의료보험 이동성 및 책임에 관한 법률(HIPAA)

'의료정보 이동 및 책임에 관한 법률(HIPAA)'은 민감한 환자 건강 정보가 환자의 동의나 모르게 공개되지 않도록 보호하기 위해 국가적 기준을 마련한 미국 연방법입니다. 미국 보건복지부(HHS)는 HIPAA의 요건을 이행하기 위해 HIPAA 개인정보 보호 규칙을 발표했습니다. HIPAA 보안 규칙은 개인 정보 보호 규칙이 적용되는 정보의 일부를 보호합니다.

HIPAA 규칙 및 규정에는 규정 준수에 필요한 세 가지 유형의 보안 보호 조치가 명시되어 있습니다.

관리적 보호 조치는 주로 PHI의 무결성에 대한 잠재적 취약성과 위험을 식별하기 위해 지속적인 위험 평가를 수행해야 하는 요건과 관련이 있습니다.
물리적 보호 조치는 PHI에 대한 무단 액세스를 방지하고 화재 및 기타 환경적 위험으로부터 데이터를 보호하기 위해 구현해야 하는 조치에 중점을 둡니다.
기술적 보호 조치는 전자 네트워크에서 PHI가 전달될 때 데이터 보안을 보장하기 위해 마련해야 하는 제어와 관련이 있습니다

규정 | 현재 시행 중

HITECH(경제 및 임상 보건을 위한 건강 정보 기술) 법이란 무엇인가요?

2009년 ARRA(American Recovery and Reinvestment Act, 미 경기 부양 및 재투자법)의 일부로 제정된 HITECH 법은 HIPAA 암호화 규정 준수 요건 목록을 확장하여 협력사의 직원, 공급업체, 관련 단체가 가진 데이터를 포함하여 ‘보호되지 않은(암호화되지 않은)' 개인 건강 기록의 데이터 유출 사고를 공개하도록 요구합니다.

어떤 회사가 HIPAA의 적용을 받나요?

HIPAA 규정은 적용 대상 법인 및 협력사에 적용됩니다.

적용 대상 기관에는 건강 보험, 건강 보험 기관, 병원, 진료소, 약국, 의사, 치과 등 보호 대상인 개인 건강 정보(PHI)를 생성, 수신, 유지, 전송 또는 액세스하는 모든 의료 서비스 제공업체가 포함됩니다.
협력사에는 해당 법인을 대신하여 ePHI를 생성, 수신, 유지, 전송 또는 액세스할 수 있는 제3자 서비스 제공업체가 포함됩니다. 예를 들어 IT 계약업체나 클라우드 스토리지 공급업체가 이에 해당합니다.

HIPAA는 언제 시행되었나요?

HIPAA는 1996년 미국 의회에서 제정되었습니다. 그 이후 이 법은 여러 차례 개정되었는데, 2009년에는 경제 및 임상 건강을 위한 건강 정보 기술법(HITECH)이 통과되어 위반에 대한 새로운 제재 체계가 추가되었고, 보안 규칙을 준수하지 않아 발생한 데이터 침해에 대해 협력사가 직접적인 책임을 지도록 만들어졌습니다.

HIPAA 규정 미준수에 대한 처벌은 어떻게 되나요?

HIPAA 미준수에 대한 과태료는 과실 정도에 따라 달라지며 개별 위반 건당 100달러에서 5만 달러까지, 연간 최대 190만 달러의 과태료가 부과될 수 있습니다. 위반 시 책임자에게는 1년에서 10년의 징역형을 받을 수 있습니다.

탈레스가 HIPAA 규정 준수를 지원하는 방법

탈레스의 솔루션은 규정 준수를 간소화하고 보안을 자동화하여 보안 및 규정 준수 팀의 부담을 줄임으로써 조직이 HIPAA를 준수할 수 있도록 지원합니다. Dropbox는 법안의 네 가지 항목에 따라 보호 대상 건강 정보(PHI)를 보호하기 위한 필수 요건을 충족하여 조직이 HIPAA를 준수할 수 있도록 지원합니다.

탈레스는 애플리케이션 보안, 데이터 보안, 신원 및 액세스 관리라는 사이버보안의 세 가지 핵심 영역에서 포괄적인 사이버 보안 솔루션을 제공합니다.

HIPAA 규정 준수 솔루션

애플리케이션 보안

클라우드, 온프레미스 또는 하이브리드 모델에서 규모에 맞게 애플리케이션과 API를 보호합니다. 시장을 선도하는 당사의 제품군에는 웹 애플리케이션 방화벽(WAF), 분산 서비스 거부(DDoS) 및 악성 BOT 공격에 대한 보호, API 보안, 안전한 콘텐츠 전송 네트워크(CDN), 런타임 애플리케이션 자가 보호(RASP)가 포함됩니다.

데이터 보안

암호화 토큰화 및 키 관리를 사용하여 하이브리드 IT 전반에서 민감 데이터를 발견·분류하고 저장·전송·사용 중에 어디서나 자동으로 보호합니다. 탈레스 솔루션은 정확한 위험 평가를 위해 잠재적 위험을 식별·평가하고 우선순위를 정하며, 비정상적인 행동을 탐지하고 활동을 모니터링함으로써 규정 준수 여부를 검증하여 조직이 노력을 어디에 투자할지 우선순위를 정할 수 있도록 지원합니다.

ID 및 액세스 관리

고객, 직원, 협력사를 대상으로 애플리케이션과 디지털 서비스에 대한 원활하고 안전하며 신뢰할 수 있는 액세스를 제공합니다. 당사 솔루션은 세분화된 액세스 정책과 다중 인증을 통해 역할과 상황에 따라 내·외부 사용자의 액세스를 제한하여, 적절한 사용자가 적시에 적절한 리소스에 대한 액세스 권한을 받을 수 있도록 지원합니다.