Stabilește garanții administrative, fizice și tehnice pentru a păstra confidențialitatea, integritatea și disponibilitatea ePHI împotriva amenințărilor, pericolelor și utilizărilor sau divulgărilor nepermise rezonabil anticipabile.
Regula curentă apare la 45 Code of Federal Regulations Partea 160 și Partea 164, Subpărțile A și C. Este bazată pe risc și neutră tehnologic: entitățile reglementate trebuie să analizeze riscurile, să aleagă garanții rezonabile și adecvate, să documenteze decizii, să atribuie responsabilitate, să instruiască personalul, să gestioneze accesul, să se pregătească pentru situații de urgență și să-și evalueze periodic controalele. La 6 ianuarie 2025, HHS a publicat modificări propuse; la 4 august 2026, acestea nu sunt finale, iar HHS afirmă că regula curentă rămâne în vigoare.
Puncte esențiale
Cunoașteți frontieraInventariați toate ePHI create, primite, menținute sau transmise, inclusiv medii cloud, mobile, de dispozitive medicale, de backup și ale asociaților de afaceri.
Gestionați risculEfectuați și documentați o analiză de risc precisă, reduceți riscurile identificate la un nivel rezonabil și adecvat și actualizați garanțiile când operațiunile, tehnologia, amenințările sau legea se schimbă.
Interpretați specificațiile„Adresabilă” nu înseamnă opțională; entitatea trebuie să implementeze specificația când este rezonabil și adecvat sau să documenteze de ce o măsură echivalentă sau o altă decizie este adecvată.
Limitare importantăRegula de securitate nu este o listă de verificare pentru produse sau o certificare voluntară. Regulile privind confidențialitatea și notificarea încălcărilor impun obligații diferite, iar doar o analiză juridică calificată poate determina obligațiile unei entități într-un incident sau aranjament particular.