Clouditive

https://dxclouditive.com/pt/engenharia-hipaa

Agende uma conversaAgende uma conversaConte seu casoContato
Agende uma conversa

A regra

O que a Regra de Segurança da HIPAA pede da engenharia?

A Regra de Segurança (45 CFR 164.302 a 164.318) obriga as entidades cobertas e os associados comerciais a assegurar a confidencialidade, a integridade e a disponibilidade da ePHI com salvaguardas administrativas, físicas e técnicas, políticas escritas e documentação mantida por seis anos. A engenharia carrega a maior parte das salvaguardas técnicas e parte das administrativas. Quais medidas bastam é definido pela sua análise de riscos, não por esta página.

Cada padrão tem especificações de implementação marcadas como Obrigatórias (Required) ou Endereçáveis (Addressable). Endereçável não significa opcional: o §164.306(d)(3) exige que você avalie se a especificação é razoável e apropriada e então a implemente, ou documente por que não e implemente uma alternativa equivalente, se razoável.

A regra deixa o método com você. O §164.306(b) manda considerar o seu porte e complexidade, a sua infraestrutura técnica, o custo das medidas e a probabilidade e a criticidade dos riscos para a ePHI.

Se a sua empresa é ela mesma uma entidade coberta, um plano de saúde, uma clearinghouse de saúde ou um prestador que transmite informação de saúde em formato eletrônico, somos o seu associado comercial diretamente. Se você é fornecedor de uma, somos a sua subcontratada.

O BAA

Assinamos um acordo de associado comercial (BAA) da HIPAA?

Sim. A Clouditive assina um acordo de associado comercial (BAA) da HIPAA quando um contrato toca PHI. A Regra de Segurança permite que uma entidade coberta, ou um associado comercial, entregue ePHI a um associado comercial somente depois de obter garantias satisfatórias, documentadas em um contrato escrito (§164.308(b)). Esse contrato deve obrigar o associado a cumprir a regra, obrigar da mesma forma os seus subcontratados e comunicar os incidentes de segurança, incluindo as violações de PHI não protegida (§164.314(a)).

Peça o BAA na primeira conversa, para que esteja assinado antes de um engenheiro ter acesso a PHI. Um associado comercial deve notificar a entidade coberta de uma violação sem demora injustificada e, em qualquer caso, no máximo 60 dias corridos após a descoberta (§164.410).

Um BAA não deixa um sistema em conformidade. Quem faz isso são as salvaguardas, e a sua análise de riscos decide quais bastam.

O que não afirmamos

O que não afirmamos?

A HIPAA não tem certificação, então não temos nenhuma, não emitimos nenhuma e não afirmamos nenhuma. Não somos um auditor, um avaliador nem um escritório de advocacia, e não temos nenhum caso publicado de saúde.

  • A Regra de Segurança exige uma avaliação periódica (§164.308(a)(8)), não um certificado. Quando o HHS adotou a regra, em 2003, disse que não pretendia criar critérios de certificação (68 FR 8334, na página 8352).
  • Não temos nenhum caso publicado de saúde. Os casos linkados abaixo mostram os mesmos controles em outros setores, e não são prova de experiência com uma entidade coberta.
  • Não realizamos nem assinamos a sua análise de riscos, não escrevemos as suas políticas, não treinamos a sua equipe nem atuamos como o seu responsável de segurança. Isso fica com a sua organização (§164.308(a)(1), (a)(2) e (a)(5)).
  • Não garantimos o resultado de uma auditoria, de uma investigação nem da revisão de segurança de um cliente, e não damos consultoria jurídica.
  • Não afirmamos nenhuma certificação HITRUST nem nenhuma parceria com uma plataforma de automação de conformidade (GRC).
  • O HHS publicou em 6 de janeiro de 2025 uma proposta para alterar a Regra de Segurança (90 FR 898). Não encontramos uma regra final no Federal Register em 2026-10-09, então esta página descreve a regra em vigor.

As salvaguardas

Quais salvaguardas a equipe de engenharia constrói?

Seis áreas da Regra de Segurança recaem sobre a engenharia: controle de acesso e autenticação, controles de auditoria, integridade e segurança na transmissão, o plano de contingência, a parte técnica da gestão de riscos e a cadeia de associados comerciais. Para cada uma: o que a regra pede, o trabalho de engenharia e onde o fizemos em um caso publicado.

Controle de acesso e autenticação

O que exige da engenhariaCada pessoa e programa que chega à ePHI tem a sua própria identidade e você consegue cortar o acesso rápido?

