फ़ोन सिस्टम के लिए स्वास्थ्य देखभाल क्रेता की चेकलिस्ट जो BAA पर हस्ताक्षर करती है

परिचय

स्वास्थ्य देखभाल को लक्षित करने वाला प्रत्येक फ़ोन सिस्टम विक्रेता आपको बताएगा कि वे HIPAA-अनुपालक हैं। उनमें से बहुत कम लोग आपको बताएंगे कि उनकी वास्तुकला, उनके बीएए, या कुछ गलत होने पर क्या होता है, के संदर्भ में इसका क्या मतलब है। इस चेकलिस्ट को विपणन में कटौती करने और खरीद के लिए महत्वपूर्ण प्रश्नों को सामने लाने के लिए डिज़ाइन किया गया है - जो यह निर्धारित करते हैं कि आप अपने अगले ओसीआर ऑडिट के माध्यम से सफल होंगे या उस अंतर को समझाने के लिए संघर्ष करेंगे जिसके बारे में आपको नहीं पता था।

1. क्या वे बिजनेस एसोसिएट समझौते पर हस्ताक्षर करेंगे?

यह आधार रेखा है. आपकी ओर से संरक्षित स्वास्थ्य सूचना (पीएचआई) को संभालने वाले किसी भी विक्रेता के लिए एचआईपीएए के तहत बीएए आवश्यक है। हस्ताक्षरित बीएए के बिना 'एचआईपीएए-अनुपालक' अर्थहीन है - अनुपालन केवल कवर की गई संस्थाओं और उनके व्यावसायिक सहयोगियों पर लागू होता है, और एसोसिएशन को एक हस्ताक्षरित समझौते की आवश्यकता होती है।

विक्रेता से पूछें: क्या आप सेवा अनुबंध पर हस्ताक्षर करने से पहले बीएए प्रदान कर सकते हैं, उसके बाद नहीं? प्रतिबद्ध होने से पहले इसकी समीक्षा करें। जाँचने योग्य मुख्य वस्तुएँ: क्या यह PHI को HIPAA की परिभाषा के अनुरूप परिभाषित करता है? क्या यह 60 दिनों के भीतर आपको उल्लंघन की सूचना देने के विक्रेता के दायित्व का वर्णन करता है? क्या यह निर्दिष्ट करता है कि PHI को अनुबंध के अंत में कैसे नष्ट किया जाता है या वापस लौटाया जाता है?

2. कॉल रिकॉर्डिंग कहाँ संग्रहीत की जाती हैं, और कितने समय तक?

स्वास्थ्य देखभाल के संदर्भ में कॉल रिकॉर्डिंग में अक्सर PHI शामिल होता है: रोगी के नाम, जन्म तिथि, लक्षण विवरण, नियुक्ति विवरण। विशेष रूप से पूछें:

• क्या रिकॉर्डिंग डेटा रेजीडेंसी नियंत्रण वाले क्षेत्र में या वैश्विक पूल में संग्रहीत हैं?
• आराम और पारगमन में किस एन्क्रिप्शन मानक का उपयोग किया जाता है? (आराम के समय एईएस-256 और पारगमन के दौरान टीएलएस 1.2+ वर्तमान न्यूनतम अपेक्षाएं हैं।)
• डिफ़ॉल्ट अवधारण अवधि क्या है, और क्या आप इससे छोटी अवधि निर्धारित कर सकते हैं?
• विक्रेता संगठन में कौन रिकॉर्डिंग तक पहुंच सकता है, और किन शर्तों के तहत?
• क्या एक्सेस लॉग बनाए रखे गए हैं, और क्या वे ऑडिट उद्देश्यों के लिए आपके लिए उपलब्ध हैं?

3. ध्वनि मेल प्रतिलेखों को कैसे प्रबंधित किया जाता है?

वॉइसमेल ट्रांसक्रिप्शन एक सामान्य HIPAA अंतर है। यदि कोई विक्रेता तृतीय-पक्ष एएसआर मॉडल का उपयोग करके वॉइसमेल ट्रांसक्रिप्ट करता है, तो वह मॉडल संभवतः एक उप-प्रोसेसर है - और विक्रेता के बीएए को स्पष्ट रूप से उप-प्रोसेसर और उनके दायित्वों को कवर करना चाहिए। पूछें: कौन से विक्रेता आपके ट्रांसक्रिप्शन को संसाधित करते हैं, क्या वे HIPAA-प्रशिक्षित हैं, और क्या वे विक्रेता की उप-प्रोसेसर रजिस्ट्री में सूचीबद्ध हैं?

यह भी जांचें कि क्या प्रतिलेखों को रिकॉर्डिंग से अलग संग्रहीत किया जाता है, और यदि कोई मरीज लागू राज्य गोपनीयता कानूनों के तहत हटाने का अनुरोध करता है तो क्या उन्हें स्वतंत्र रूप से शुद्ध किया जा सकता है।

4. ऑडिट ट्रेल वास्तव में क्या कवर करता है?

