¿Es Google Workspace compatible con la normativa HIPAA?

No todos los planes de Google Workspace garantizan automáticamente el cumplimiento de la normativa HIPAA. Si bien Google ofrece funciones de seguridad y privacidad en todas sus ofertas de Workspace, las organizaciones que manejan información sanitaria protegida (PHI) normalmente necesitan al menos una edición de pago (por ejemplo, Business o Enterprise) para acceder a configuraciones de seguridad avanzadas y firmar el BAA de Google (Acuerdo de socio Business).

Los planes que generalmente admiten el cumplimiento de la normativa HIPAA incluyen:

• Business (Standard, Plus)

• Enterprise (Standard, Plus)

• Education (En ciertos casos, con requisitos adicionales)

Incluso dentro de estos planes, debe configurar correctamente los ajustes de privacidad. El mero hecho de suscribirse a un plan elegible no garantiza que su entorno cumpla con la HIPAA; también debe seguir las directrices sobre cómo hacer que Google Workspace cumpla con la HIPAA, incluido el manejo adecuado de la información electrónica protegida de la salud (ePHI).

Varios servicios básicos de Google Workspace pueden utilizarse de forma que cumplan con la HIPAA, una vez que firme el BAA de Google y los configure correctamente. Estos incluyen:

• Gmail (a menudo denominado “Gmail que cumple con la HIPAA” cuando está configurado correctamente)

• Google Drive (incluidos Docs, Sheets y Slides)

• Google Meet

• Google Chat (escenarios de uso limitados; asegúrese de una configuración correcta)

• Google Calendar

Los servicios que no figuran en el BAA de Google pueden requerir un escrutinio adicional o podrían no ser adecuados para almacenar o transmitir ePHI. Por ejemplo, Google Voice puede no estar cubierto por el BAA estándar, por lo que es importante verificarlo directamente con la documentación de Google antes de utilizarlo para la comunicación relacionada con la PHI.

• Firme el BAA de Google: Este es un documento legalmente vinculante que describe las responsabilidades de Google como socio comercial. El BAA garantiza que Google se compromete a manejar la ePHI de una manera consistente con los requisitos de la HIPAA.

• Active las funciones de seguridad: Active las funciones de seguridad como la verificación en dos pasos, la prevención de pérdida de datos (DLP) y los controles de acceso para ayudar a proteger la ePHI.

• Configure los controles administrativos: Utilice la consola de administración de Google para configurar el uso compartido restringido, controlar el reenvío de correo electrónico externo y limitar las aplicaciones de terceros.

• Capacite a su personal: Incluso con las salvaguardias técnicas, la formación de los usuarios sigue siendo crucial. Asegúrese de que los empleados entiendan cómo mantener el cumplimiento de la HIPAA al utilizar Gmail, Google Drive, Google Docs y otras herramientas de Google Workspace.

• Supervise y audite: Revise periódicamente los registros de auditoría y los informes de actividad para detectar accesos no autorizados o actividades inusuales. Una supervisión adecuada garantiza que pueda identificar rápidamente las posibles infracciones.

Consejo: Si le preocupa específicamente “cómo hacer que Gmail cumpla con la HIPAA” o “cómo hacer que Google Workspace cumpla con la HIPAA”, céntrese en la configuración de seguridad en la consola de administración, aplique el cifrado (como el uso de S/MIME) y asegúrese de que los usuarios conozcan las mejores prácticas.

¿Google Workspace cumple con la HIPAA? En resumen, Google Workspace puede cumplir con la HIPAA si usted:

• Elige un plan elegible (ediciones Business o Enterprise, principalmente).

• Firme el BAA de Google.

• Habilite y mantenga la configuración de seguridad y los controles de privacidad necesarios.

• Utilice los servicios solo de formas aprobadas por HIPAA.

Simplemente tener una cuenta de Google Workspace no es suficiente; debe configurar y supervisar cuidadosamente el entorno, capacitar al personal y seguir las mejores prácticas para el manejo de PHI. Al cumplir con estos requisitos, muchas organizaciones utilizan con éxito Google Workspace como una solución que cumple con HIPAA.