A lista de verificação do comprador de serviços de saúde para um sistema telefônico que assina um BAA

Introdução

Todos os fornecedores de sistemas telefônicos voltados para a área de saúde dirão que são compatíveis com HIPAA. Muito poucos deles lhe dirão o que isso significa em termos de arquitetura, BAA ou o que acontece quando algo dá errado. Esta lista de verificação foi projetada para abordar o marketing e trazer à tona as questões importantes para as compras - aquelas que determinam se você passará por sua próxima auditoria de OCR ou se esforçará para explicar uma lacuna que você não sabia que existia.

1. Eles assinarão um Acordo de Parceria Comercial?

Esta é a linha de base. Um BAA é exigido pela HIPAA para qualquer fornecedor que lide com Informações de Saúde Protegidas (PHI) em seu nome. 'Compatível com HIPAA' sem um BAA assinado não tem sentido - a conformidade se aplica apenas a entidades cobertas e seus associados comerciais, e a associação exige um acordo assinado.

Pergunte ao fornecedor: você pode fornecer um BAA antes de assinarmos o contrato de serviço, e não depois? Revise-o antes de se comprometer. Itens principais a serem verificados: define PHI de forma consistente com a definição da HIPAA? Descreve a obrigação do fornecedor de notificá-lo sobre uma violação no prazo de 60 dias? Especifica como as PHI são destruídas ou devolvidas no final do contrato?

2. Onde as gravações de chamadas são armazenadas e por quanto tempo?

As gravações de chamadas em um contexto de saúde geralmente contêm PHI: nomes de pacientes, datas de nascimento, descrições de sintomas, detalhes de consultas. Pergunte especificamente:

• As gravações são armazenadas em uma região com controles de residência de dados ou em um pool global?
• Qual padrão de criptografia é usado em repouso e em trânsito? (AES-256 em repouso e TLS 1.2+ em trânsito são as expectativas mínimas atuais.)
• Qual é o período de retenção padrão e você pode definir um período mais curto?
• Quem na organização do fornecedor pode acessar as gravações e sob quais condições?
• Os logs de acesso são mantidos e estão disponíveis para fins de auditoria?

3. Como são tratadas as transcrições do correio de voz?

A transcrição do correio de voz é uma lacuna comum da HIPAA. Se um fornecedor transcrever mensagens de voz usando um modelo ASR de terceiros, esse modelo provavelmente será um subprocessador — e o BAA do fornecedor deverá cobrir explicitamente os subprocessadores e suas obrigações. Pergunte: quais fornecedores processam sua transcrição, são treinados pela HIPAA e estão listados no registro de subprocessadores do fornecedor?

Verifique também se as transcrições são armazenadas separadamente das gravações e se podem ser eliminadas de forma independente se um paciente solicitar a exclusão de acordo com as leis estaduais de privacidade aplicáveis.

4. O que a trilha de auditoria realmente cobre?

As salvaguardas técnicas da HIPAA exigem controles de auditoria que registrem e examinem atividades em sistemas de informação que contenham PHI. Para um sistema telefônico, isso significa registros de quem acessou as gravações, quando e de onde. Solicite um exemplo de registro de auditoria antes de assinar – ele deve incluir ID do usuário, carimbo de data/hora, tipo de ação e recurso acessado. Os logs que cobrem apenas eventos de login e não o acesso em nível de recurso não são suficientes.

Confirme também se os logs de auditoria são invioláveis. Um log que pode ser modificado por um administrador não é uma trilha de auditoria confiável. Procure logs gravados em um repositório imutável e disponíveis para exportação para seu SIEM ou sistema de auditoria.

5. Qual é o processo de notificação de violação?

A HIPAA exige notificação de uma violação envolvendo PHI no prazo de 60 dias após a descoberta. Pergunte ao fornecedor: como você define uma violação e como nos notificará? A resposta deve incluir um cronograma de notificação definido inferior a 60 dias (a maioria dos bons fornecedores se compromete com 48 a 72 horas após a descoberta), um ponto de contato nomeado para incidentes de segurança e uma descrição do processo forense que determina se uma violação envolveu PHI.

Um fornecedor que não consegue descrever seu processo de notificação de violação com detalhes não realizou um exercício prático sobre ele. Isso é em si um indicador de risco.

6. A camada AI afeta o PHI e como?

Os recursos de IA – transcrição, análise de sentimento, recepcionista de IA – ficam cada vez mais no caminho de processamento de chamadas que contêm PHI. Pergunte: esses recursos são criados em modelos próprios ou as chamadas são enviadas para uma API LLM de terceiros? Se for uma API de terceiros, esse provedor está listado como subprocessador no BAA? Os dados enviados para processamento de IA são anonimizados antes de saírem do seu inquilino?

Conclusão

Esta é a lacuna de conformidade que mais cresce no mercado atualmente. Os fornecedores que adicionaram recursos de IA rapidamente podem não ter atualizado seu BAA ou seu registro de subprocessador para refletir para onde estão indo os dados das chamadas dos pacientes.

A lista de verificação de compras

• BAA disponível antes da assinatura do contrato – não depois, não mediante solicitação
• BAA cobre todos os subprocessadores explicitamente
• Gravações de chamadas criptografadas em repouso (AES-256) e em trânsito (TLS 1.2+)
• Gravações armazenadas em uma região definida com controles de acesso
• Os registros de auditoria capturam acesso em nível de recurso, não apenas logins
• Os registros de auditoria são invioláveis ​​e exportáveis
• Os subprocessadores de transcrição de correio de voz são nomeados e cobertos por BAA
• O compromisso de notificação de violação é específico e tem menos de 60 dias
• Os recursos de IA documentam como eles lidam com PHI no caminho de processamento
• O processo de destruição ou devolução de dados está definido no BAA