAA). Nếu tổ chức xử lý, sử dụng, phân phối hoặc truy cập thông tin y tế được bảo vệ (PHI), họ được coi là BAA theo quy định HIPAA.
Làm thế nào để Website tuân thủ HIPAA?
Không có cách trực tiếp làm cho WordPress tuân thủ HIPAA, nhưng có một số bước cần thiết:
1. Phân tích rủi ro tiềm ẩn
Tùy hoạt động và mục đích website, rủi ro khác nhau, không có phân tích rủi ro chung cho mọi trường hợp. Chủ website cần nhận thức các cuộc tấn công mạng phổ biến và xác định mọi tình huống ePHI được xử lý.
2. Chọn dịch vụ Hosting phù hợp
Nếu không tự host, chọn hosting đúng rất quan trọng. Làm website tuân thủ HIPAA vô nghĩa nếu hosting yếu kém, dễ bị tấn công.
Cần chọn hosting tuân thủ HIPAA, cung cấp: tường lửa mạnh, kết nối VPN mã hóa (ngăn chặn nghe lén traffic), backup offsite (không mất dữ liệu), và các tính năng bảo mật quan trọng khác. Xem bài viết hosting WordPress tốt nhất nếu muốn chuyển provider.
3. Tận dụng sức mạnh Plugin
Điểm mạnh WordPress là mở rộng bằng plugin. Tuân thủ HIPAA cũng dễ hơn với plugin đúng.
Ví dụ: HIPAA FORMS - plugin cho phép tạo form tuân thủ HIPAA. Sử dụng form plugin phổ biến (Caldera Forms, Gravity Forms) và thêm lớp bảo mật. Bao gồm trường chữ ký (ký bằng chuột/ngón tay trên màn hình cảm ứng).
Khi submit, dữ liệu được mã hóa và đẩy lên HIPAA FORMS Service API, lưu trữ trong giải pháp storage tuân thủ HIPAA. Lưu ý: plugin yêu cầu license trả phí.
Có vô số plugin WordPress bảo mật để lựa chọn.
4. Cẩn trọng với Plugin
Plugin là điểm mạnh nhưng cũng là điểm yếu bảo mật của WordPress. Theo dữ liệu Wordfence, lỗ hổng liên quan plugin chiếm >50% điểm vào tấn công.
Để tránh: chỉ cài plugin từ nguồn chính thức, luôn cập nhật. Tương tự cho WordPress core, cũng dễ bị lỗ hổng bảo mật.
5. Lưu trữ ePHI bên ngoài WordPress
Phần lớn website dùng WordPress, khiến chúng thành mục tiêu của tội phạm mạng. Vì WordPress không phải nền tảng an toàn nhất, không nên lưu dữ liệu ePHI trên WordPress.
Thảo luận với hosting provider để có giải pháp tốt nhất: hosting vị trí bên ngoài, lưu trữ và truy xuất dữ liệu an toàn, mã hóa.
6. Áp dụng các mẹo bảo mật phổ biến
Bảo mật là chủ đề thường gặp trên web. Nhiều mẹo bảo mật WordPress nhưng ít người tuân thủ.
Các quy tắc bảo mật cơ bản cho website tuân thủ HIPAA:
- Dùng mật khẩu mạnh
- Bật xác thực 2 hoặc đa yếu tố
- Đổi tên tài khoản admin để tránh brute-force, v.v.
7. Xác minh tất cả tài khoản user mới
Lớp bảo mật thêm: ngăn user tự tạo tài khoản tùy tiện. Đảm bảo mọi yêu cầu tài khoản mới đều được xác minh (thủ công hoặc tự động) để giảm rủi ro.
Kết luận
Thực tế WordPress không được phát triển với HIPAA trong tâm trí. Không có HIPAA WordPress core, nhưng không có nghĩa là không thể làm website trên nền tảng này tuân thủ HIPAA. Với kiến thức và nỗ lực đúng, có thể đạt được. Tuy nhiên, để tăng cơ hội thành công và giảm thiểu rủi ro, hãy liên hệ chuyên gia (cá nhân hoặc dịch vụ hosting) am hiểu về tuân thủ HIPAA.
Bài viết khách mời của Atlantic.net.