Я размышлял на прошлой неделе, потому что мой большой начальник сказал мне начать отслеживать все, что я исправил, как их починить и т. Д. Это разумно и все равно делалось. Но затем возникла проблема, связанная с этим. Какую документацию я должен иметь под рукой, насколько пользователи идут. Более конкретно, я говорю с точки зрения EULA, ToC и т. Д. (Поправьте меня, пожалуйста, если я использую неправильные термины) Или, более конкретно, политику, так сказать, для пользователей и тому подобное. Не могу сказать, что я юрист, иначе я бы был юристом. Среда, в которой находятся пользователи, довольно спокойная, поэтому я не вижу проблем. Но предположим, что когда-нибудь возникнет проблема, что я должен был написать / иметь под рукой?
РЕДАКТИРОВАТЬ: Я действительно должен был отметить, что мы являемся медицинским транспортным учреждением и у нас есть записи о пациентах, поэтому я знаю, что что-то должно быть там сделано, чтобы соответствовать политике HIPAA, я считаю. Мне действительно нравится то, что anthonysomerset сказал о сценарии «Если я доберусь на автобусе», и хочу применить его не только к документации, которую я сейчас пишу, но и к тому, если, скажем, сотрудник должен был украсть информацию с сервера или крайние случаи, кража и т. д. Что касается нашего персонала, то он относительно небольшой, как у одного сотрудника отдела кадров, ни один юридический отдел, за исключением адвокатов двух владельцев, и я являюсь единственным сотрудником по ИТ с сотрудником, который не более чем суперпользователь Mac.
Ответы:
Вы должны работать со своим начальником / сотрудниками отдела кадров, чтобы иметь ряд письменных политик, утвержденных руководителями, которые описывают, как решаются различные проблемы и что ожидается от сотрудников. Они могут различаться в зависимости от бизнеса, но в основном у вас есть документы, в которых указано, что разрешено и запрещено в вашей сети и компьютерных системах, и какие действия следует предпринять (как выполняется исправление, что может привести к прекращению и т. Д.). , Затем ваши сотрудники получают материал как часть справочника или памятки сотрудника, возможно, подписывают и хранят в файле.
Придумайте сценарии, с которыми вам придется иметь дело с точки зрения приемлемого использования в компьютерных системах, а затем поговорите с боссом об этом; если у вас нет полномочий увольнять кого-либо, вы должны работать на языке политик с другими руководителями департаментов или руководителями. Если у вас есть юридический отдел, вы также захотите, чтобы он проходил через них, чтобы убедиться, что вы не решаете юридические вопросы, связанные с конфиденциальностью или прекращением в вашем регионе.
В идеале в вашем бизнесе уже есть справочники или материалы для сотрудников, которые сотрудники должны знать и поддерживать на своих рабочих местах, так что может быть какая-то идея шаблона для вас.
источник
Наш офис только что прошел через это. Однако мы должны соблюдать HIPAA. Мы взяли основу для наших ИТ-стандартов из онлайн-версии и усовершенствовали ее. Я лично написал подавляющее большинство политик. Как сказал @Bart Silverstrim, вам нужно будет поработать с персоналом. Мы были командой из двух человек для нашего стандарта документации.
Это не легко. Просто иди медленно и методично. Начните с повседневной рутины и запишите это в маркированном списке. Существует целый список идей, просто образец нашего
Существует гораздо больше, все зависит от того, как далеко вы хотите пойти.
У нас есть эти стандарты (правила), чтобы покрыть себя на случай, если кто-то нарушит HIPAA. Таким образом, мы можем сказать «эй, у нас есть эти правила, и они их нарушили».
Это структура, которую мы использовали. Это может или не может работать для вас также.
источник
Сейчас у нас есть четыре документа, которые мы используем:
Конечно, мы ведем и много других записей, но это касается как публичных юридических документов.
Записи о пациентах - это совсем другая игра, и мой последний концерт был в медицинском биллинге. Конечно, существует множество дополнительных правил, которым вы должны следовать, но единственный юридический документ, который я до сих пор вспоминаю, заключается в том, что вы должны получить и вести юридический учет разрешений от отдельных лиц, прежде чем вы сможете передавать любую «личную информацию» другим сторонам.
источник
Вы уже получили несколько полезных советов - несколько мыслей, специфичных для медицинской области (не все, связанные с ИТ, но если вы храните данные о пациентах в электронном виде, возникает много утечек):
В дополнение к описанной выше платформе Thoreau вы можете использовать Стандарты безопасности данных индустрии платежных карт (PCI DSS) в качестве руководства для защиты информации о пациенте - где бы она ни говорилась «информация о владельце карты» или что-то подобное, например, защищенные HIPAA, в основном PHI / ePHI.
Важно иметь достаточно документации, чтобы доказать соответствие разумным процедурам безопасности (подтверждение соответствия соответствующим частям PCI-DSS или другим платформам).
Вам понадобится заявление о соответствии HIPAA и политики соответствия HIPAA (в которых подробно описывается, кто имеет доступ к PH / ePHII, при каких обстоятельствах и т. Д.).
Часть этой политики должна включать способ проверки личности запрашивающих информацию.
Отдельная часть этой политики должна касаться того, как вы защищаете свои резервные копии, информацию в пути и т. Д.
С точки зрения юридического покрытия вашей задницы вам также нужны (и, вероятно, уже есть) бланки конфиденциальности, подписанные любым, кто имеет доступ к этой информации - в моей компании они проверяются и ежегодно подписываются в ходе вашей проверки эффективности.
Убедитесь, что они достаточно широки, чтобы охватить ePHI (электронные записи).
источник