Контрольный список покупателя медицинских услуг для телефонной системы, подписывающей BAA

Введение

Каждый поставщик телефонных систем, ориентированный на здравоохранение, скажет вам, что они соответствуют требованиям HIPAA. Очень немногие из них расскажут вам, что это означает с точки зрения их архитектуры, их BAA или что происходит, когда что-то идет не так. Этот контрольный список предназначен для того, чтобы прорваться через маркетинг и выявить вопросы, важные для закупок — те, которые определяют, пройдете ли вы следующий аудит OCR или попытаетесь объяснить пробел, о существовании которого вы не подозревали.

1. Подпишут ли они Соглашение о деловом партнерстве?

Это базовый уровень. BAA требуется в соответствии с HIPAA для любого поставщика, который обрабатывает защищенную медицинскую информацию (PHI) от вашего имени. «Соответствие HIPAA» без подписанного BAA бессмысленно — соответствие распространяется только на затрагиваемые организации и их деловых партнеров, а ассоциации требуется подписанное соглашение.

Спросите поставщика: можете ли вы предоставить BAA до того, как мы подпишем договор на обслуживание, а не после? Просмотрите его, прежде чем совершить. Ключевые моменты для проверки: соответствует ли оно определению PHI определению HIPAA? Описано ли в нем обязательство поставщика уведомить вас о нарушении в течение 60 дней? Указывается ли в нем, как PHI уничтожается или возвращается по окончании контракта?

2. Где хранятся записи разговоров и как долго?

Записи разговоров в контексте здравоохранения часто содержат PHI: имена пациентов, даты рождения, описания симптомов, сведения о приеме. Спросите конкретно:

• Хранятся ли записи в регионе с контролем местонахождения данных или в глобальном пуле?
• Какой стандарт шифрования используется при хранении и передаче? (AES-256 в состоянии покоя и TLS 1.2+ при передаче — это текущие минимальные ожидания.)
• Каков срок хранения по умолчанию и можно ли установить более короткий срок?
• Кто в организации-поставщике может получить доступ к записям и при каких условиях?
• Ведутся ли журналы доступа и доступны ли они вам для целей аудита?

3. Как обрабатываются расшифровки голосовой почты?

Транскрипция голосовой почты является распространенным недостатком HIPAA. Если поставщик расшифровывает голосовую почту, используя стороннюю модель ASR, эта модель, скорее всего, является субобработчиком, и BAA поставщика должен явно охватывать субобработчиков и их обязательства. Спросите: какие поставщики обрабатывают вашу транскрипцию, прошли ли они обучение по HIPAA и внесены ли они в реестр субобработчиков поставщика?

Также проверьте, хранятся ли расшифровки отдельно от записей и могут ли они быть удалены независимо, если пациент запрашивает удаление в соответствии с применимыми законами штата о конфиденциальности.

4. Что на самом деле включает в себя контрольный журнал?

Технические меры безопасности HIPAA требуют контроля аудита, который фиксирует и проверяет деятельность в информационных системах, содержащих закрытую медицинскую информацию. Для телефонной системы это означает журналы того, кто, когда и откуда имел доступ к записям. Перед подписанием попросите образец журнала аудита — он должен включать идентификатор пользователя, временную метку, тип действия и ресурс, к которому осуществляется доступ. Журналы, охватывающие только события входа в систему, а не доступ на уровне ресурсов, недостаточны.

Также убедитесь, что журналы аудита защищены от несанкционированного доступа. Журнал, который может быть изменен администратором, не является надежным контрольным журналом. Ищите журналы, которые записываются в неизменяемое хранилище и доступны для экспорта в вашу SIEM или систему аудита.

5. Каков процесс уведомления о нарушении?

HIPAA требует уведомления о нарушении конфиденциальной медицинской информации в течение 60 дней с момента обнаружения. Спросите поставщика: как вы определяете нарушение и как вы уведомите нас? Ответ должен включать определенный срок уведомления менее 60 дней (большинство хороших поставщиков обязуются 48–72 часа на обнаружение), указанное контактное лицо для инцидентов безопасности и описание процесса судебно-медицинской экспертизы, который определяет, было ли нарушение связано с PHI.

Поставщик, который не может подробно описать свой процесс уведомления о нарушениях, не проводил по этому вопросу кабинетного учения. Это само по себе является индикатором риска.

6. Затрагивает ли уровень искусственного интеллекта PHI и каким образом?

Функции ИИ — транскрипция, анализ настроений, ИИ-секретарь — все чаще используются в процессе обработки вызовов, содержащих PHI. Спросите: эти функции созданы на основе сторонних моделей или вызовы передаются в сторонний LLM API? Если это сторонний API, указан ли этот поставщик в качестве субобработчика в BAA? Анонимизированы ли данные, отправляемые на обработку ИИ, прежде чем они покинут вашего клиента?

Заключение

На данный момент это самый быстрорастущий пробел в соблюдении требований на рынке. Поставщики, которые быстро добавили функции ИИ, возможно, не обновили свои BAA или реестр субпроцессоров, чтобы отразить, куда сейчас передаются данные о звонках пациентов.

Контрольный список закупок

• БАД доступен до подписания контракта — не после и не по запросу.
• BAA явно охватывает все субпроцессоры.
• Записи разговоров зашифрованы при хранении (AES-256) и при передаче (TLS 1.2+)
• Записи хранятся в определенном регионе с контролем доступа
• Журналы аудита фиксируют доступ на уровне ресурсов, а не только входы в систему.
• Журналы аудита защищены от несанкционированного доступа и могут быть экспортированы.
• Подпроцессоры транскрипции голосовой почты имеют имена и покрываются BAA.
• Обязательство по уведомлению о нарушениях является конкретным и занимает менее 60 дней.
• Функции ИИ документируют, как они обрабатывают PHI на пути обработки.
• Процесс уничтожения или возврата данных определен в BAA.