Un'entità coperta è un'organizzazione sanitaria, un assicuratore sanitario o una clearinghouse regolati nell'ambito dell'HIPAA. In pratica, questo include ospedali, cliniche, piani sanitari e alcune altre organizzazioni che creano, ricevono, archiviano o trasmettono informazioni sanitarie protette.
Questo termine è importante perché gli obblighi previsti dall'HIPAA si applicano alle entità coperte: devono proteggere i dati dei pazienti, gestire gli accessi e mantenere controlli amministrativi, fisici e tecnici adeguati. Negli attacchi informatici, le entità coperte sono spesso il bersaglio principale di ransomware, phishing e furto di identità perché custodiscono preziosa ePHI e necessitano di disponibilità continua. Dal punto di vista difensivo, questa definizione aiuta a stabilire chi è responsabile dell'analisi del rischio, della risposta agli incidenti, della supervisione dei fornitori e della pianificazione del ripristino. I business associate possono supportare queste organizzazioni, ma l'entità coperta rimane centrale per la conformità e la responsabilità.