'%3e%3cpath%20fill-rule='evenodd'%20clip-rule='evenodd'%20d='M6.99935%2012.8327C10.221%2012.8327%2012.8327%2010.221%2012.8327%206.99935C12.8327%203.77769%2010.221%201.16602%206.99935%201.16602C3.77769%201.16602%201.16602%203.77769%201.16602%206.99935C1.16602%2010.221%203.77769%2012.8327%206.99935%2012.8327Z'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20d='M1.16602%207H12.8327'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20fill-rule='evenodd'%20clip-rule='evenodd'%20d='M6.99935%2012.8327C8.28802%2012.8327%209.33268%2010.221%209.33268%206.99935C9.33268%203.77769%208.28802%201.16602%206.99935%201.16602C5.71068%201.16602%204.66602%203.77769%204.66602%206.99935C4.66602%2010.221%205.71068%2012.8327%206.99935%2012.8327Z'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20d='M2.875%202.95898C3.93063%204.01461%205.38896%204.66754%206.99978%204.66754C8.61062%204.66754%2010.069%204.01461%2011.1246%202.95898'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20d='M11.1246%2011.0425C10.069%209.98691%208.61062%209.33398%206.99978%209.33398C5.38896%209.33398%203.93063%209.98691%202.875%2011.0425'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/g%3e%3cdefs%3e%3cclipPath%20id='clip0_1267_9109'%3e%3crect%20width='14'%20height='14'%20fill='white'/%3e%3c/clipPath%3e%3c/defs%3e%3c/svg%3e)
Не является значком продукта
Готовность HIPAA не является единовременной конфигурацией или продуктом-брендом. Она зависит от намеренного использования организации, потоков данных, мер безопасности, контрактов, политик и операционных практик.
Оценка рисков HIPAA начинается с процесса
Электронные подписи могут упростить инициацию, маршрутизацию, подпись и хранение медицинской документации. Но когда процесс подписания включает защищенную информацию о здоровье (PHI), вопрос не просто в том, можно ли документ подписать онлайн. Более полезный вопрос: где PHI входит в процесс, кто может к ней получить доступ, как она перемещается и что остается в证据е при изменениях? Для поставщиков медицинских услуг и организаций, связанных со здоровьем, это практический起点 для оценки рисков HIPAA в процессах e-signature.
Готовность HIPAA — это совместная операционная ответственность
Платформа может поддерживать, но не заменять управление
Технология может поддерживать контроль за записями, доступом, аудиторностью и передачей данных. Она не может определить, какие документы содержат PHI, настроить каждую правилу доступа, обучить персонал или управлять процессом реагирования на инциденты организации.
1. Определите, где может появиться PHI
В рабочем процессе может содержаться PHI, даже если поле подписи само по себе нет. Направьте информацию в документе, его приложениях и окружающем рабочем процессе перед оценкой платформы.
Формы согласия и авторизации пациентов; документы о приеме, госпитализации, выписке и связанных с уходом.
Клинические, диагностические, рентгенологические, лабораторные, терапевтические, реферальные и материалы координации ухода.
Страховые, бухгалтерские, вопросыeligibility, HR или административные файлы, включающие информацию о здоровье.
Имена файлов, предпросмотр сообщений, ссылки, данные получателей, события статуса и метаданные интеграции могут создавать точки риска.
2. Следуйте PHI через полный процесс подписания
Оценки рисков часто сосредоточены на подписанном PDF и игнорируют шаги вокруг него. Трекируйте PHI от создания до хранения, включая копии, уведомления, экспорты и интеграцию.
