รายการตรวจสอบของผู้ซื้อด้านการดูแลสุขภาพสำหรับระบบโทรศัพท์ที่ลงนามใน BAA

การแนะนำ

ผู้จำหน่ายระบบโทรศัพท์ทุกรายที่มุ่งเป้าไปที่การดูแลสุขภาพจะแจ้งให้คุณทราบว่าพวกเขาปฏิบัติตามข้อกำหนดของ HIPAA มีเพียงไม่กี่รายที่จะบอกคุณว่านั่นหมายถึงอะไรในแง่ของสถาปัตยกรรม BAA หรือสิ่งที่เกิดขึ้นเมื่อมีบางอย่างผิดพลาด รายการตรวจสอบนี้ออกแบบมาเพื่อตัดผ่านเรื่องการตลาดและตอบคำถามที่สำคัญสำหรับการจัดซื้อจัดจ้าง คำถามที่กำหนดว่าคุณจะผ่านการตรวจสอบ OCR ครั้งต่อไปหรือช่วงแย่งชิงเพื่ออธิบายช่องว่างที่คุณไม่รู้ว่ามีอยู่

1. พวกเขาจะลงนามในข้อตกลงผู้ร่วมธุรกิจหรือไม่

นี่คือพื้นฐาน BAA จำเป็นภายใต้ HIPAA สำหรับผู้ขายใดๆ ที่จัดการข้อมูลสุขภาพที่ได้รับการคุ้มครอง (PHI) ในนามของคุณ 'การปฏิบัติตามข้อกำหนด HIPAA' หากไม่มี BAA ที่ลงนามจะไม่มีความหมาย — การปฏิบัติตามข้อกำหนดจะใช้กับนิติบุคคลที่ได้รับการคุ้มครองและผู้ร่วมธุรกิจเท่านั้น และสมาคมกำหนดให้ต้องมีข้อตกลงที่ลงนาม

ถามผู้ขาย: คุณสามารถจัดเตรียม BAA ก่อนที่เราจะลงนามในสัญญาการบริการ ไม่ใช่หลังจากนั้นได้หรือไม่ ตรวจสอบก่อนที่จะกระทำ รายการสำคัญที่ต้องตรวจสอบ: กำหนด PHI สอดคล้องกับคำจำกัดความของ HIPAA หรือไม่ ข้อมูลดังกล่าวอธิบายถึงภาระหน้าที่ของผู้ขายในการแจ้งให้คุณทราบถึงการละเมิดภายใน 60 วันหรือไม่? มีการระบุว่า PHI ถูกทำลายหรือส่งคืนอย่างไรเมื่อสิ้นสุดสัญญา

2. บันทึกการโทรเก็บไว้ที่ไหน และนานเท่าใด?

การบันทึกการโทรในบริบทด้านการดูแลสุขภาพมักประกอบด้วย PHI: ชื่อผู้ป่วย วันเกิด คำอธิบายอาการ รายละเอียดการนัดหมาย ถามโดยเฉพาะ:

• การบันทึกถูกจัดเก็บไว้ในภูมิภาคที่มีการควบคุมถิ่นที่อยู่ของข้อมูลหรือในพูลส่วนกลางหรือไม่
• มาตรฐานการเข้ารหัสใดที่ใช้ระหว่างพักและระหว่างส่ง? (AES-256 ขณะพักและ TLS 1.2+ ระหว่างขนส่งถือเป็นความคาดหวังขั้นต่ำในปัจจุบัน)
• ระยะเวลาเก็บรักษาเริ่มต้นคือเท่าใด และคุณสามารถตั้งค่าให้สั้นลงได้หรือไม่
• ใครในองค์กรผู้ขายสามารถเข้าถึงการบันทึกได้ และภายใต้เงื่อนไขใดบ้าง
• บันทึกการเข้าถึงได้รับการเก็บรักษาไว้หรือไม่ และคุณพร้อมสำหรับวัตถุประสงค์ในการตรวจสอบหรือไม่

3. การถอดเสียงข้อความเสียงมีการจัดการอย่างไร

การถอดข้อความเสียงเป็นช่องว่างของ HIPAA ทั่วไป หากผู้จำหน่ายคัดลอกข้อความเสียงโดยใช้โมเดล ASR ของบริษัทอื่น โมเดลดังกล่าวน่าจะเป็นผู้ประมวลผลย่อย และ BAA ของผู้จำหน่ายควรครอบคลุมผู้ประมวลผลย่อยและภาระหน้าที่ของตนอย่างชัดเจน ถาม: ผู้จำหน่ายรายใดที่ดำเนินการถอดเสียงของคุณ ได้รับการฝึกอบรมจาก HIPAA และมีรายชื่ออยู่ในทะเบียนผู้ประมวลผลย่อยของผู้จำหน่ายหรือไม่

ตรวจสอบด้วยว่าสำเนาบทสนทนาถูกจัดเก็บแยกต่างหากจากการบันทึกหรือไม่ และสามารถลบออกได้โดยอิสระหรือไม่หากผู้ป่วยร้องขอให้ลบภายใต้กฎหมายความเป็นส่วนตัวของรัฐที่บังคับใช้

4. จริงๆ แล้วเส้นทางการตรวจสอบครอบคลุมอะไรบ้าง?

