Microsoft Teams は HIPAA に準拠していますか？

はい、Microsoft Teams は、対象となる covered entity と business associate 向けの Microsoft の HIPAA 契約の枠組みに含まれています。HIPAA/HITECH の提供内容に関するドキュメントでは、Teams が Commercial および Government Community Cloud (GCC) のサービス範囲に含まれるとされています。ただし、組織で適用される契約、サブスクリプション、構成を確認する必要があります。

Microsoft の Business Associate Agreement (BAA) の義務は、該当する Data Protection Addendum およびサービス条件に組み込まれています。申請と署名の手続きが別途あると想定しないでください。この契約上の適用範囲があっても、組織が自動的に HIPAA に準拠するわけではありません。

患者文書を扱う医療機関にとって、次の課題は、保護対象保健情報(PHI)がどこに送られるかです。Teams のチャット、チャネル、接続されたファイルストレージ、メールボックス、ファックスプロバイダーなどが該当します。それぞれの境界が、アクセス権と責任範囲に影響します。

Microsoft との契約関係で何を確認すべきですか？

組織に適用されるテナント、cloud 環境、購入済みのサービス、条件を特定してください。使用する Teams サービスが該当する HIPAA の提供範囲に含まれていることを確認します。対象となる Microsoft サービスに関する記載を、すべての無料アカウントやサブスクリプションに当てはめないでください。

ライセンスで利用できる保護機能を確認してください。データ損失防止、監査、保持、その他のガバナンス機能には、ライセンスと構成の要件があります。承認されたワークフローに必要な制御に合わせて、サブスクリプションを選択してください。

全体的な利用、スタッフのアクセス、ドキュメントの取り扱いについては、引き続き組織が責任を負います。対象範囲内のサービスは、構成済みのワークフローを構築するための出発点にすぎません。

患者のドキュメントは実際にどこへ送られますか？

連絡用のメッセージと、その対象となる文書を分けて考えてください。スタッフがフォローアップを調整している間も、ファックスは承認済みのファックスアカウント内に保管できますが、患者を特定できるメッセージや紹介の詳細を含むメッセージは、それ自体が PHI を含む可能性があります。

各ステップで、何が投稿されるのかを確認してください。ステータスのテキスト、ファックス番号、患者の識別子、文書へのリンク、添付ファイル、プレビューなどが該当します。そのうえで、会話にアクセスできるユーザーと、元の文書を開けるユーザーを確認します。Slack を導入している場合は、Slack のファックス通知に関する境界を別途確認してください。

Teams のチャット、Teams Phone、接続されたファイルストレージ、ファックスアプリは、患者とスタッフ間のコミュニケーションワークフローを構成する別々の要素です。Microsoft のサービスに BAA が適用されても、別のファックスプロバイダーや接続されたすべてのアプリケーションが自動的に契約上の対象になるわけではありません。

チャネル、ファイル、スタッフのアクセスはどのように管理すべきですか？

患者に関する通知をチャネルやチャットに送る前に、想定する閲覧者を確認してください。この評価には、ゲストアクセス、外部の参加者、スタッフの異動も含めます。

会話のメンバーシップとドキュメントの権限の両方を確認してください。リンク先のリソースには別のアクセスルールが設定されている場合があり、添付ファイルは個別の取り扱いが必要なコピーを生み出します。会話、接続されたストレージ、ダウンロードされたコピーのすべてについて、保持とエクスポートを確認してください。

ダミーのドキュメントを使って、実際の構成を検証してください。誰が通知を受け取るのか、通知で何が見えるのか、誰がファイルを開けるのか、その人のアクセス権を削除するとどうなるのかを確認します。検証に成功しても、確認できるのは動作であり、全体的なコンプライアンスが保証されるわけではありません。

Fax.Plus の Teams 連携はどのような位置づけになりますか？

Fax.Plus にはネイティブの Microsoft Teams 連携があります。この連携では、ファックスの受信通知と、送信成功や失敗などの送信ステータス通知が、関連するファックスの詳細とリンクとともに届きます。一般的な連携オプションには、添付ファイルも含まれます。

ネイティブ連携は通知と追跡のための機能であり、Teams 内でファックスを作成したり送信したりする画面は提供されません。連携の一般的な対象条件と設定方法については、Fax.Plus の Teams に関するドキュメントをご覧ください。

これらの一般的な手順では、Advanced Security Controls (ASC) の下で許可される正確な動作は確定しません。PHI でこの連携を使用する前に、ご利用のアカウントでの提供状況、メッセージの内容、添付ファイルの扱い、許可される設定について、Fax.Plus に確認してください。

添付ファイルのない通知であっても、PHI が含まれないとは限りません。番号、識別情報、その他のメッセージの詳細が機密に当たる場合があります。このオプションを、チャネルが患者関連の業務に適している証拠とみなさないでください。

ファックスプロバイダーとの契約では何をカバーする必要がありますか？

Fax.Plus の医療向けファックス設定には、Enterprise、有効化された Advanced Security Controls、署名済みの BAA が必要です。Alohi の HIPAA に関するドキュメントで、これらの前提条件を説明しています。Business で一般的な Teams 連携が利用できても、そのプランが PHI の取り扱いに適した代替になるわけではありません。

Microsoft と Fax.Plus がそれぞれ別のプロバイダーとして電子 PHI を作成、受信、保管、または送信する場合は、Microsoft の該当する BAA の条件を確認し、Fax.Plus の BAA を締結してください。一方のプロバイダーとの契約が、もう一方をカバーすることはありません。HHS の cloud に関するガイダンスでは、cloud プロバイダーを利用する対象事業者と Business Associate に求められる契約上の要件を説明しています。

Teams との接続を評価している間は、ファックス文書を承認済みの医療ワークフロー内で管理してください。Fax.Plus の ASC では Zapier を利用できないため、Zapier の一般的な自動化の例は、これらのアカウントにおける医療向けの設定にはなりません。

ワークフローを接続する前に、クリニックは何を承認しておくべきですか？

どのサービスでファックスを保管するか、どのスタッフが対応するか、患者の詳細情報を Teams に入れてよいかどうかを取り決めてください。Microsoft の条件、ファックスプロバイダーとの契約、必要なアカウント設定を併せて確認します。

受付担当者には、紹介状が不要なチャネルへの露出なく、意図した確認担当者に届く流れを実演してください。IT担当者には、許可するメッセージ項目、アクセスルール、保持期間、ユーザーの削除について文書化してください。

接続の医療向けの動作が確認できていない場合は、患者文書には承認済みのファックスアカウントを使用し、組織で定められた連絡手順に従ってください。