O §164.312(a) torna obrigatórias a identificação única de usuários e um procedimento de acesso de emergência, e endereçáveis o encerramento automático de sessão e a criptografia. O §164.312(d) exige à parte procedimentos para verificar que quem pede acesso é quem diz ser, e o §164.308(a)(3) e (a)(4) acrescentam procedimentos de autorização, supervisão e desligamento. A engenharia: identidades no seu SSO, MFA, privilégio mínimo, tempo de sessão, acesso de emergência registrado, segredos em um cofre gerenciado e identidade de workload para os serviços.

Onde já fizemos

Nenhum pacote fixo cobre o controle de acesso sozinho. Definimos o escopo no Discovery ou com engenheiros por hora.

Controles de auditoria e revisão de atividade

O que exige da engenhariaO que os seus sistemas registram sobre quem tocou a ePHI e alguém revisa isso?

O §164.312(b) exige mecanismos que registrem e examinem a atividade nos sistemas que contêm ou usam ePHI. O §164.308(a)(1)(ii)(D) exige procedimentos para revisar regularmente os logs de auditoria, os relatórios de acesso e os relatórios de acompanhamento de incidentes. A engenharia: logs de aplicação e infraestrutura desenhados para que a ePHI não caia nas linhas de log, alertas sobre os eventos que a sua revisão define e um runbook. A revisão em si é feita pela sua equipe.

Onde já fizemos

Entregue por

Integridade e segurança na transmissão

O que exige da engenhariaA ePHI pode ser alterada sem que ninguém perceba e está protegida em trânsito?

O §164.312(c) pede proteção contra alteração ou destruição indevidas, com um mecanismo para autenticar a ePHI como especificação endereçável. O §164.312(e) pede medidas técnicas contra acesso não autorizado em trânsito, com controles de integridade e criptografia endereçáveis. A engenharia: TLS em cada caminho, artefatos de release assinados e fixados por digest, para que o que roda seja o que foi testado, e um firewall de aplicações web na borda.

Onde já fizemos

Entregue por

Plano de contingência

O que exige da engenhariaExistem cópias exatas recuperáveis da ePHI e alguém restaurou uma?

O §164.308(a)(7) exige um plano de backup de dados, um plano de recuperação de desastres e um plano de operação em modo de emergência. Testes e revisões periódicas do plano e a análise de quais aplicações e dados são críticos são endereçáveis. A engenharia: backups criptografados e agendados, ensaios de restauração e um rollback ensaiado em vez de presumido.

Onde já fizemos

Nenhum pacote fixo cobre backups e recuperação sozinhos. Definimos o escopo no Discovery ou com engenheiros por hora.

Análise de riscos, gestão de riscos e avaliação

O que exige da engenhariaOnde está a ePHI, o que poderia dar errado com ela e o que você fez a respeito?

O §164.308(a)(1)(ii)(A) e (B) exigem uma análise de riscos precisa e completa e medidas de segurança que reduzam o risco a um nível razoável e apropriado, e o §164.308(a)(8) uma avaliação periódica. A sua organização os realiza e os assina. A engenharia fornece os fatos: um inventário de sistemas e fluxos de dados, varreduras em cada mudança, alertas testados e um backlog de correções ordenado pelo risco que você avaliou.

Onde já fizemos

Entregue por

Não realizamos nem assinamos a sua análise de riscos.

Associados comerciais e comunicação de incidentes

O que exige da engenhariaQuais fornecedores tocam a ePHI, há um BAA com cada um e quem comunica um incidente a quem?

O §164.308(b) e o §164.314(a) exigem um contrato escrito com cada associado comercial e subcontratado que lida com ePHI, e o §164.308(a)(6) exige procedimentos para identificar, responder, mitigar e documentar os incidentes de segurança. A engenharia: um mapa dos serviços e fornecedores por onde passam os dados, para que você saiba de quais BAAs precisa, e a detecção e o runbook que permitem saber de um incidente o quanto antes o sistema consiga mostrar.

Nenhum caso publicado mostra esta linha sozinha. A linha de controles de auditoria mostra o trabalho de detecção.

Como entregamos

Como os nossos pacotes e engenheiros entregam isso?

Comece com um pacote de preço fixo, ou contrate engenheiros por hora. O pacote de CI/CD e IaC constrói o pipeline e a infraestrutura como código. Os Fundamentos de SRE e observabilidade conectam o monitoramento. Os Fundamentos de automação de QA colocam testes no seu CI. O Discovery transforma a sua análise de riscos, ou o questionário de segurança de uma entidade coberta, em um roadmap com backlog.

Pipeline e infraestrutura como código

Uma construção ou redesenho de 2 semanas dos seus pipelines de CI/CD e da sua infraestrutura como código. Os gates que entram no pipeline, como uma varredura de vulnerabilidades, são combinados no SOW.

Entregue por

Registro e monitoramento

Métricas, logs e traces conectados, 3 SLOs definidos, alertas testados até dispararem e um runbook.

