BAA imzalayan bir telefon sistemi için sağlık hizmeti alıcısının kontrol listesi

giriiş

Sağlık hizmetlerini hedefleyen her telefon sistemi satıcısı size HIPAA uyumlu olduklarını söyleyecektir. Çok azı mimarileri, BAA'ları veya bir şeyler ters gittiğinde ne olacağını size anlatacaktır. Bu kontrol listesi, pazarlama sürecini kısaltmak ve satın alma için önemli olan soruları ortaya çıkarmak için tasarlanmıştır; bunlar bir sonraki OCR denetimine mi geçeceğinizi yoksa varlığından haberdar olmadığınız bir boşluğu açıklamak için mücadele mi edeceğinizi belirleyen sorulardır.

1. İş Ortaklığı Anlaşması imzalayacaklar mı?

Bu temeldir. Sizin adınıza Korunan Sağlık Bilgilerini (PHI) işleyen tüm satıcılar için HIPAA kapsamında bir BAA gereklidir. İmzalı bir BAA olmadan 'HIPAA uyumlu' bir anlam ifade etmez; uyumluluk yalnızca kapsam dahilindeki kuruluşlar ve onların iş ortakları için geçerlidir ve dernek, imzalanmış bir anlaşma gerektirir.

Satıcıya sorun: Biz hizmet sözleşmesini imzalamadan önce bir BAA verebilir misiniz, sonra değil mi? Taahhüt etmeden önce gözden geçirin. Kontrol edilecek anahtar öğeler: PHI'yı HIPAA'nın tanımıyla tutarlı bir şekilde tanımlıyor mu? Satıcının bir ihlali size 60 gün içinde bildirme yükümlülüğünü açıklıyor mu? Sözleşme sonunda PHI'nın nasıl imha edildiğini veya iade edildiğini belirtiyor mu?

2. Arama kayıtları nerede ve ne kadar süreyle saklanıyor?

Sağlık hizmeti bağlamındaki çağrı kayıtları sıklıkla PHI'yi içerir: hasta adları, doğum tarihleri, semptom açıklamaları, randevu ayrıntıları. Özellikle şunu sorun:

• Kayıtlar, veri yerleşimi kontrollerinin olduğu bir bölgede mi yoksa küresel bir havuzda mı saklanıyor?
• Beklemede ve aktarım sırasında hangi şifreleme standardı kullanılıyor? (Durağan durumda AES-256 ve geçiş sırasında TLS 1,2+ mevcut minimum beklentilerdir.)
• Varsayılan saklama süresi nedir ve daha kısa bir süre ayarlayabilir misiniz?
• Satıcı organizasyonunda kimler kayıtlara erişebilir ve hangi koşullar altında?
• Erişim günlükleri tutuluyor mu ve bunlar denetim amacıyla kullanımınıza açık mı?

3. Sesli posta transkriptleri nasıl işlenir?

Sesli posta transkripsiyonu yaygın bir HIPAA açığıdır. Bir satıcı sesli mesajları üçüncü taraf bir ASR modelini kullanarak yazıya döküyorsa, bu model muhtemelen bir alt işlemcidir ve satıcının BAA'sı, alt işlemcileri ve onların yükümlülüklerini açıkça kapsamalıdır. Şunu sorun: Transkripsiyonunuzu hangi satıcılar işliyor, HIPAA eğitimi almışlar mı ve satıcının alt işlemci kayıtlarında listelenmişler mi?

Ayrıca transkriptlerin kayıtlardan ayrı olarak saklanıp saklanmadığını ve bir hastanın geçerli eyalet gizlilik yasaları uyarınca silinmesini talep etmesi halinde bunların bağımsız olarak temizlenip temizlenemeyeceğini de kontrol edin.

4. Denetim takibi aslında neyi kapsıyor?

HIPAA'nın teknik önlemleri, PHI içeren bilgi sistemlerindeki etkinlikleri kaydeden ve inceleyen denetim kontrollerini gerektirir. Bir telefon sistemi için bu, kayıtlara kimin, ne zaman ve nereden eriştiğinin günlükleri anlamına gelir. İmzalamadan önce örnek bir denetim günlüğü isteyin; kullanıcı kimliğini, zaman damgasını, eylem türünü ve erişilen kaynağı içermelidir. Kaynak düzeyinde erişimi kapsamayan, yalnızca oturum açma olaylarını kapsayan günlükler yeterli değildir.

Ayrıca denetim günlüklerinin kurcalanmaya açık olduğunu doğrulayın. Yönetici tarafından değiştirilebilen bir günlük, güvenilir bir denetim izi değildir. Değiştirilemez bir depoya yazılan ve SIEM'inize veya denetim sisteminize aktarmaya uygun olan günlükleri arayın.

5. İhlal bildirimi süreci nedir?

HIPAA, PHI'yı içeren bir ihlalin keşfedilmesinden itibaren 60 gün içinde bildirilmesini gerektirir. Satıcıya sorun: ihlali nasıl tanımlarsınız ve bize nasıl bildirimde bulunacaksınız? Yanıt, 60 günden kısa tanımlanmış bir bildirim zaman çizelgesini (çoğu iyi satıcı 48-72 saatlik keşif taahhüt eder), güvenlik olayları için belirlenmiş bir iletişim noktasını ve bir ihlalin PHI içerip içermediğini belirleyen adli tıp sürecinin bir tanımını içermelidir.

İhlal bildirim sürecini ayrıntılarla açıklayamayan bir satıcı, bu konuda masaüstü bir çalışma yürütmemiştir. Bu başlı başına bir risk göstergesidir.

6. Yapay zeka katmanı PHI'ya dokunuyor mu ve nasıl?

Yapay zeka özellikleri (transkripsiyon, duygu analizi, yapay zeka resepsiyon görevlisi) PHI içeren çağrıların işleme yolunda giderek daha fazla yer alıyor. Şunu sorun: Bu özellikler birinci taraf modeller üzerine mi oluşturuldu, yoksa çağrılar üçüncü taraf bir LLM API'sine mi gönderiliyor? Üçüncü taraf bir API ise bu sağlayıcı BAA'da alt işleyici olarak listeleniyor mu? Yapay zekanın işlenmesi için gönderilen veriler kiracınızdan ayrılmadan önce anonimleştiriliyor mu?

Çözüm

Bu, şu anda pazardaki en hızlı büyüyen uyumluluk açığıdır. Yapay zeka özelliklerini hızlı bir şekilde ekleyen satıcılar, hasta çağrı verilerinin şu anda nereye gittiğini yansıtacak şekilde BAA'larını veya alt işlemci kayıtlarını güncellememiş olabilir.

Tedarik kontrol listesi

• BAA, sözleşme imzalanmadan önce mevcuttur; sonra değil, talep üzerine değil
• BAA açıkça tüm alt işleyicileri kapsar
• Beklemede (AES-256) ve aktarım sırasında (TLS 1.2+) şifrelenen çağrı kayıtları
• Erişim kontrolleriyle tanımlanmış bir bölgede saklanan kayıtlar
• Denetim günlükleri yalnızca oturum açmaları değil, kaynak düzeyindeki erişimi de yakalar
• Denetim günlükleri kurcalanmaya karşı dayanıklıdır ve dışa aktarılabilir
• Sesli posta transkripsiyon alt işlemcileri adlandırılmıştır ve BAA kapsamındadır
• İhlal bildirimi taahhüdü spesifiktir ve 60 günden kısadır
• Yapay zeka özellikleri, işlem yolunda PHI'yı nasıl ele aldıklarını belgeliyor
• Veri imhası veya iade süreci BAA'da tanımlıdır