القائمة المرجعية لمشتري الرعاية الصحية لنظام الهاتف الذي يوقع اتفاقية BAA

مقدمة

سيخبرك كل بائعي أنظمة الهاتف الذين يستهدفون الرعاية الصحية أنهم متوافقون مع قانون HIPAA. عدد قليل جدًا منهم سيخبرك بما يعنيه ذلك من حيث هندستهم المعمارية، أو BAA الخاصة بهم، أو ما يحدث عندما يحدث خطأ ما. تم تصميم قائمة المراجعة هذه لاختراق التسويق وطرح الأسئلة التي تهم المشتريات - تلك التي تحدد ما إذا كنت ستبحر عبر تدقيق التعرف الضوئي على الحروف (OCR) التالي أو ستتدافع لشرح فجوة لم تكن تعلم بوجودها.

1. هل سيوقعون اتفاقية شركاء الأعمال؟

هذا هو خط الأساس. مطلوب BAA بموجب HIPAA لأي بائع يتعامل مع المعلومات الصحية المحمية (PHI) نيابة عنك. "متوافق مع HIPAA" بدون اتفاقية BAA موقعة لا معنى لها - ينطبق الامتثال فقط على الكيانات المشمولة وشركائها التجاريين، وتتطلب الجمعية اتفاقية موقعة.

اسأل البائع: هل يمكنك تقديم اتفاقية BAA قبل توقيع عقد الخدمة، وليس بعد ذلك؟ قم بمراجعتها قبل الالتزام. العناصر الأساسية التي يجب التحقق منها: هل تحدد PHI بشكل متوافق مع تعريف HIPAA؟ هل يصف التزام البائع بإعلامك بالانتهاك خلال 60 يومًا؟ هل يحدد كيفية تدمير المعلومات الصحية المحمية أو إعادتها عند نهاية العقد؟

2. أين يتم تخزين تسجيلات المكالمات، وإلى متى؟

تحتوي تسجيلات المكالمات في سياق الرعاية الصحية في كثير من الأحيان على معلومات صحية محمية: أسماء المرضى، وتواريخ الميلاد، ووصف الأعراض، وتفاصيل المواعيد. اسأل على وجه التحديد:

• هل يتم تخزين التسجيلات في منطقة بها ضوابط لتواجد البيانات، أم في مجمع عالمي؟
• ما هو معيار التشفير المستخدم أثناء الراحة وأثناء النقل؟ (AES-256 في حالة الراحة وTLS 1.2+ أثناء النقل هما الحد الأدنى الحالي للتوقعات.)
• ما هي فترة الاحتفاظ الافتراضية، وهل يمكنك تعيين فترة أقصر؟
• من في مؤسسة البائع يمكنه الوصول إلى التسجيلات، وتحت أي ظروف؟
• هل يتم الاحتفاظ بسجلات الوصول، وهل هي متاحة لك لأغراض التدقيق؟

3. كيف يتم التعامل مع نصوص البريد الصوتي؟

يعد نسخ البريد الصوتي ثغرة شائعة في قانون HIPAA. إذا قام البائع بنسخ رسائل البريد الصوتي باستخدام نموذج ASR لجهة خارجية، فمن المحتمل أن يكون هذا النموذج معالجًا فرعيًا - ويجب أن يغطي اتفاق شراكة الأعمال الخاص بالبائع بشكل واضح المعالجين الفرعيين والتزاماتهم. اسأل: من هم البائعون الذين يقومون بمعالجة النسخ الخاص بك، وهل هم مدربون على قانون HIPAA، وهل هم مدرجون في سجل المعالج الفرعي الخاص بالمورد؟

تحقق أيضًا مما إذا كان يتم تخزين النصوص بشكل منفصل عن التسجيلات، وما إذا كان من الممكن مسحها بشكل مستقل إذا طلب المريض الحذف بموجب قوانين الخصوصية المعمول بها في الولاية.

