Plataformas de monitorização remota de pacientes recebem novas diretrizes de segurança cibernética e privacidade
Novas orientações estão disponíveis para empresas de monitorização remota de pacientes (RPM) sobre conformidade com a cibersegurança e privacidade. O Centro Nacional de Excelência em Cibersegurança (NCCoE), parte do Instituto Nacional de Padrões e Tecnologia (NIST), divulgou Protegendo o ecossistema de monitoramento remoto de pacientes por telessaúde. O guia prático oferece às organizações de saúde e aos desenvolvedores de software RPM um exemplo de arquitetura para implementar controles de segurança cibernética e privacidade e soluções para os desafios enfrentados na proteção do ecossistema RPM. A orientação está atualmente em fase de rascunho e o NIST está a aceitar comentários públicos até 18 de dezembro de 2020.
Os serviços de RPM continuam a crescer em popularidade devido à sua conveniência, opções económicas para pacientes e prestadores de serviços eexpansãocontínuado reembolso de RPMpor planos de saúde, Medicare e Medicaid. Historicamente, a maioria das soluções de RPM era implementada em ambientes controlados e avessos a riscos cibernéticos, como hospitais ou instalações médicas. Mas com os avanços dos serviços em nuvem, tecnologias de rede e sem fios e recursos de dispositivos biométricos, as soluções RPM oferecem novas maneiras para as equipas clínicas alcançarem diretamente os pacientes em suas casas, às vezes em modelos de serviço DTC exclusivamente virtuais. Mesmo que a empresa RPM não esteja sujeita à HIPAA, esses novos modelos de serviços de tecnologia da saúde apresentam diferentes riscos de segurança cibernética e privacidade. Os desenvolvedores de software RPM responsáveis e os prestadores de serviços habilitados para tecnologia precisam entender e levar em consideração a segurança cibernética ao implantar suas ofertas de RPM.
A importância da segurança cibernética e da privacidade nos serviços e softwares de RPM
A implementação de uma solução RPM normalmente envolve várias partes, locais e a implantação de dispositivos biométricos, o que contribui para aumentar a exposição ao risco de cibersegurança e privacidade para o prestador e o paciente. O NCCoE criou um ambiente de testes que simulava uma solução RPM fornecida por uma equipa clínica a pacientes em casa. A solução RPM simulada foi oferecida por um fornecedor de plataforma de telessaúde que incorpora serviços em nuvem e recursos de conferência de áudio e vídeo entre o paciente e a equipa clínica, implementada usando tecnologias de cibersegurança disponíveis comercialmente. Os pacientes receberam dispositivos RPM que acessavam e transmitiam automaticamente dados fisiológicos biométricos e comunicações entre o paciente e a equipa clínica remota. O NCCoE então realizou uma avaliação de risco com base no NIST SP 800-37 Revisão 2, Estrutura de Gestão de Risco para Sistemas de Informação e Organizações, que constituiu a base para o rascunho das diretrizes.
Elementos-chave das novas diretrizes
O guia NCCoE oferece uma abordagem documentada para empreendedores e desenvolvedores de software RPM implementarem controlos e políticas de segurança cibernética e privacidade. Ele mapeia normas e melhores práticas específicas do setor, como a Regra de Segurança HIPAA, que as empresas devem abordar, incluindo, por exemplo:
- Identificar e implementar controlos e políticas que ajudem no desenvolvimento da consciência organizacional sobre os riscos.
- Implementar salvaguardas adequadas para garantir a segurança dos dados de ponta a ponta entre pacientes e organizações.
- Detectar anomalias e eventos de segurança através de controlos de segurança adequados (ou seja, uma ferramenta de gestão de eventos de incidentes de segurança) e realizar monitorização contínua da segurança.
- Responder e mitigar eventos de segurança e vulnerabilidades para conter o impacto de incidentes de cibersegurança.
- Recuperação e retomada das operações normais após um incidente de cibersegurança.
Em última análise, as orientações do NCCoE fornecem um roteiro e as melhores práticas a serem seguidas pelas empresas e prestadores de RPM em matéria de medidas de cibersegurança e privacidade. Tal como acontece com todas as soluções tecnológicas, deve ser realizada uma avaliação de risco completa que tenha em conta as características, configurações e variações específicas de uma organização ou operação. Continuaremos a acompanhar quaisquer alterações às regras ou orientações sobre questões de cibersegurança e privacidade no setor da telemedicina e saúde digital.
Para obter mais informações sobre telemedicina, telessaúde, cuidados virtuais, monitorização remota de doentes, saúde digital e outras inovações na área da saúde, incluindo a equipa, as publicações e a experiência dos representantes, visite a Telemedicine & Digital Health Industry Team da Foley.
