Контрольний список покупця медичного обслуговування для телефонної системи, яка підписує BAA

вступ

Кожен постачальник телефонної системи, орієнтований на охорону здоров’я, скаже вам, що він відповідає HIPAA. Дуже небагато з них скажуть вам, що це означає з точки зору їх архітектури, їх BAA або що відбувається, коли щось йде не так. Цей контрольний список розроблено, щоб прорізати маркетинг і висвітлити питання, важливі для закупівель — ті, які визначатимуть, чи будете ви проходити наступний аудит OCR, чи намагатиметеся пояснити прогалину, про яку ви не підозрювали.

1. Чи підпишуть вони Угоду про ділове партнерство?

Це базова лінія. BAA вимагається відповідно до HIPAA для будь-якого постачальника, який обробляє захищену інформацію про здоров’я (PHI) від вашого імені. «Відповідність вимогам HIPAA» без підписаного BAA не має сенсу — відповідність стосується лише охоплених організацій та їхніх ділових партнерів, а асоціація вимагає підписаної угоди.

Запитайте постачальника: чи можете ви надати БАД до того, як ми підпишемо договір про надання послуг, а не після? Перегляньте його, перш ніж взяти на себе зобов’язання. Ключові елементи для перевірки: чи відповідає це визначення PHI визначенню HIPAA? Чи описано в ньому зобов’язання постачальника повідомити вас про порушення протягом 60 днів? Чи вказано, як PHI знищується або повертається після закінчення контракту?

2. Де зберігаються записи дзвінків і як довго?

Записи дзвінків у контексті охорони здоров’я часто містять PHI: імена пацієнтів, дати народження, описи симптомів, деталі призначень. Запитуйте конкретно:

• Записи зберігаються в регіоні з контролем постійності даних чи в глобальному пулі?
• Який стандарт шифрування використовується під час спокою та під час передачі? (AES-256 у стані спокою та TLS 1.2+ у дорозі є поточними мінімальними очікуваннями.)
• Який період зберігання за умовчанням і чи можна встановити коротший?
• Хто в організації-постачальнику може отримати доступ до записів і за яких умов?
• Чи ведуться журнали доступу та чи доступні вони вам для перевірки?

3. Як обробляються стенограми голосової пошти?

Транскрипція голосової пошти є поширеною прогалиною HIPAA. Якщо постачальник транскрибує голосову пошту за допомогою моделі ASR третьої сторони, ця модель, імовірно, є субпроцесором — і BAA постачальника має чітко охоплювати субпроцесорів та їхні зобов’язання. Запитайте: які постачальники обробляють вашу транскрипцію, чи пройшли вони навчання HIPAA та чи внесені вони до реєстру субпроцесорів постачальника?

Також перевірте, чи стенограми зберігаються окремо від записів і чи можна їх очистити незалежно, якщо пацієнт попросить видалити відповідно до чинних державних законів про конфіденційність.

4. Що насправді охоплює аудиторський слід?

Технічні запобіжні заходи HIPAA вимагають контрольних перевірок, які фіксують і перевіряють дії в інформаційних системах, що містять PHI. Для телефонної системи це означає журнали того, хто отримував доступ до записів, коли та звідки. Попросіть зразок журналу аудиту, перш ніж підписати — він повинен містити ідентифікатор користувача, позначку часу, тип дії та ресурс, до якого ви отримали доступ. Журналів, які охоплюють лише події входу, а не доступ на рівні ресурсу, недостатньо.

Також підтвердьте, що журнали аудиту захищені від втручання. Журнал, який може змінити адміністратор, не є надійним журналом аудиту. Шукайте журнали, які записуються до незмінного сховища та доступні для експорту до вашої SIEM або системи аудиту.

5. Що таке процес сповіщення про порушення?

HIPAA вимагає сповіщення про порушення, пов’язане з PHI, протягом 60 днів після виявлення. Запитайте продавця: як ви визначаєте порушення та як ви будете сповіщати нас? Відповідь має включати визначений термін сповіщення, менший за 60 днів (більшість хороших постачальників зобов’язуються 48–72 годин для виявлення), назва контактної особи для інцидентів безпеки та опис судового процесу, який визначає, чи пов’язано з порушенням PHI.

Постачальник, який не може детально описати свій процес сповіщення про порушення, не перевірив його. Це вже сам показник ризику.

6. Чи стосується рівень ШІ PHI і як?

Функції ШІ — транскрипція, аналіз настроїв, ШІ-ресепшн — все частіше входять у процес обробки дзвінків, які містять PHI. Запитайте: чи створені ці функції на основі моделей першої сторони, чи виклики надсилаються до стороннього API LLM? Якщо це API третьої сторони, чи цей постачальник указано як субпроцесор у BAA? Чи дані, надіслані для обробки штучним інтелектом, анонімізуються до того, як вони залишать вашого орендаря?

Висновок

Це найшвидше змінювана прогалина на ринку зараз. Постачальники, які швидко додали функції штучного інтелекту, можливо, не оновили свій BAA або реєстр субпроцесорів, щоб відобразити, куди тепер спрямовуються дані про виклики пацієнтів.

Контрольний лист закупівель

• BAA доступний до підписання контракту — не після, не за запитом
• BAA явно охоплює всі підпроцесори
• Записи дзвінків, зашифровані в стані спокою (AES-256) і в дорозі (TLS 1.2+)
• Записи зберігаються у визначеному регіоні з контролем доступу
• Журнали аудиту фіксують доступ на рівні ресурсу, а не лише входи
• Журнали аудиту захищені від втручання та експортуються
• Субпроцесори транскрипції голосової пошти названі та покриті BAA
• Зобов’язання сповіщати про порушення є конкретним і коротшим за 60 днів
• Функції AI документують, як вони обробляють PHI на шляху обробки
• Процес знищення або повернення даних визначено в BAA