HIPAA に準拠した cloud fax

cloud faxは、プロバイダーの契約、セキュリティ設定、組織の運用が該当する要件を満たしている場合に、HIPAAに準拠した文書のやり取りをサポートできます。スタッフは、オフィスのfax機に頼る代わりに、オンラインアカウントから文書を送受信します。

そのため、HIPAAに準拠したオンラインfaxプロバイダーを選ぶには、セキュリティバッジを確認するだけでは不十分です。誰が文書を受け取るのか、何をもって送信完了とするのか、コピーがどこに蓄積されるのか、どのサービス契約がPHIを対象とするのかを明確にしてください。

faxをcloudに移行すると何が変わるのか？

オンラインfaxサービスはプロバイダーが運用し、スタッフは各自のアカウントから文書にアクセスします。外部の組織は、同じプロバイダーのアカウントを開設しなくても、引き続き自身のfax番号を利用できます。

診療所にとっては、fax機のある端末や部屋への依存を減らせる可能性があります。一方で、アカウントの権限、オンラインストレージ、メール配信やダウンロードに関する判断も必要になります。

受信側の事務所も、受け取った文書を保護する必要があります。fax機が患者の記録を印刷する場合、送信側がcloudサービスを利用していても、それらの用紙へのアクセス管理は引き続き重要です。

HHSは、受信者の確認や受信した文書の保護など、合理的な保護措置を講じることを条件に、治療を目的とした医師間のfax送信を認めています。HHSのfaxガイダンス。

患者情報を対象とする契約内容を確認する

購入前に、プロバイダーに対象となるプラン、必要な設定、適用されるBAAを明示してもらいましょう。

HHSは、組織に代わって電子的なPHIを保管または処理するcloudプロバイダーは、復号鍵を持たずに暗号化された情報を保管している場合も含め、business associateに該当すると説明しています。また、利用する側の組織も、自らリスク分析を行い、適切な保護措置を講じる必要があります。HHSのcloudコンピューティングに関するガイダンス。

Fax.Plusの医療向けfax設定には、Enterprise、有効化されたAdvanced Security Controls、署名済みのBAAが必要です。Basic、Premium、Businessには、HIPAA対象となる代替の契約形態はありません。Fax.Plusの医療向け要件。

見積もりを取得する際は、これらの条件を明示したままにしてください。一般的な開始価格や無料の利用枠だけでは、医療向け導入の費用や対象範囲は確定しません。

スタッフが記録をどのように受信・管理するかを確認する

プロバイダーによるデモには、受信faxを扱う担当者も参加させましょう。

受付スタッフに、受信した文書を開き、該当する患者を特定し、診療所の確認手順に従ってもらいましょう。医師がアクセスできる内容と、不在時に誰が受信した記録を確認するのかも検証してください。

Fax.Plusでは、受信用電話番号の割り当てとアカウントの階層構造が、faxの内容へのアクセスを左右します。管理者権限はこれとは別のものであり、管理者がすべての文書を自動的に閲覧できるわけではありません。スタッフの運用方法を決める際は、両方の設定を確認してください。Fax.Plusの組織ロール。

共有ログインに頼らず、個人用のアカウントを使用してください。担当者が退職する際に、誰がアクセス権を削除し、診療所の情報を保全するのかを決めておきましょう。

送信確認で何が証明されるのかを理解する

プロバイダーが送信失敗と送信完了をどのように記録しているかを確認します。

Fax.Plusの送信確認レポートには、日付、時刻、ステータス、ページ数などの詳細が含まれます。これらは、スタッフが送信の試行を調査したり、届いていない文書について受信側の事務所と話し合ったりする際に役立ちます。Fax.Plusの送信確認レポート。

ステータスが成功となっている場合、受信側のエンドポイントが送信を受領したことを意味します。想定した臨床担当者が文書を読んだこと、あるいは文書が正しい患者のカルテに入ったことを示すものではありません。Fax.Plusの送信ステータス。