4. ما الذي يغطيه مسار التدقيق فعليًا؟

تتطلب الضمانات الفنية لـ HIPAA ضوابط تدقيق تسجل وتفحص النشاط في أنظمة المعلومات التي تحتوي على معلومات صحية محمية. بالنسبة لنظام الهاتف، يعني ذلك سجلات من قام بالوصول إلى التسجيلات ومتى وأين. اطلب نموذجًا لسجل التدقيق قبل التوقيع - يجب أن يتضمن معرف المستخدم والطابع الزمني ونوع الإجراء والمورد الذي تم الوصول إليه. السجلات التي تغطي فقط أحداث تسجيل الدخول وليس الوصول على مستوى الموارد ليست كافية.

تأكد أيضًا من أن سجلات التدقيق واضحة للتلاعب. السجل الذي يمكن تعديله بواسطة المسؤول لا يعد مسارًا موثوقًا للتدقيق. ابحث عن السجلات المكتوبة في متجر غير قابل للتغيير والمتوفرة للتصدير إلى SIEM أو نظام التدقيق.

5. ما هي عملية الإبلاغ عن الانتهاك؟

يتطلب قانون HIPAA الإخطار بالانتهاك الذي يتضمن المعلومات الصحية المحمية (PHI) خلال 60 يومًا من اكتشافه. اسأل البائع: كيف تحدد الانتهاك وكيف ستخطرنا؟ يجب أن تتضمن الإجابة جدولًا زمنيًا محددًا للإخطارات أقل من 60 يومًا (يلتزم معظم البائعين الجيدين بفترة تتراوح بين 48 إلى 72 ساعة من الاكتشاف)، ونقطة اتصال محددة للحوادث الأمنية، ووصفًا لعملية الطب الشرعي التي تحدد ما إذا كان الانتهاك يتعلق بالمعلومات الصحية المحمية (PHI).

البائع الذي لا يستطيع وصف عملية الإخطار بالانتهاك الخاصة به بالتفاصيل لم يجرِ تمرينًا سطحيًا عليها. وهذا بحد ذاته مؤشر خطر.

6. هل تلامس طبقة الذكاء الاصطناعي PHI، وكيف؟

ميزات الذكاء الاصطناعي - النسخ، تحليل المشاعر، موظف استقبال الذكاء الاصطناعي - تتواجد بشكل متزايد في مسار معالجة المكالمات التي تحتوي على معلومات صحية محمية. اسأل: هل هذه الميزات مبنية على نماذج الطرف الأول، أم أنه يتم إرسال المكالمات إلى LLM API لجهة خارجية؟ إذا كانت واجهة برمجة التطبيقات (API) تابعة لجهة خارجية، فهل هذا الموفر مدرج كمعالج فرعي في اتفاقية BAA؟ هل البيانات المرسلة لمعالجة الذكاء الاصطناعي مجهولة المصدر قبل أن تغادر المستأجر الخاص بك؟

خاتمة

هذه هي فجوة الامتثال الأسرع حركة في السوق في الوقت الحالي. قد لا يكون البائعون الذين أضافوا ميزات الذكاء الاصطناعي بسرعة قد قاموا بتحديث BAA أو سجل المعالج الفرعي الخاص بهم ليعكس الاتجاه الذي تتجه إليه بيانات مكالمات المرضى الآن.

قائمة مراجعة المشتريات

• BAA متاح قبل توقيع العقد — وليس بعده، وليس بناءً على الطلب
• يغطي BAA جميع المعالجات الفرعية بشكل صريح
• تسجيلات المكالمات مشفرة أثناء الراحة (AES-256) وأثناء النقل (TLS 1.2+)
• التسجيلات المخزنة في منطقة محددة مع ضوابط الوصول
• تلتقط سجلات التدقيق إمكانية الوصول على مستوى الموارد، وليس عمليات تسجيل الدخول فقط
• سجلات التدقيق واضحة للتلاعب وقابلة للتصدير
• تتم تسمية المعالجات الفرعية لنسخ البريد الصوتي وتغطيتها بـ BAA
• إن التزام إشعار الخرق محدد وأقصر من 60 يومًا
• توثق ميزات الذكاء الاصطناعي كيفية تعاملها مع المعلومات الصحية المحمية في مسار المعالجة
• يتم تعريف عملية تدمير البيانات أو إعادتها في اتفاقية شراكة الأعمال (BAA).