Entregue por

Testes em cada mudança

Uma suíte de Playwright para os seus 5 fluxos críticos, rodando no seu CI, com verificações de acessibilidade.

Entregue por

Da lista de requisitos a um backlog

O Discovery entende o seu produto e a configuração dele de ponta a ponta e entrega um roadmap com backlog, papéis, mudanças críticas e necessidades. Traga a sua análise de riscos, o questionário de segurança de uma entidade coberta ou uma lista de lacunas do seu consultor e a transformamos em trabalho de engenharia.

Entregue por

Engenheiros por hora

Para continuar depois de um pacote, pegue o próximo pacote de 2 semanas, a preço fixo e sem mínimo. Ou trabalhe por hora: Sênior US$ 45–⁠50, Líder ou Arquiteto US$ 55–⁠60, faturado por hora trabalhada, com mínimo de 6 meses para times por hora. Você entrevista o engenheiro que fará o trabalho.

Fontes

Quais textos lemos?

Textos primários, lidos em 2026-10-09.

  • 45 CFR Parte 164, Subparte C (§§164.302 a 164.318), texto do eCFR em vigor em 2026-10-01.
  • 45 CFR 160.103, definição de associado comercial, e 45 CFR 164.410, notificação por um associado comercial, mesma data do eCFR.
  • Health Insurance Reform: Security Standards, 68 FR 8334 (20 de fevereiro de 2003), a regra final e o seu preâmbulo.
  • HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information, 90 FR 898 (6 de janeiro de 2025), uma regra proposta.

Outros marcos rumo aos quais fazemos engenharia

Perguntas frequentes

A Clouditive tem certificação HIPAA?

Não. A Regra de Segurança não cria nenhuma certificação HIPAA: exige uma avaliação periódica (§164.308(a)(8)), e em 2003 o HHS disse que não pretendia criar critérios de certificação. Não afirmamos nenhuma certificação para a Clouditive nem para nenhum cliente.

Vocês assinam um acordo de associado comercial (BAA) da HIPAA?

Sim. A Clouditive assina um BAA da HIPAA quando um contrato toca PHI. Peça na primeira conversa, para que esteja assinado antes de um engenheiro ter acesso a PHI.

Vocês têm clientes de saúde?

Não temos nenhum caso publicado de saúde. Os casos linkados nesta página mostram os mesmos controles em trabalhos de análise fintech, govtech, proptech, IA, games e transporte.

Endereçável significa opcional?

Não. Para uma especificação endereçável, o §164.306(d)(3) exige que você avalie se ela é razoável e apropriada e então a implemente, ou documente por que não e implemente uma alternativa equivalente, se razoável.

O nosso app estará em conformidade com a HIPAA depois que vocês o construírem?

Construímos as salvaguardas técnicas e deixamos evidências que um revisor consegue ler. A conformidade também abrange a sua análise de riscos, políticas, treinamento, fornecedores e operações, então nenhum fornecedor externo pode prometê-la, e não garantimos o resultado de uma auditoria nem de uma investigação.

A Regra de Segurança mudou?

O HHS publicou uma proposta para alterá-la em 6 de janeiro de 2025 (90 FR 898). Em 2026-10-09 não encontramos uma regra final no Federal Register, então esta página descreve a regra em vigor.

O que vocês precisam de nós para começar?

Um BAA se houver PHI no escopo, acesso pelas suas próprias contas e a sua análise de riscos ou o questionário de uma entidade coberta, se você tiver. O Discovery cobre o resto.

Como isso se relaciona com SOC 2 e os outros frameworks?

A engenharia se sobrepõe bastante: releases com gates, acessos demonstráveis, alertas testados e recuperação ensaiada servem a vários frameworks ao mesmo tempo. A página de engenharia de conformidade mostra qual cláusula de cada framework pede qual controle.

Como os engenheiros acessam os nossos sistemas?

Pelas suas próprias contas e identidades, com o seu SSO, o seu MFA e acesso de privilégio mínimo, revogado quando o contrato termina. Todo engenheiro passa por uma verificação de antecedentes antes de ser alocado.

Quem faz o trabalho?

Mat Caniglia lidera cada projeto de ponta a ponta. Os engenheiros estão na América Latina e têm pelo menos 4 horas em comum com o horário do Leste e do Centro dos EUA, e 2 com o do Pacífico. Apresentamos candidatos em até 1 semana, e você entrevista o engenheiro que fará o trabalho.

Matías (Mat) Caniglia, Fundador e CEO

Lidero cada projeto e entrevisto cada engenheiro antes de você conhecê-lo. Traga o problema e em 30 minutos saberemos se faz sentido trabalharmos juntos.

Respondemos a todo pedido em até 1 dia útil. Assinamos um NDA antes da conversa, se você pedir.

Agende uma conversa de 30 min com o fundadorConte seu caso