Chữ ký điện tử có thể giúp việc khởi tạo, chuyển tiếp, ký và lưu giữ giấy tờ trong lĩnh vực chăm sóc sức khỏe trở nên dễ dàng hơn. Tuy nhiên, khi một quy trình ký có liên quan đến protected health information (PHI), vấn đề không đơn thuần là liệu tài liệu có thể được ký trực tuyến hay không. Câu hỏi hữu ích hơn là: PHI đi vào quy trình ở đâu, ai có thể truy cập, dữ liệu di chuyển như thế nào và những bằng chứng nào còn được lưu lại khi có thay đổi? Đối với các nhà cung cấp dịch vụ chăm sóc sức khỏe và tổ chức liên quan đến y tế, đây là điểm khởi đầu thực tiễn để đánh giá rủi ro HIPAA trong các quy trình e-signature.
Mức độ sẵn sàng đáp ứng HIPAA không phải là cấu hình một lần hay nhãn hiệu của sản phẩm. Điều này phụ thuộc vào mục đích sử dụng dự kiến, luồng dữ liệu, biện pháp bảo vệ an ninh, hợp đồng, chính sách và thông lệ vận hành của tổ chức.
Công nghệ có thể hỗ trợ các biện pháp kiểm soát liên quan đến hồ sơ, quyền truy cập, khả năng kiểm toán và truyền dữ liệu. Công nghệ không thể xác định những tài liệu nào chứa PHI, cấu hình mọi quy tắc truy cập, đào tạo lực lượng lao động hoặc vận hành quy trình ứng phó sự cố của tổ chức.
Một quy trình có thể chứa PHI ngay cả khi trường chữ ký không chứa. Hãy lập sơ đồ thông tin trong tài liệu, các tệp đính kèm và quy trình liên quan trước khi đánh giá một nền tảng.
Biểu mẫu chấp thuận và ủy quyền của bệnh nhân; tài liệu tiếp nhận, nhập viện, xuất viện và liên quan đến chăm sóc.
Tài liệu lâm sàng, chẩn đoán, chẩn đoán hình ảnh, xét nghiệm, điều trị, chuyển tuyến và điều phối chăm sóc.
Hồ sơ bảo hiểm, thanh toán, điều kiện đủ tiêu chuẩn, nhân sự hoặc hành chính có bao gồm thông tin liên quan đến sức khỏe.
Tên tệp, bản xem trước tin nhắn, liên kết, dữ liệu người nhận, sự kiện trạng thái và siêu dữ liệu tích hợp đều có thể tạo ra các điểm có nguy cơ lộ lọt.
Các đánh giá rủi ro thường tập trung vào PDF đã ký và bỏ qua các bước xung quanh. Hãy truy vết PHI từ khi tạo lập đến khi lưu trữ, bao gồm bản sao, thông báo, dữ liệu xuất và các tích hợp.
| Giai đoạn quy trình | Các câu hỏi cần đặt ra | |
|---|---|---|
| Khởi tạo | Khởi tạo | Ai tải lên hoặc tạo tài liệu? PHI có được chèn thông qua mẫu, biểu mẫu hoặc hệ thống nguồn không? |
| Thông báo | Lời mời và thông báo | Thư điện tử, SMS hoặc các thông báo khác có thể làm lộ PHI trong dòng tiêu đề, bản xem trước, tên tệp hoặc liên kết không? |
| Ký | Ký | Người nhận được xác định danh tính như thế nào? Thông tin nào được hiển thị cho từng người ký? |
| Lưu trữ | Lưu trữ và truy cập | Những vai trò nào có thể xem, tải xuống, chia sẻ hoặc quản trị hồ sơ? Quyền truy cập có được rà soát định kỳ không? |
| Bằng chứng | Kiểm toán và bằng chứng | Những sự kiện nào được ghi nhận, ai có thể xem xét chúng và chúng được lưu giữ trong bao lâu? |
| Tích hợp | API và tích hợp | Những hệ thống nào gửi hoặc nhận dữ liệu tài liệu, siêu dữ liệu, sự kiện trạng thái hoặc tệp đính kèm? Điều gì được ghi nhật ký khi việc tích hợp gặp sự cố? |
| Vòng đời | Lưu giữ và xóa | Ai quyết định thời hạn lưu giữ, yêu cầu tạm dừng theo pháp lý, quy tắc xóa và bằng chứng về việc hủy bỏ? |
Quy trình ký trong lĩnh vực chăm sóc sức khỏe nên được thiết kế dựa trên vai trò, không chỉ dựa trên sự thuận tiện. Những người dùng khác nhau có thể cần tạo tài liệu, gửi yêu cầu, ký, xem xét hồ sơ đã hoàn tất, quản trị tài khoản hoặc điều tra các ngoại lệ. Các nhóm nên đánh giá việc sử dụng tài khoản người dùng riêng biệt, xác minh danh tính phù hợp, quyền truy cập dựa trên vai trò và nhiệm vụ, sự tách biệt giữa người dùng vận hành và quản trị viên khi phù hợp, việc thay đổi quyền truy cập kịp thời khi trách nhiệm thay đổi, việc rà soát quyền truy cập định kỳ và các hạn chế đối với việc xem, chia sẻ, tải xuống và xuất hồ sơ nhạy cảm. Mục tiêu rất rõ ràng: người dùng chỉ nên có quyền truy cập cần thiết cho nhiệm vụ được giao, và chỉ trong thời gian cần thiết.
