Cumplimiento de la HIPAA con Vidyo

HIPAA y los servicios en la nube de Vidyo para clientes del sector sanitario

La Ley de Portabilidad y Responsabilidad de los Seguros Sanitarios (HIPAA) establece normas para proteger la confidencialidad, integridad y disponibilidad de la información sanitaria protegida (PHI), incluida la información sanitaria electrónica protegida (ePHI). La HIPAA ofrece orientaciones para un nivel aceptable de protección de la ePHI, al tiempo que permite a los proveedores de asistencia sanitaria acceder a la información necesaria para realizar sus funciones empresariales diarias.

Hay muchas consideraciones que un proveedor de atención sanitaria, u otra entidad cubierta (según la definición de la HIPAA), debe cumplir para satisfacer las directrices de la HIPAA. Las ofertas de Vidyo Healthcare Cloud, que incluyen VidyoCloud y Vidyo.io para la atención sanitaria, se han diseñado de tal forma que los proveedores de atención sanitaria y otras Entidades Cubiertas puedan utilizar nuestros servicios para la comunicación por vídeo de una forma que sea coherente con sus obligaciones en virtud de la HIPAA.

Vidyo no almacena ni accede a la PHI de los usuarios de nuestros servicios sanitarios en la nube. Sin embargo, reconociendo las necesidades de cumplimiento de las Entidades Cubiertas, Vidyo firmará Acuerdos de Asociados de Negocios que cumplan con HIPAA para nuestros clientes que ofrecen servicios en la nube de Salud.

Servicios de comunicaciones de vídeo basados en la nube de Vidyo:

La HIPAA establece dos normas principales en relación con la ePHI: la Norma de Privacidad y la Norma de Seguridad. La Regla de Privacidad establece normas nacionales para la protección de la PHI. La Regla de Seguridad exige que las Entidades Cubiertas y los Asociados Comerciales mantengan salvaguardas administrativas, técnicas y físicas razonables y apropiadas para proteger la ePHI.

Teniendo en cuenta la HIPAA, las ofertas de Vidyo Healthcare Cloud ofrecen un cifrado diseñado para proteger los flujos de vídeo durante la transmisión para garantizar que ninguna parte no autorizada pueda acceder a una videoconferencia durante la sesión. Además, nuestras ofertas en la nube para nuestros clientes del sector sanitario no incluyen la capacidad ni para el cliente ni para Vidyo de grabar las sesiones de videoconferencia en Vidyo Healthcare Cloud (la funcionalidad de grabación está disponible para los clientes que deseen gestionar ellos mismos las grabaciones, incluido el cumplimiento de todos los requisitos de la HIPAA). Vidyo no almacena ni accede a ninguna PHI mientras proporciona nuestras ofertas de servicios de nube sanitaria, sino que facilita la transmisión de comunicaciones a través de canales cifrados.

Salvaguardias para permitir las comunicaciones

Los servicios de Vidyo Healthcare Cloud emplean las siguientes salvaguardas adicionales para ayudar a las Entidades Cubiertas a cumplir con las normas técnicas HIPAA aplicables:

• Controles de acceso, autenticación y seguridad

  Los siguientes controles están presentes en VidyoCloud y pueden ser implementados por los desarrolladores del Cliente en Vidyo.io

  • Todos los usuarios registrados en el sistema Vidyo (que sólo deben ser empleados autorizados u otros representantes de la Entidad Cubierta y no pacientes) tienen un nombre de usuario y una extensión únicos y deben autenticarse con una contraseña para poder programar y unirse a las llamadas.Todas las reuniones pueden ser terminadas por el propietario de la reunión, un moderador designado o un administrador del sistema.
  • El acceso de administrador finaliza tras 15 minutos de inactividad.
  • Además, Vidyo ofrece varias funciones para ayudar a los clientes a restringir el acceso a las salas de llamadas:
    • Pueden generarse reuniones de disponibilidad limitada con claves únicas.
    • Las reuniones pueden configurarse para poner a los participantes en una sala de espera hasta que el propietario se haya incorporado.
    • Las reuniones también pueden protegerse con códigos PIN.
    • Las reuniones en curso pueden bloquearse para evitar que se unan más participantes.

• Controles de auditoría: supervisión de la actividad de los sistemas

  • Los intentos fallidos de autenticación en el sistema se registran y supervisan para detectar indicios de intento de acceso no autorizado.
  • Los cambios de configuración en los sistemas en la nube de Vidyo se supervisan y registran para minimizar el riesgo de que se realicen cambios no autorizados en el entorno.

• Seguridad de la transmisión: controles de integridad y cifrado

  • Utilizando tecnologías probadas y estándar del sector, Vidyo emplea diversas medidas de seguridad tanto a nivel de aplicación como de red.
  • A nivel de aplicación, Vidyo Healthcare Cloud cumple los estándares de seguridad empresarial con el uso de TLS, SRTP, H.235 (donde se admite la interoperabilidad con videoconferencias heredadas) y cifrado AES de 128 bits para señalización y medios.
  • A nivel de red, nuestras instalaciones de alojamiento cumplen la norma SOC 2, con protección 24 horas al día, 7 días a la semana, para satisfacer los requisitos normativos y de buenas prácticas.
  • Los cortafuegos se evalúan, configuran y actualizan periódicamente para que sigan siendo eficaces contra las intrusiones.
  • El filtrado de vanguardia y las técnicas avanzadas de enrutamiento ayudan a proteger contra los ataques distribuidos de denegación de servicio (DDoS).

Resumen

El cumplimiento de todos los aspectos de la HIPAA es, en última instancia, responsabilidad de la Entidad Cubierta. Vidyo se asocia con nuestros clientes del sector de la salud para ayudarles a implementar nuestras soluciones de manera que ayuden a las Entidades Cubiertas a cumplir con sus obligaciones de cumplimiento, incluida la aplicación de cifrado estándar de la industria a los canales de comunicación entre los clientes de punto final y la infraestructura de Vidyo. Vidyo no almacena ni accede a Información de Salud Protegida para una Entidad Cubierta. Estos aspectos, junto con la potencia y flexibilidad de las API de Vidyo, permitirán a los clientes del sector sanitario implementar las mejores ofertas de comunicaciones de vídeo de Vidyo de una manera que cumpla con la HIPAA.