Lista kontrolna nabywcy opieki zdrowotnej dotycząca systemu telefonicznego podpisującego umowę BAA

Wstęp

Każdy dostawca systemów telefonicznych ukierunkowany na służbę zdrowia powie Ci, że są one zgodne z ustawą HIPAA. Bardzo niewielu z nich powie Ci, co to oznacza w kontekście ich architektury, BAA lub tego, co się stanie, gdy coś pójdzie nie tak. Ta lista kontrolna ma na celu przebić się przez marketing i wydobyć na światło dzienne pytania istotne dla zakupów — te, które decydują o tym, czy przejdziesz przez następny audyt OCR, czy też będziesz się starał wyjaśnić lukę, o której istnieniu nie miałeś pojęcia.

1. Czy podpiszą umowę partnerską biznesową?

To jest podstawa. Zgodnie z ustawą HIPAA wymagana jest umowa BAA w przypadku każdego dostawcy, który w Twoim imieniu przetwarza chronione informacje zdrowotne (PHI). „Zgodność z HIPAA” bez podpisanej umowy BAA nie ma znaczenia — zgodność dotyczy wyłącznie podmiotów objętych nią i ich partnerów biznesowych, a stowarzyszenie wymaga podpisanej umowy.

Zapytaj sprzedawcę: czy możesz przedstawić umowę BAA przed podpisaniem umowy o świadczenie usług, a nie po? Przejrzyj to zanim zatwierdzisz. Kluczowe elementy do sprawdzenia: czy definiuje PHI spójnie z definicją HIPAA? Czy opisuje obowiązek sprzedawcy powiadomienia Cię o naruszeniu w ciągu 60 dni? Czy określa, w jaki sposób PHI są niszczone lub zwracane po zakończeniu umowy?

2. Gdzie i jak długo przechowywane są nagrania rozmów?

Nagrania rozmów w kontekście opieki zdrowotnej często zawierają PHI: nazwiska pacjentów, daty urodzenia, opisy objawów, szczegóły wizyt. Zapytaj konkretnie:

• Czy nagrania są przechowywane w regionie z kontrolą miejsca zamieszkania danych, czy w puli globalnej?
• Jaki standard szyfrowania jest używany w stanie spoczynku i podczas transportu? (AES-256 w stanie spoczynku i TLS 1.2+ w transporcie to obecne minimalne oczekiwania.)
• Jaki jest domyślny okres przechowywania i czy można ustawić krótszy?
• Kto w organizacji dostawcy może uzyskać dostęp do nagrań i na jakich warunkach?
• Czy prowadzone są dzienniki dostępu i czy są one dostępne do celów audytu?

3. Jak obsługiwane są transkrypcje poczty głosowej?

Transkrypcja poczty głosowej jest powszechną luką w ustawie HIPAA. Jeśli sprzedawca transkrybuje wiadomości głosowe przy użyciu modelu ASR strony trzeciej, model ten prawdopodobnie oznacza podwykonawcę przetwarzania, a umowa BAA dostawcy powinna wyraźnie obejmować podwykonawców przetwarzania i ich obowiązki. Zapytaj: którzy dostawcy przetwarzają Twoją transkrypcję, czy zostali przeszkoleni w zakresie ustawy HIPAA i czy są wymienieni w rejestrze podmiotów podwykonawców przetwarzania dostawcy?

Sprawdź także, czy transkrypcje są przechowywane oddzielnie od nagrań i czy można je usunąć niezależnie, jeśli pacjent zażąda usunięcia zgodnie z obowiązującymi stanowymi przepisami dotyczącymi prywatności.

4. Co właściwie obejmuje ścieżka audytu?

Zabezpieczenia techniczne ustawy HIPAA wymagają kontroli audytowych rejestrujących i sprawdzających aktywność w systemach informatycznych zawierających PHI. W przypadku systemu telefonicznego oznacza to rejestry określające, kto, kiedy i skąd uzyskał dostęp do nagrań. Przed podpisaniem poproś o przykładowy dziennik kontroli — powinien on zawierać identyfikator użytkownika, sygnaturę czasową, typ działania i dostęp do zasobu. Dzienniki obejmujące tylko zdarzenia logowania, a nie dostęp na poziomie zasobów, nie są wystarczające.

Upewnij się również, że dzienniki audytu są zabezpieczone przed manipulacją. Dziennik, który może modyfikować administrator, nie jest wiarygodną ścieżką audytu. Poszukaj dzienników zapisanych w niezmiennym magazynie i dostępnych do wyeksportowania do SIEM lub systemu audytu.

5. Jak wygląda proces powiadamiania o naruszeniu?

Ustawa HIPAA wymaga powiadomienia o naruszeniu dotyczącym PHI w ciągu 60 dni od jego wykrycia. Zapytaj sprzedawcę: jak definiujesz naruszenie i jak nas o tym powiadomisz? Odpowiedź powinna zawierać zdefiniowany harmonogram powiadomienia krótszy niż 60 dni (większość dobrych dostawców zobowiązuje się do wykrycia 48–72 godzin), wyznaczony punkt kontaktowy w przypadku incydentów związanych z bezpieczeństwem oraz opis procesu kryminalistycznego ustalającego, czy naruszenie dotyczyło PHI.

Dostawca, który nie jest w stanie szczegółowo opisać swojego procesu powiadamiania o naruszeniu, nie przeprowadził na nim praktycznego ćwiczenia. To samo w sobie jest wskaźnikiem ryzyka.

6. Czy warstwa AI styka się z PHI i w jaki sposób?

Funkcje AI — transkrypcja, analiza nastrojów, recepcjonista AI — coraz częściej pojawiają się na ścieżce przetwarzania połączeń zawierających PHI. Zapytaj: czy te funkcje są zbudowane na modelach własnych, czy też połączenia są wysyłane do interfejsu API LLM innej firmy? Jeśli jest to interfejs API strony trzeciej, czy ten dostawca jest wymieniony jako podwykonawca przetwarzania w BAA? Czy dane przesyłane do przetwarzania AI są anonimizowane, zanim opuszczą Twojego najemcę?

Wniosek

Jest to obecnie najszybciej zmieniająca się luka w zakresie zgodności na rynku. Dostawcy, którzy szybko dodali funkcje sztucznej inteligencji, mogli nie zaktualizować swoich BAA lub rejestru podprocesorów, aby odzwierciedlić, dokąd obecnie trafiają dane dotyczące połączeń pacjentów.

Lista kontrolna zamówień

• BAA dostępne przed podpisaniem umowy – nie po, nie na żądanie
• BAA wyraźnie obejmuje wszystkich podwykonawców przetwarzania
• Nagrania rozmów szyfrowane w stanie spoczynku (AES-256) i podczas przesyłania (TLS 1.2+)
• Nagrania przechowywane w określonym regionie z kontrolą dostępu
• Dzienniki audytu rejestrują dostęp na poziomie zasobów, a nie tylko loginy
• Dzienniki audytu są zabezpieczone przed manipulacją i można je eksportować
• Podprocesory transkrypcji poczty głosowej są nazwane i objęte BAA
• Zobowiązanie do powiadomienia o naruszeniu jest konkretne i krótsze niż 60 dni
• Funkcje AI dokumentują sposób, w jaki radzą sobie z PHI na ścieżce przetwarzania
• Proces niszczenia lub zwrotu danych jest zdefiniowany w Umowie BAA