La lista di controllo dell'acquirente del settore sanitario per un sistema telefonico che firma una BAA

Introduzione

Tutti i fornitori di sistemi telefonici destinati al settore sanitario ti diranno che sono conformi all'HIPAA. Pochissimi di loro ti diranno cosa significa in termini di architettura, BAA o cosa succede quando qualcosa va storto. Questa lista di controllo è progettata per superare il marketing e far emergere le domande che contano per l'approvvigionamento, quelle che determinano se riuscirai a superare il tuo prossimo audit OCR o affrettarti a spiegare una lacuna di cui non sapevi esistesse.

1. Firmeranno un contratto di società in affari?

Questa è la linea di base. Ai sensi dell'HIPAA è richiesto un BAA per qualsiasi fornitore che gestisce informazioni sanitarie protette (PHI) per tuo conto. La "conformità all'HIPAA" senza un BAA firmato non ha senso: la conformità si applica solo alle entità coperte e ai loro soci in affari e l'associazione richiede un accordo firmato.

Chiedi al fornitore: puoi fornire un BAA prima di firmare il contratto di servizio, non dopo? Rivedilo prima di impegnarti. Elementi chiave da verificare: definisce le PHI in modo coerente con la definizione dell'HIPAA? Descrive l'obbligo del venditore di notificarti una violazione entro 60 giorni? Specifica come le PHI vengono distrutte o restituite alla fine del contratto?

2. Dove vengono archiviate le registrazioni delle chiamate e per quanto tempo?

Le registrazioni delle chiamate in un contesto sanitario contengono spesso PHI: nomi dei pazienti, date di nascita, descrizioni dei sintomi, dettagli degli appuntamenti. Chiedi nello specifico:

• Le registrazioni sono archiviate in una regione con controlli sulla residenza dei dati o in un pool globale?
• Quale standard di crittografia viene utilizzato a riposo e in transito? (AES-256 a riposo e TLS 1.2+ in transito sono le aspettative minime attuali.)
• Qual è il periodo di conservazione predefinito ed è possibile impostarne uno più breve?
• Chi nell'organizzazione del fornitore può accedere alle registrazioni e a quali condizioni?
• Vengono conservati i registri di accesso e sono a tua disposizione a fini di controllo?

3. Come vengono gestite le trascrizioni dei messaggi vocali?

La trascrizione dei messaggi vocali è una lacuna HIPAA comune. Se un fornitore trascrive messaggi vocali utilizzando un modello ASR di terze parti, quel modello è probabilmente un sub-responsabile del trattamento e la BAA del fornitore dovrebbe coprire esplicitamente i sub-responsabili del trattamento e i loro obblighi. Chiedi: quali fornitori elaborano la tua trascrizione, sono addestrati HIPAA e sono elencati nel registro dei sub-responsabili del fornitore?

Controlla anche se le trascrizioni vengono archiviate separatamente dalle registrazioni e se possono essere eliminate in modo indipendente se un paziente richiede l'eliminazione ai sensi delle leggi statali sulla privacy applicabili.

4. Cosa copre effettivamente la pista di controllo?

Le garanzie tecniche dell'HIPAA richiedono controlli di audit che registrino ed esaminino l'attività nei sistemi informativi contenenti PHI. Per un sistema telefonico, ciò significa registri di chi ha avuto accesso alle registrazioni, quando e da dove. Richiedi un registro di controllo di esempio prima di firmare: dovrebbe includere ID utente, timestamp, tipo di azione e risorsa a cui si è effettuato l'accesso. I log che coprono solo gli eventi di accesso e non l'accesso a livello di risorsa non sono sufficienti.

Confermare inoltre che i registri di controllo siano a prova di manomissione. Un registro che può essere modificato da un amministratore non è un audit trail affidabile. Cerca i log scritti in un archivio immutabile e disponibili per l'esportazione nel tuo sistema SIEM o di controllo.

5. Qual è il processo di notifica delle violazioni?

L'HIPAA richiede la notifica di una violazione che coinvolge PHI entro 60 giorni dalla scoperta. Chiedi al venditore: come definisci una violazione e come ci avviserai? La risposta dovrebbe includere una tempistica di notifica definita inferiore a 60 giorni (la maggior parte dei buoni fornitori si impegna a 48-72 ore dalla scoperta), un punto di contatto designato per gli incidenti di sicurezza e una descrizione del processo forense che determina se una violazione ha coinvolto PHI.

Un fornitore che non è in grado di descrivere il proprio processo di notifica di violazione con dettagli specifici non ha eseguito un esercizio simulato al riguardo. Questo è di per sé un indicatore di rischio.

6. Il livello AI tocca PHI e come?

Le funzionalità dell'intelligenza artificiale (trascrizione, analisi del sentiment, receptionist AI) si trovano sempre più nel percorso di elaborazione delle chiamate che contengono PHI. Chiedi: queste funzionalità sono basate su modelli proprietari o le chiamate vengono inviate a un'API LLM di terze parti? Se si tratta di un'API di terze parti, il fornitore è elencato come sub-responsabile del trattamento nella BAA? I dati inviati per l'elaborazione dell'intelligenza artificiale vengono resi anonimi prima che lascino il tenant?

Conclusione

Questo è il divario di conformità in più rapida evoluzione nel mercato in questo momento. I fornitori che hanno aggiunto rapidamente funzionalità di intelligenza artificiale potrebbero non aver aggiornato il proprio registro BAA o quello dei sub-responsabili del trattamento per riflettere dove stanno andando ora i dati sulle chiamate dei pazienti.

La lista di controllo degli appalti

• BAA disponibile prima della firma del contratto, non dopo, non su richiesta
• BAA copre esplicitamente tutti i sub-responsabili del trattamento
• Registrazioni delle chiamate crittografate a riposo (AES-256) e in transito (TLS 1.2+)
• Registrazioni archiviate in una regione definita con controlli di accesso
• I log di controllo acquisiscono l'accesso a livello di risorsa, non solo gli accessi
• I registri di controllo sono a prova di manomissione ed esportabili
• I sub-processori della trascrizione della posta vocale sono nominati e coperti da BAA
• L'impegno per la notifica delle violazioni è specifico e inferiore a 60 giorni
• Le funzionalità di intelligenza artificiale documentano il modo in cui gestiscono le PHI nel percorso di elaborazione
• Il processo di distruzione o restituzione dei dati è definito nella BAA