送信失敗時や、時間的に急ぐ記録への事後対応について取り決めておきます。失敗に誰が気づき、誰が受信側の事務所に連絡するかを含め、そのプロセスをデモ中にテストしてください。

受信したfaxをメールで受け取るかどうかを決める

メール配信を使えば、スタッフは使い慣れた受信トレイで作業できますが、その一方で文書が保管される場所が増えることになります。

Fax.Plusでは、HIPAAを有効にしたアカウントでは、デフォルトで通知のみのメール配信を使用します。添付ファイルの利用は任意で、オーナーまたは管理者による組織としての同意、各ユーザーのオプトイン、および受信側サーバーのTLS 1.2以上への対応が必要です。

必要な暗号化配信が失敗した場合、代替の通知メールは送信されません。faxはFax.Plus内に引き続き保管されています。HIPAAにおけるメール添付の要件。

添付ファイルを有効にする前に、メールボックスへのアクセス、転送、保持について確認してください。また、スタッフは、メールだけに頼らず、Fax.Plusを直接確認すべき場面を把握しておく必要があります。

メールからfaxを送信する場合、承認されたメンバーは、文書化された医療向け構成に従い、で終わる専用の宛先番号経路を使用します。HIPAAにおけるEmail-to-Faxの要件。

受信トレイ以外での保護と保持についても確認する

Fax.Plusでは、保存されたfaxファイルに対するAES-256暗号化について文書化しています。プロバイダーのアーキテクチャを確認する際は、各保護がどの段階に適用されるかを明らかにしてください。保存時の暗号化だけでは、faxが届くまでのすべての段階を説明できるわけではありません。Fax.Plusの保存ファイル保護。

保持についても、同様に具体的な協議が必要です。

Fax.Plus Enterpriseでは、保存されたfaxに対する保持コントロールが提供されており、設定したポリシーに基づいて完全に削除できます。ただし、この削除では、すでにダウンロードされたコピー、メールで送信されたコピー、他の組織が受信したコピーは削除されません。Fax.Plusの保持コントロール。

診療所が記録をどこに保管するか、また追加のコピーをどのように扱うかを決めておきます。自動削除に頼る前に、インシデント調査のために文書が必要になった場合の対応も含め、保存の必要性を確認してください。

医療向け構成で連携機能を確認する

一般的な製品ページに連携機能が掲載されていても、セキュリティコントロールを有効にした後も引き続き利用できるとは限りません。

Fax.Plus REST APIは、Advanced Security Controlsを有効にした状態でも引き続き利用できます。Zapierとホスト型MCPコネクタは、この構成では利用できません。APIと連携機能の利用可否、MCPの制限。

お使いのシステムで必要となる具体的な操作を、プロバイダーに実演してもらいましょう。文書を開く、エクスポートする、自動的に保管するというのは、それぞれ異なる機能です。

スタッフが引き続き手作業で行う手順がある場合は、その責任を運用計画に含めてください。APIにアクセスできるからといって、患者カルテへの接続がすぐに使える状態で用意されているとは考えないでください。

提案内容全体を比較する

診療所の実態を、プロバイダーに具体的に伝えましょう。受信・送信の量、アクセスが必要なスタッフ、fax番号、文書の取り扱い要件などです。

次に、課金の定義を確認します。何が利用量として数えられるのか、利用枠は共有されるのか、追加の番号や機能で費用が増えるのはどれかを尋ねてください。

提案内容を、事務所の実際のコストと比較してください。fax回線1本を置き換える小規模な診療所と、複数のサーバーや機器を廃止する組織とでは、費用対効果が異なります。

既存の番号が移行可能かどうかを確認します。移行が完了するまでは現在のサービスを有効なままにしておき、関係するプロバイダーと調整しながらテストと解約を進めてください。Fax.Plusの番号移行ガイド。

最終デモでは、患者情報を含まない代表的な文書と、実際に使用するスタッフのアカウントを使用してください。受信、アクセス、送信レポート、送信失敗時の対応、メール配信を確認します。これらの作業により、提案されたサービスを日々使用する人にとってどのように機能するかがわかります。