HIPAA के तकनीकी सुरक्षा उपायों के लिए ऑडिट नियंत्रण की आवश्यकता होती है जो PHI युक्त सूचना प्रणालियों में गतिविधि को रिकॉर्ड और जांच करते हैं। फ़ोन सिस्टम के लिए, इसका मतलब है कि किसने, कब और कहाँ से रिकॉर्डिंग तक पहुँच प्राप्त की। हस्ताक्षर करने से पहले एक नमूना ऑडिट लॉग मांगें - इसमें उपयोगकर्ता आईडी, टाइमस्टैम्प, कार्रवाई प्रकार और एक्सेस किया गया संसाधन शामिल होना चाहिए। वे लॉग जो केवल लॉगिन ईवेंट को कवर करते हैं और संसाधन-स्तरीय पहुंच को नहीं, पर्याप्त नहीं हैं।

यह भी पुष्टि करें कि ऑडिट लॉग में छेड़छाड़-स्पष्ट है। एक लॉग जिसे किसी व्यवस्थापक द्वारा संशोधित किया जा सकता है वह विश्वसनीय ऑडिट ट्रेल नहीं है। उन लॉग की तलाश करें जो एक अपरिवर्तनीय स्टोर पर लिखे गए हैं और आपके एसआईईएम या ऑडिट सिस्टम में निर्यात के लिए उपलब्ध हैं।

5. उल्लंघन अधिसूचना प्रक्रिया क्या है?

HIPAA को खोज के 60 दिनों के भीतर PHI से जुड़े उल्लंघन की अधिसूचना की आवश्यकता होती है। विक्रेता से पूछें: आप उल्लंघन को कैसे परिभाषित करते हैं, और आप हमें कैसे सूचित करेंगे? उत्तर में 60 दिनों से कम की एक परिभाषित अधिसूचना समयरेखा शामिल होनी चाहिए (अधिकांश अच्छे विक्रेता 48-72 घंटे की खोज के लिए प्रतिबद्ध हैं), सुरक्षा घटनाओं के लिए संपर्क का एक नामित बिंदु, और फोरेंसिक प्रक्रिया का विवरण जो यह निर्धारित करता है कि उल्लंघन में पीएचआई शामिल है या नहीं।

एक विक्रेता जो विशिष्टताओं के साथ अपनी उल्लंघन अधिसूचना प्रक्रिया का वर्णन नहीं कर सकता है, उसने इस पर टेबलटॉप अभ्यास नहीं चलाया है। यह अपने आप में एक जोखिम सूचक है.

6. क्या AI परत PHI को छूती है, और कैसे?

एआई विशेषताएं - प्रतिलेखन, भावना विश्लेषण, एआई रिसेप्शनिस्ट - तेजी से पीएचआई वाले कॉल के प्रसंस्करण पथ में बैठती हैं। पूछें: क्या ये सुविधाएं प्रथम-पक्ष मॉडल पर बनाई गई हैं, या कॉल किसी तृतीय-पक्ष एलएलएम एपीआई को भेजी जाती हैं? यदि यह एक तृतीय-पक्ष API है, तो क्या वह प्रदाता BAA में उप-प्रोसेसर के रूप में सूचीबद्ध है? क्या एआई प्रोसेसिंग के लिए भेजा गया डेटा आपके किरायेदार को छोड़ने से पहले गुमनाम कर दिया जाता है?

निष्कर्ष

यह इस समय बाज़ार में सबसे तेज़ी से बढ़ने वाला अनुपालन अंतर है। जिन विक्रेताओं ने एआई सुविधाओं को तेजी से जोड़ा है, उन्होंने शायद अपने बीएए या अपने उप-प्रोसेसर रजिस्ट्री को यह दर्शाने के लिए अपडेट नहीं किया है कि मरीज का कॉल डेटा अब कहां जा रहा है।

खरीद चेकलिस्ट

• बीएए अनुबंध पर हस्ताक्षर करने से पहले उपलब्ध है - बाद में नहीं, अनुरोध पर नहीं
• BAA सभी उप-प्रोसेसरों को स्पष्ट रूप से कवर करता है
• आराम के समय (एईएस-256) और ट्रांज़िट में एन्क्रिप्टेड कॉल रिकॉर्डिंग (टीएलएस 1.2+)
• रिकॉर्डिंग को अभिगम नियंत्रण के साथ एक परिभाषित क्षेत्र में संग्रहीत किया जाता है
• ऑडिट लॉग केवल लॉगिन ही नहीं, बल्कि संसाधन-स्तर की पहुंच को भी कैप्चर करते हैं
• ऑडिट लॉग छेड़छाड़-स्पष्ट और निर्यात योग्य हैं
• वॉइसमेल ट्रांस्क्रिप्शन उप-प्रोसेसरों को नाम दिया गया है और BAA-कवर किया गया है
• उल्लंघन अधिसूचना प्रतिबद्धता विशिष्ट है और 60 दिनों से कम है
• एआई दस्तावेज़ प्रस्तुत करता है कि वे प्रसंस्करण पथ में पीएचआई को कैसे संभालते हैं
• डेटा विनाश या वापसी प्रक्रिया को BAA में परिभाषित किया गया है