Fax.Plusは安全ですか？

はい。Fax.Plusは、保存された文書、アカウントへのアクセス、およびアプリケーションへの接続に対して、文書化された保護対策を提供しています。ご自身の情報に適しているかどうかは、プラン、セキュリティ設定、受信者、連携しているメールやその他のシステムにも左右されます。

Fax.PlusはAlohiが運営するオンラインfaxサービスです。このガイドでは、保護対策がどこまでをカバーするか、どのコントロールが有効化またはEnterpriseを必要とするか、そして機密文書を送信する前に確認すべき点について説明します。

Fax.Plusはどのように文書を保護していますか？

保存されるファイルにはAES-256暗号化が使用され、暗号化キーはユーザーごとに固有です。Fax.PlusのウェブアプリやモバイルアプリケーションおよびAPIとサーバー間の接続にはTLSが使用され、プラットフォームはTLS 1.3に対応しています。

これらの保護対象は、それぞれ異なる段階です。保存時の暗号化は保存されたファイルを保護します。TLSはアプリケーションとサーバー間の接続を保護します。いずれも、外部の通信事業者ネットワークや受信側のfax機を含むすべての経路でfaxがエンドツーエンドで暗号化されることを意味するものではありません。最終的な電話回線網の区間は、セキュリティ上の境界が異なります。

Alohiサービスのセキュリティ概要では、これらのコントロールに加え、インフラ保護やセキュリティテストなどのより幅広い保護対策について説明しています。この根拠資料を、使用予定の文書やワークフローと照らして確認してください。

どのアカウントコントロールを有効にすべきですか？

二要素認証はすべてのプランで利用できますが、有効化する必要があります。有効にすると、パスワードに加えて確認の手順が追加されます。利用できることは、すべてのアカウントですでにオンになっているという意味ではありません。

チームの場合、Ownerは二要素認証を必須にできます。Enterpriseではシングルサインオンも利用でき、チームのロールや電話番号の割り当てによってアクセスを整理できます。担当者の変更や退職の際にアクセスを管理できるよう、個人ごとのアカウントを使用してください。

ご利用の環境に合わせて、二要素認証の手順とロールの権限を確認してください。パスワードを共有すると、基盤となるサービスに適切なコントロールがあっても、個人ごとのアクセス管理が難しくなります。

レポートや接続ログは何を証明しますか？

faxの記録には、送信者、送信先のfax番号、日付、時刻、送信ステータスなどの情報が含まれます。確認レポートには、ページ数を含む送信の詳細が記載されます。Enterpriseの接続ログには、デバイスとIPの情報が含まれます。

これらの記録は、配信状況やアカウントのアクティビティを調査する際に役立ちます。ただし、すべての文書の閲覧、ダウンロード、編集を網羅した監査証跡であるとは説明すべきではありません。

また、faxの送信が成功しても、担当者が文書を読んだこと、それに基づいて対応したこと、正しい患者のカルテに格納されたことの証明にはなりません。緊急の紹介状や期限がある場合は、受信側の事務所が文書を処理したことを確認するため、組織の手順に従ってください。

Fax.Plusは医療情報に対して安全ですか？

保護対象保健情報については、Fax.PlusのHIPAA構成には、Enterprise、有効化されたAdvanced Security Controls(ASC)、署名済みのBusiness Associate Agreement(BAA)が必要です。

HIPAA対応に関するドキュメントで、これらの前提条件を説明しています。サービスのコントロールと契約は、組織のワークフローを支援するものです。受信者の確認、アクセスの管理、エクスポートしたコピーの適切な取り扱いは、引き続きスタッフが行う必要があります。

たとえば、どの受付スタッフが記録を受信できるか、誰が受信した紹介状を確認するか、従業員が退職した際にアクセスをどう変更するかを決めておきます。患者の文書をアップロードする前に、対象となるアカウント構成を確立してください。

ASCではメールと連携機能はどのように扱われますか？

Advanced Security Controlsを有効にすると、メール通知に含まれる受信faxの添付ファイルは、デフォルトで無効になります。添付ファイルは、OwnerまたはAdminの同意、ユーザー個人による有効化、およびTLS 1.2以降に対応した受信サーバーがある場合に有効にできます。

必要なTLSでの配信に失敗した場合、代わりのメールは送信されず、faxはアカウント内で引き続き利用できます。メールボックスに配信された後の添付ファイルは、お客様自身のメールアクセス、保持、転送に関するコントロールでも保護する必要があります。

権限のあるメンバーは、専用ののEmail-to-Faxルートを使用できます。ASCの下でもREST APIは引き続き利用できますが、Zapierは利用できません。これらを前提にワークフローを構築する前に、メール添付ファイルの要件とASCにおける連携機能の制限を確認してください。

faxファイルはどこに保存されますか？

Enterpriseでは、保存されるfaxファイルとバックアップの保存場所をそれぞれ選択できます。ただし、この選択は、すべての処理ステップ、一時ファイル、メタデータ、サムネイルが選択した場所に残ることを意味するものではありません。

データレジデンシーに関するドキュメントを、組織の要件に照らして確認してください。あわせて、必要な保持設定とエクスポートの手順も確立してください。ダウンロードした文書やメールで送信されたコピーも、お客様自身の情報取り扱いポリシーの対象に含める必要があります。

ISO 27001とSOC 2 Type 2とは何を意味しますか？

Alohiは、情報セキュリティマネジメントシステムについてISO 27001認証を維持しており、関連するコントロールを一定期間にわたって評価したSOC 2 Type 2レポートも取得しています。

これらは、それぞれ異なる形態の第三者による保証です。SOC 2レポートは製品認証ではなく、どちらもお客様のすべての構成や情報開示がコンプライアンスに準拠していることを証明するものではありません。ベンダーを審査する際は、ご自身の要件とあわせて、対象範囲、対象期間、入手可能なドキュメントを確認してください。

機密情報を送信する前に、何を確認すべきですか？

ご自身のアカウントを使用し、二要素認証を有効にして、信頼できる情報源から受信者のfax番号を確認してください。送信前に、選択した文書と送信先を確認し、その後で送信ステータスをチェックしてください。

チームで利用する場合は、スタッフの権限、保持期間、メールやダウンロードされたコピーの取り扱いを確認してください。医療分野で利用する場合は、まずEnterprise、ASC、BAAの設定を完了してください。プロバイダーを変更したりアカウントを閉鎖したりする前に、必要な記録を保存してください。

Fax.Plusを利用すると、共有の紙のトレイへの依存を減らし、管理されたアカウントアクセスを実現できます。