3 HIPAA Safeguards: Administrative, Physical, Technical

HIPAA safeguards là ba nhóm biện pháp bảo vệ ePHI (electronic Protected Health Information) mà HIPAA Security Rule bắt buộc: Administrative (45 CFR §164.308), Physical (§164.310) và Technical (§164.312). Chúng áp dụng cho cả covered entity lẫn business associate, kể cả công ty phần mềm Việt Nam xử lý ePHI cho khách hàng y tế Mỹ.

HIPAA safeguards gồm những nhóm nào?

Security Rule tổ chức yêu cầu thành standard (tiêu chuẩn phải đáp ứng) và implementation specification (cách thực hiện cụ thể), mỗi specification được gắn nhãn Required hoặc Addressable. Ba nhóm safeguards khác nhau ở đối tượng được bảo vệ: Administrative xử lý con người, quy trình và quản lý rủi ro; Physical xử lý cơ sở, máy trạm và thiết bị lưu trữ; Technical xử lý cách hệ thống kiểm soát truy cập và bảo vệ ePHI. Văn bản gốc nằm tại 45 CFR Part 164, Subpart C và được tóm tắt trong HHS Security Rule summary.

Nhóm	Điều khoản	Các standard	Ví dụ specification Required
Administrative	§164.308	Security management process; Assigned security responsibility; Workforce security; Information access management; Security awareness and training; Security incident procedures; Contingency plan; Evaluation; Business associate contracts	Risk analysis, risk management, sanction policy, information system activity review, data backup plan, disaster recovery plan
Physical	§164.310	Facility access controls; Workstation use; Workstation security; Device and media controls	Disposal; media re-use (xóa ePHI trước khi tái sử dụng thiết bị)
Technical	§164.312	Access control; Audit controls; Integrity; Person or entity authentication; Transmission security	Unique user identification; emergency access procedure

Administrative safeguards yêu cầu gì?

Administrative safeguards là nhóm lớn nhất, gồm 9 standard tại §164.308, và là nơi bắt đầu của mọi chương trình HIPAA. Trung tâm là security management process: tổ chức phải thực hiện risk analysis "chính xác và toàn diện" về rủi ro với tính bảo mật, toàn vẹn và khả dụng của ePHI, rồi quản lý các rủi ro đó xuống mức hợp lý. Đi kèm là sanction policy với nhân viên vi phạm và việc định kỳ xem lại log hoạt động hệ thống.

Các standard còn lại yêu cầu chỉ định một người chịu trách nhiệm bảo mật (security official), quản lý quyền truy cập của nhân sự từ lúc vào đến lúc nghỉ, đào tạo nhận thức bảo mật, có quy trình xử lý và báo cáo sự cố, có contingency plan (backup, disaster recovery, emergency mode), đánh giá định kỳ khi môi trường thay đổi, và ký hợp đồng BAA với các bên xử lý ePHI thay mặt mình. Cách làm risk analysis từng bước có trong hướng dẫn HIPAA Security Risk Assessment.

Physical safeguards áp dụng thế nào khi hạ tầng nằm trên cloud?

Physical safeguards (§164.310) bảo vệ nơi đặt hệ thống và thiết bị chứa ePHI khỏi truy cập vật lý trái phép. Có 4 standard: kiểm soát ra vào cơ sở, quy định cách dùng máy trạm, bảo vệ máy trạm, và kiểm soát thiết bị và phương tiện lưu trữ. Hai specification bắt buộc là chính sách tiêu hủy ePHI cùng phần cứng lưu trữ nó, và xóa ePHI khỏi phương tiện trước khi tái sử dụng.

Khi hạ tầng chạy trên AWS, Google Cloud hay Azure, phần data center thuộc trách nhiệm của nhà cung cấp theo BAA và mô hình trách nhiệm chung (shared responsibility), nhưng laptop của developer, điện thoại của nhân viên hỗ trợ và văn phòng tại Việt Nam vẫn là phạm vi của bạn. Đây thường là khoảng trống lớn nhất của các team làm việc từ xa: máy chưa mã hóa ổ đĩa, không có quy trình thu hồi thiết bị khi nhân viên nghỉ việc.