| Этап работы流程 | Вопросы для обсуждения | |
|---|---|---|
| Начало | Начало | Кто загружает или создает документ? Вставляется ли PHI через шаблоны, формы или систему выше по потоку? |
| Уведомление | Приглашение и уведомление | Могут ли письма, SMS или другие уведомления раскрыть PHI в строках темы, предварительных просмотрах, именах файлов или ссылках? |
| Подписание | Подписание | Как идентифицируется получатель? Какие данные отображаются каждому подписывающемуся? |
| Хранение | Хранение и доступ | Какие роли могут просматривать, загружать, делиться или administer записи? Проверяется ли доступ регулярно? |
| Доказательства | Аудит и доказательства | Какие события регистрируются, кто может их проверять, и как долго они хранятся? |
| Интеграция | API и интеграции | Какие системы отправляют или получают данные документов, метаданные, события статуса или вложения? Что регистрируется при сбое интеграции? |
| Жизненный цикл | Сохранение и удаление | Кто определяет сроки хранения, временные ограничения, правила удаления и доказательства уничтожения? |
3. Применять минимальные права доступа и действия с документами
Процесс подписания в здравоохранении должен быть спроектирован вокруг ролей, а не только удобства. Разные пользователи могут нуждаться в создании документов, отправке запросов, подписи, проверке завершенных записей, администрировании учетных записей или расследовании исключений. Команды должны оценить уникальные учетные записи пользователей, соответствующую верификацию личности, доступ на основе ролей и задач, разделение между операционными пользователями и администраторами, где это необходимо, своевременные изменения доступа при изменении ответственности, периодические проверки доступа и ограничения на просмотр, обмен, скачивание и экспорт конфиденциальных записей. Цель проста: пользователям должно предоставляться только доступ, необходимый для выполнения их задания, и не дольше, чем это необходимо.
4. Обращаться с журналом аудита как с операционным контролем
Определить подлежащие проверке события до инцидента
Для каждого высокорискового процесса определить, какие события должны быть подлежащими проверке: создание документа, доступ, обмен, действия по подписанию, изменения, скачивание, изменения разрешений, активность API, и неудачные попытки.
Определить процесс ответа
Назначить, кто проверяет необычную активность, как инициируется escalation подозрительного несанкционированного доступа или ошибки в процессе, как хранятся аудиторские записи для расследования и как расследуются проблемы в связанных системах.
Соединять доказательства с действиями
Журнал, который существует, но никогда не проверяется, не хранится надлежащим образом или не связан с процессом инцидента, может не предоставлять гарантии, которые ожидает организация.
5. Подтвердите меры безопасности для данных в пути и в состоянии покоя
Команды здравоохранения должны понимать, как меры безопасности применяются к данным, которые они планируют использовать на практике, а не полагаться на общие языки безопасности. Оценка должна охватывать защиту во время передачи и хранения; доступ вокруг ключей,凭证ов и административных функций; безопасная конфигурация API и интеграции; резервное копирование, восстановление, хранение и удаление; а также мониторинг и реагирование на подозрительные события безопасности. В соответствии с официальным wording eSign.AI, eSign.AI поддерживает усилия по соблюдению HIPAA клиентов здравоохранения и связанных с ними, предоставляя контроли безопасности и конфиденциальности, соответствующие HIPAA Security Rule, включая контроли доступа, аудиологирование, шифрование и безопасную передачу данных. Эти возможности являются релевантными входными данными для оценки рисков; они не отменяют необходимости подтверждения текущего объема продукта, конфигурации, условий обслуживания и специфических мер безопасности организации.
Подтвердите с поставщиками и контрактами
- Роль каждой стороны в потоке данных
- Нужен ли BAA или другое договорное соглашение
- Какие услуги, окружения, функции и интеграции включены в диапазон
- Документация по безопасности и конфиденциальности, необходимая дляdue diligence
- Как рассматриваются субподрядчики и передача данных далее
Внутреннее подтверждение
- Кто owns управление конфигурацией и доступом
- Что происходит при расторжении контракта
- Как вносятся изменения или удаляются записи
- Как координируются инциденты между сторонами
- Как управляются интеграции, сертификаты и исключения
Практический список проверки перед запуском
Определите PHI в документах, вложениях, метаданных, уведомлениях, экспорте и интеграциях, затем нанесите каждую систему и сторону, которая получает, хранит или обрабатывает его.
Лучшая HIPAA вопрос
Для организаций здравоохранения правильный вопрос не «Соответствует ли этот e-signature процесс HIPAA в абстрактном смысле?». Лучшая вопрос: можем ли мы продемонстрировать, что этот конкретный процесс работы обрабатывает PHI с мерами безопасности, надзором и ответственностью, соответствующими его предполагаемому использованию? Начиная с mappings PHI от начала до конца, применяя минимальные права доступа, работая с аудиторскими контролем, проверяя меры безопасности данных и уточняя обязанности поставщика, команды могут сделать более информированное решение о том, следует ли и как развертывать e-signature процесс.
Продолжить чтение
Руководства по решениям