การป้องกันทางเทคนิคของ HIPAA จำเป็นต้องมีการควบคุมการตรวจสอบที่บันทึกและตรวจสอบกิจกรรมในระบบข้อมูลที่มี PHI สำหรับระบบโทรศัพท์ นั่นหมายถึงบันทึกว่าใครเข้าถึงการบันทึก เมื่อใด และจากที่ไหน ขอตัวอย่างบันทึกการตรวจสอบก่อนที่คุณจะลงนาม ซึ่งควรประกอบด้วย ID ผู้ใช้ การประทับเวลา ประเภทการดำเนินการ และทรัพยากรที่เข้าถึง บันทึกที่ครอบคลุมเฉพาะเหตุการณ์การเข้าสู่ระบบและไม่ใช่การเข้าถึงระดับทรัพยากรนั้นไม่เพียงพอ

ยืนยันด้วยว่าบันทึกการตรวจสอบมีหลักฐานการงัดแงะ บันทึกที่ผู้ดูแลระบบสามารถแก้ไขได้ไม่ใช่เส้นทางการตรวจสอบที่เชื่อถือได้ ค้นหาบันทึกที่เขียนไปยังร้านค้าที่ไม่เปลี่ยนรูปแบบและพร้อมสำหรับการส่งออกไปยัง SIEM หรือระบบตรวจสอบของคุณ

5. กระบวนการแจ้งเตือนการละเมิดคืออะไร?

HIPAA ต้องการการแจ้งเตือนการละเมิดที่เกี่ยวข้องกับ PHI ภายใน 60 วันนับจากวันที่ค้นพบ ถามผู้ขาย: คุณจะระบุการละเมิดได้อย่างไร และคุณจะแจ้งให้เราทราบอย่างไร คำตอบควรรวมระยะเวลาการแจ้งเตือนที่กำหนดไว้ซึ่งสั้นกว่า 60 วัน (ผู้ขายที่ดีส่วนใหญ่จะใช้เวลาในการค้นพบ 48-72 ชั่วโมง) ผู้ติดต่อที่ระบุชื่อสำหรับเหตุการณ์ด้านความปลอดภัย และคำอธิบายของกระบวนการทางนิติเวชที่พิจารณาว่าการละเมิดเกี่ยวข้องกับ PHI หรือไม่

ผู้จำหน่ายที่ไม่สามารถอธิบายกระบวนการแจ้งเตือนการละเมิดของตนอย่างเจาะจงไม่ได้ไม่ได้ดำเนินการฝึกซ้อมแผนบนโต๊ะ นั่นเป็นตัวบ่งชี้ความเสี่ยงเอง

6. เลเยอร์ AI สัมผัส PHI หรือไม่ และอย่างไร

ฟีเจอร์ AI — การถอดเสียง การวิเคราะห์ความรู้สึก พนักงานต้อนรับ AI — นั่งอยู่ในเส้นทางการประมวลผลการโทรที่มี PHI มากขึ้น ถาม: คุณสมบัติเหล่านี้สร้างขึ้นจากโมเดลของบริษัทแรก หรือการโทรถูกส่งไปยัง LLM API ของบริษัทอื่นหรือไม่ หากเป็น API ของบริษัทอื่น ผู้ให้บริการดังกล่าวมีรายชื่อเป็นผู้ประมวลผลย่อยใน BAA หรือไม่ ข้อมูลที่ส่งสำหรับการประมวลผล AI จะไม่เปิดเผยชื่อก่อนที่จะออกจากผู้เช่าของคุณหรือไม่?

บทสรุป

นี่คือช่องว่างการปฏิบัติตามกฎระเบียบที่เคลื่อนไหวเร็วที่สุดในตลาดในขณะนี้ ผู้จำหน่ายที่เพิ่มฟีเจอร์ AI อย่างรวดเร็วอาจไม่ได้อัปเดต BAA หรือรีจิสทรีของตัวประมวลผลย่อยเพื่อให้สอดคล้องกับข้อมูลการโทรของผู้ป่วยในขณะนี้

รายการตรวจสอบการจัดซื้อจัดจ้าง

• BAA พร้อมให้บริการก่อนลงนามสัญญา — ไม่ใช่ภายหลัง ไม่ใช่ตามคำขอ
• BAA ครอบคลุมโปรเซสเซอร์ย่อยทั้งหมดอย่างชัดเจน
• บันทึกการโทรที่เข้ารหัสขณะพัก (AES-256) และระหว่างส่ง (TLS 1.2+)
• การบันทึกที่จัดเก็บไว้ในภูมิภาคที่กำหนดพร้อมการควบคุมการเข้าถึง
• บันทึกการตรวจสอบจะบันทึกการเข้าถึงระดับทรัพยากร ไม่ใช่แค่การเข้าสู่ระบบ
• บันทึกการตรวจสอบมีหลักฐานการงัดแงะและสามารถส่งออกได้
• ผู้ประมวลผลย่อยการถอดข้อความเสียงได้รับการตั้งชื่อและครอบคลุม BAA
• ข้อผูกพันในการแจ้งเตือนการละเมิดมีความเฉพาะเจาะจงและสั้นกว่า 60 วัน
• ฟีเจอร์ AI จะบันทึกวิธีที่พวกเขาจัดการ PHI ในเส้นทางการประมวลผล
• กระบวนการทำลายหรือส่งคืนข้อมูลถูกกำหนดไว้ใน BAA