Technical safeguards gồm những kiểm soát nào?

Technical safeguards (§164.312) có 5 standard. Access control yêu cầu mỗi người dùng có định danh riêng và có quy trình truy cập khẩn cấp (cả hai là Required), cùng automatic logoff và mã hóa dữ liệu lưu trữ (Addressable). Audit controls yêu cầu cơ chế ghi lại và xem xét hoạt động trên hệ thống chứa ePHI. Integrity bảo vệ ePHI khỏi bị sửa hoặc hủy trái phép. Person or entity authentication yêu cầu xác minh người hoặc hệ thống đang truy cập đúng là ai. Transmission security bảo vệ ePHI khi truyền qua mạng, trong đó mã hóa đường truyền là specification Addressable.

HIPAA không gọi tên MFA như một yêu cầu riêng; MFA là một cách phổ biến để đáp ứng standard xác thực, và tổ chức tự quyết định dựa trên risk analysis. Danh sách kiểm soát kỹ thuật chi tiết cho developer có trong bài yêu cầu kỹ thuật HIPAA cho developer.

"Addressable" có nghĩa là tùy chọn không?

Không. Theo §164.306(d), với mỗi specification Addressable, tổ chức phải đánh giá xem nó có hợp lý và phù hợp với môi trường của mình không. Nếu có, phải triển khai. Nếu không, phải ghi lại lý do và triển khai một biện pháp thay thế tương đương nếu hợp lý. Với ePHI trên cloud và laptop, rất khó lập luận rằng mã hóa là không hợp lý, nên trên thực tế hầu hết tổ chức đều mã hóa cả khi lưu trữ lẫn khi truyền. Điều quan trọng là quyết định được viết ra và gắn với risk analysis.

pTrackly hỗ trợ phần nào?

pTrackly có framework HIPAA với control gắn sẵn cho các standard trên. Risk register chấm điểm likelihood × impact và theo dõi phương án xử lý, phần training bảo mật có sẵn và tự gom kết quả làm evidence, danh sách thiết bị ghi nhận trạng thái mã hóa ổ đĩa, access review lấy danh sách tài khoản từ các hệ thống đã kết nối, và mục Vendors ghi trạng thái BAA của từng nhà cung cấp kèm nhắc trước khi hết hạn. Việc cấu hình hệ thống, viết quyết định cho từng specification Addressable và vận hành control mỗi ngày vẫn là việc của team bạn; pTrackly không thay đánh giá độc lập hay tư vấn pháp lý.

Câu hỏi thường gặp

HIPAA có bao nhiêu standard trong ba nhóm safeguards?

Có 18 standard: 9 Administrative (§164.308), 4 Physical (§164.310) và 5 Technical (§164.312). Ngoài ra Security Rule còn có yêu cầu về tổ chức (§164.314) và về chính sách, tài liệu (§164.316), như lưu tài liệu tối thiểu 6 năm.

Business associate có phải tuân thủ cả ba nhóm safeguards không?

Có. Theo §164.302, business associate phải tuân thủ trực tiếp Security Rule, không chỉ qua hợp đồng. BAA là nơi covered entity ràng buộc thêm nghĩa vụ; nội dung bắt buộc của BAA có trong bài BAA là gì.

Risk analysis phải làm bao lâu một lần?

HIPAA không ấn định tần suất. §164.308(a)(8) yêu cầu đánh giá định kỳ và khi môi trường hoặc vận hành thay đổi. Nhiều tổ chức chọn làm mỗi năm một lần và cập nhật sau thay đổi lớn hoặc sự cố.

Mã hóa có bắt buộc theo HIPAA không?

Mã hóa là specification Addressable, nên tổ chức phải triển khai nếu hợp lý hoặc ghi lại lý do và biện pháp thay thế. Ngoài ra, dữ liệu được mã hóa theo hướng dẫn của HHS không bị coi là "unsecured PHI", nên việc lộ thiết bị đã mã hóa thường không kích hoạt nghĩa vụ thông báo breach.