Outlook は HIPAA に準拠していますか？

OutlookはHIPAA規制対象のワークフローの一部になり得ますが、アプリだけでコンプライアンスが確立されるわけではありません。保護対象保健情報(PHI)を扱う組織では、メールボックスサービス、適用される契約、セキュリティ設定、文書コピーの取り扱いのすべてが重要です。

この区別は、受付担当者がOutlookから患者の記録をfaxで送信する場合や、共有メールボックスでfax通知を受信する場合に特に重要です。Microsoftとfaxプロバイダーにはそれぞれ別の責任がありますが、全体的な利用に対する責任は引き続き組織が負います。

どのOutlookアカウントとサービスをお使いですか？

Outlookはメールにアクセスするためのインターフェースです。デスクトップアプリやモバイルアプリはさまざまなメールボックスサービスに接続できるため、アプリがあるだけでは、アカウントのホスティング形態や契約内容はわかりません。

Microsoftは、HIPAA対応の提供範囲として、CommercialおよびGovernment Community Cloud(GCC)のスコープにExchange Onlineを記載しています。適格な対象事業体およびBusiness Associateには、適用されるOnline Services Data Protection Addendumおよび規約を通じて、BAAがデフォルトで提供されます。

組織が対象となるサービスと契約を確認してください。コンシューマー向けのOutlook.comやMicrosoft 365 PersonalまたはFamilyは別の契約形態であり、有料のコンシューマー向け暗号化機能では、組織向けBAAと同等の適用範囲は得られません。

ワークフローに必要な制御に照らして、プランを選択してください。認証、データ損失防止、メッセージ保護、監査、保持の各機能には、個別のライセンスや設定が必要な場合があります。職場または学校のログインだけでは、すべての保護対策が利用可能または有効になっているとは限りません。

Outlookのメール暗号化は何を保護しますか？

Exchange Onlineは通常、外部宛てメールに日和見TLSを使用します。つまり、保護された通信接続を試みるものの、すべての外部宛先に対して自動的に必須とするわけではありません。管理者は、パートナー向けのメールフローでTLSを必須にするよう設定できます。

トランスポート暗号化は接続を保護します。それだけでは、到着後のアクセス制御、転送の防止、ダウンロードされたコピーの保護はできません。Microsoft Purview Message EncryptionやS/MIMEなどのメッセージレベルのオプションは別の仕組みであり、それぞれ独自の要件があります。

HHSは、適切に保護されている場合のePHIのメール送信を認めています。実際の保護対策とリスクを評価してください。暗号化機能を、あらゆる患者文書ワークフローの承認と解釈しないでください。

Outlookから患者のfaxを送信すると何が変わりますか？

Fax.Plusでは、Outlookのワークフローでemail-to-fax送信を使用します。Fax.PlusのネイティブなOutlookアドインやfaxボタンではなく、既存のメールクライアントを使用します。Microsoft Wordアドインと開発者APIは別のツールです。

組織のPHIについては、Fax.PlusのHIPAA対応faxサービスを利用するには、Enterprise、有効化されたAdvanced Security Controls(ASC)、署名済みのBAAが必要です。オーナーまたは管理者が安全なemail-to-fax構成を設定する必要があり、送信元アドレスは承認済みのプロビジョニング済みメンバーアドレスでなければなりません。

ヘルスケア向けの送信ルートでは、の宛先fax番号を使用します。通常の有料メールfaxでは、これらの前提条件は満たされません。患者の文書を送信する前に、アカウントのHIPAA email-to-fax要件を確認してください。

文書の経路全体を確認してください。Outlookの下書きと送信済みアイテム、メールサービス、faxアカウント、送信記録、受信側の組織です。各時点でどのコピーが保持されるかを確認します。fax送信成功の確認は技術的な配信結果を示すものであり、担当者が記録を読んだことの証明ではありません。

Outlookのfax通知に添付ファイルを含めることはできますか？

はい。Fax.Plusは、対象となるHIPAA対応アカウントで、送信および受信したfaxのオプションの添付ファイルに対応しています。ASCでは、通知はデフォルトで添付ファイルなしです。

添付ファイルを有効にするには、オーナーまたは管理者による組織の同意と、メンバー個人のオプトインが必要です。受信サーバーはTLS 1.2以降に対応している必要があります。管理者が同意しても、すべてのメンバーに対して添付ファイル配信が自動的に有効になるわけではありません。

最新の添付ファイルに関するドキュメントでは、配信のテストを推奨しています。通知は安全なTLSメール経路を使用します。受信サーバーが必要なTLSバージョンに対応していない場合、通知メールは送信されず、faxはFax.Plusのアーカイブに残ります。

配信後は、メールボックス内のPHIを保護する責任は組織にあります。これは通信経路の保護であり、PDF自体のメッセージレベルの暗号化や、転送されたコピーが保護され続ける保証ではありません。Gmailも利用している医療機関は、Google Workspaceのfaxワークフローを別途評価してください。

共有メールボックスとモバイルアクセスはどのように扱うべきですか？

通知が必要なスタッフ、文書が必要なスタッフ、患者の記録を送信できるスタッフを決めてください。共有メールボックスでは、委任権限と、送信元のIDが承認済みのFax.Plus構成で許可されているかを確認します。共有アクセスだけで、すべてのアドレスや送信者が自動的に承認されるわけではありません。

転送ルール、自動アーカイブ、ダウンロードを確認してください。通知は、添付ファイルがなくても機密性のある情報を含む可能性があります。添付されたPDFは追加の文書コピーとなり、適切なアクセス制御と保持が必要です。

Outlookモバイルも同じ評価に含めてください。デバイスへのアクセス、アカウント管理、ローカルでアクセス可能なコピーが対象です。スタッフの役割が変わったり退職したりした場合は、メールボックスの委任、デバイスへのアクセス、faxアカウントの権限をあわせて更新してください。

個別の契約による保護が必要なものは何ですか？

MicrosoftとFax.Plusがそれぞれ別のプロバイダーとして電子PHIを取り扱う場合は、適用されるMicrosoft BAAの条件を確認し、Fax.Plus BAAを締結してください。一方のプロバイダーとの契約は、もう一方をカバーしません。

また、faxプロバイダーとの契約は、管理されていない転送先、個人用メールボックス、サードパーティのアーカイブを保護するものではありません。情報を受け取るサービスと担当者を特定し、それぞれに適用される責任と管理策を確認してください。

診療所にとっては、使い慣れたOutlookのワークフローを、承認済みのメールボックス、承認済みの送信者、faxサービス、受信先といった具体的なアカウント条件に結び付けることになります。患者記録を導入する前に、模擬文書でこの構成をテストし、メール配信が利用できない場合にスタッフがfaxを取得する方法も確認してください。