Đối với từng quy trình có rủi ro cao, hãy xác định những sự kiện nào cần có thể được xem xét: tạo tài liệu, truy cập, chia sẻ, thao tác ký, thay đổi, tải xuống, thay đổi quyền, hoạt động API và các lần thử không thành công.
Phân công người xem xét hoạt động bất thường, cách thức báo cáo leo thang khi nghi ngờ có truy cập trái phép hoặc lỗi quy trình, cách lưu giữ hồ sơ kiểm toán để điều tra và cách điều tra các vấn đề trong những hệ thống được kết nối.
Một nhật ký tồn tại nhưng không bao giờ được xem xét, lưu giữ phù hợp hoặc liên kết với quy trình xử lý sự cố có thể không mang lại mức độ bảo đảm mà tổ chức kỳ vọng.
Các nhóm chăm sóc sức khỏe nên hiểu cách các biện pháp bảo vệ áp dụng đối với dữ liệu mà họ thực sự dự định sử dụng, thay vì dựa vào các diễn giải bảo mật chung chung. Việc đánh giá nên bao gồm biện pháp bảo vệ trong quá trình truyền và lưu trữ; quyền truy cập liên quan đến khóa, thông tin xác thực và các chức năng quản trị; cấu hình API và cấu hình tích hợp an toàn; sao lưu, khôi phục, lưu giữ và xóa dữ liệu; cũng như giám sát và ứng phó đối với các sự kiện bảo mật bị nghi ngờ. Theo nội dung chính thức của eSign.AI về HIPAA, eSign.AI hỗ trợ các nỗ lực tuân thủ HIPAA của khách hàng trong lĩnh vực chăm sóc sức khỏe và các lĩnh vực liên quan đến sức khỏe thông qua việc cung cấp các biện pháp kiểm soát về bảo mật và quyền riêng tư phù hợp với Security Rule của HIPAA, bao gồm kiểm soát truy cập, ghi nhật ký kiểm toán, mã hóa và truyền dữ liệu an toàn. Các năng lực này là những đầu vào liên quan cho việc đánh giá rủi ro; chúng không loại bỏ nhu cầu xác nhận phạm vi sản phẩm hiện tại, cấu hình, điều khoản dịch vụ và các biện pháp bảo vệ riêng của tổ chức.
Xác định PHI trong tài liệu, tệp đính kèm, siêu dữ liệu, thông báo, tệp xuất và các tích hợp, sau đó lập sơ đồ cho mọi hệ thống và bên nhận, lưu trữ hoặc xử lý dữ liệu này.
Đối với các tổ chức y tế, câu hỏi đúng không phải là, một cách chung chung, “Quy trình công việc e-signature này có tuân thủ HIPAA không?” Một câu hỏi tốt hơn là: chúng ta có thể chứng minh rằng quy trình công việc cụ thể này xử lý PHI với các biện pháp bảo vệ, cơ chế giám sát và trách nhiệm giải trình phù hợp với mục đích sử dụng dự kiến hay không? Bằng cách lập bản đồ PHI xuyên suốt từ đầu đến cuối, áp dụng quyền truy cập theo nguyên tắc đặc quyền tối thiểu, vận hành các biện pháp kiểm soát kiểm toán, rà soát các biện pháp bảo vệ dữ liệu và làm rõ trách nhiệm của nhà cung cấp, các nhóm có thể đưa ra quyết định sáng suốt hơn về việc liệu và cách thức triển khai một quy trình công việc e-signature.
'%3e%3cpath%20fill-rule='evenodd'%20clip-rule='evenodd'%20d='M6.99935%2012.8327C10.221%2012.8327%2012.8327%2010.221%2012.8327%206.99935C12.8327%203.77769%2010.221%201.16602%206.99935%201.16602C3.77769%201.16602%201.16602%203.77769%201.16602%206.99935C1.16602%2010.221%203.77769%2012.8327%206.99935%2012.8327Z'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20d='M1.16602%207H12.8327'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20fill-rule='evenodd'%20clip-rule='evenodd'%20d='M6.99935%2012.8327C8.28802%2012.8327%209.33268%2010.221%209.33268%206.99935C9.33268%203.77769%208.28802%201.16602%206.99935%201.16602C5.71068%201.16602%204.66602%203.77769%204.66602%206.99935C4.66602%2010.221%205.71068%2012.8327%206.99935%2012.8327Z'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20d='M2.875%202.95898C3.93063%204.01461%205.38896%204.66754%206.99978%204.66754C8.61062%204.66754%2010.069%204.01461%2011.1246%202.95898'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3cpath%20d='M11.1246%2011.0425C10.069%209.98691%208.61062%209.33398%206.99978%209.33398C5.38896%209.33398%203.93063%209.98691%202.875%2011.0425'%20stroke='%23666666'%20stroke-linecap='round'%20stroke-linejoin='round'/%3e%3c/g%3e%3cdefs%3e%3cclipPath%20id='clip0_1267_9109'%3e%3crect%20width='14'%20height='14'%20fill='white'/%3e%3c/clipPath%3e%3c/defs%3e%3c/svg%3e)
