Google Workspace의 HIPAA 준수

Google Workspace로 HIPAA를 준수하는 워크플로를 지원할 수 있지만, 준수 여부는 조직의 계약, 구성, 사용 방식에 달려 있습니다. 구독을 구매하는 것만으로는 이러한 단계가 완료되지 않습니다.

의료 기관에서는 실무적인 질문이 Gmail과 Drive에 관한 경우가 많습니다. 직원이 환자 문서를 이메일로 보내도 되는가? 공유된 파일은 누가 열 수 있는가? 온라인 fax 서비스를 통해 문서가 Workspace 밖으로 나가면 무엇이 달라지는가?

문서를 넘겨주는 단계마다 중요합니다. Google의 BAA는 지정된 Google 서비스에 적용되며, 계정에 연결된 모든 애플리케이션으로 확대되지는 않습니다.

Google의 HIPAA 계약이 적용되는 범위

Google은 적용 대상 Workspace 및 Cloud Identity 서비스에 대한 Business Associate Agreement를 제공합니다. 이 계약은 Google과 고객 각각의 책임을 정합니다.

해당 서비스를 어떻게 사용하는지에 대한 책임은 조직에 있습니다. 타사 애플리케이션이나 로컬 저장소 등 적용 대상 서비스 밖에서 처리되는 정보는 이 계약의 범위에 포함되지 않습니다. Google의 HIPAA BAA.

적용 대상 기능에는 Docs, Sheets, Slides, Forms를 포함한 Gmail과 Drive가 있습니다. 특정 서비스나 기능을 평가할 때는 Google의 최신 문서를 확인하세요. Google HIPAA 지원 서비스.

조직용 Workspace 계정은 개인 Gmail 계정과도 구분해야 합니다. 익숙한 Google 인터페이스를 사용한다고 해서 개인 계정이 의료 기관의 계약 적용을 받게 되는 것은 아닙니다.

PHI를 위해 Google Workspace를 준비하는 방법

환자 정보를 다루기 전에 BAA에 동의하세요

최고 관리자는 관리 콘솔의 계정 → 계정 설정 → 법률 및 규정 준수에서 HIPAA 계약을 검토하고 동의할 수 있습니다.

해당 조직 계정에 대해 동의가 완료되었는지 확인하고 기록을 보관하세요. Google은 적용 대상 약정을 통해 PHI를 사용하기 전에 BAA를 요구합니다. Google 계약 안내.

Workspace 에디션에 따라 사용할 수 있는 관리 기능이 달라집니다. 요금제 이름을 규정 준수의 증거로 여기지 말고, 배포 환경에 필요한 보안, 관리, 보관 제어 기능을 비교해 보세요.

계정 접근에 대한 책임자를 지정하세요

환자 정보를 다루는 계정과 각 사용자에게 필요한 서비스를 파악하세요.

인증, 계정 복구, 관리자 권한, 퇴사 절차를 검토하세요. 퇴사한 직원의 접근 권한을 제거할 때 의료 기관 전체가 공유하는 비밀번호를 바꾸는 방식에 의존해서는 안 됩니다.

이러한 설정을 담당할 사람을 지정하세요. 공유 규칙을 변경하고, 연결된 애플리케이션을 승인하고, 예기치 않은 접근을 조사할 수 있는 사람을 문서로 남기세요.

Google은 Workspace 데이터에 대한 타사 접근을 검토하고 제한하는 제어 기능을 제공합니다. 애플리케이션을 승인하기 전에 각 애플리케이션이 요청하는 권한을 검토하세요. Google 애플리케이션 접근 제어.

Drive 공유를 의도적으로 제한하세요

환자 문서의 경우 실제로 접근 권한이 있는 사용자와 그룹을 확인하세요.

Google의 HIPAA 가이드는 파일, 폴더, 공유 드라이브 이름에 PHI를 넣지 않도록 권장합니다. 또한 공개 범위와 외부 공유를 위한 제어 기능도 설명합니다. Google HIPAA 구현 가이드.

파일의 공유 화면뿐 아니라 그룹 구성원도 확인하세요. 작년에는 적절했던 그룹에 지금은 다른 직원이 포함되어 있을 수 있습니다.

Drive 링크를 외부로 보내기 전에 의도한 수신자와 그 사람의 접근 권한을 확인하세요. 특정 사람과 공유하는 것은 링크를 얻은 누구나 문서를 볼 수 있게 하는 것과는 보호 범위가 다릅니다.

환자 정보에 Gmail을 사용해도 되나요?

Gmail은 Google의 적용 대상 서비스에 포함되지만, 조직이 해당 계약을 체결하고 구성을 갖추어야 합니다.

메시지 자체만 검토해서는 안 됩니다. 수신자 선택, 전달, 대리인, 첨부 파일, 연결된 애플리케이션이 정보가 가는 곳에 영향을 줄 수 있습니다.

전송 설정도 중요합니다. Gmail은 일반적으로 TLS를 시도하지만, Google에 따르면 수신 서버가 TLS를 지원하지 않으면 TLS 없이 전달될 수 있습니다. 관리자는 보안 전송 설정을 통해 지정한 도메인이나 주소에 TLS를 필수로 지정할 수 있습니다. Google Gmail TLS 안내.

TLS는 전송 연결을 보호합니다. 이후 누가 메시지를 여는지는 결정하지 않으며, 다운로드한 첨부 파일도 제어하지 못합니다.

직원도 전달 실패를 처리하는 방법을 알아야 합니다. 보안 설정이 메시지를 차단하면, 도착하지 않은 커뮤니케이션을 누군가 확인하고 후속 조치를 해야 합니다.

Google의 BAA는 fax 부가 기능에는 적용되지 않습니다

Google은 부가 기능을 포함한 타사 애플리케이션은 Workspace BAA의 적용 대상이 아니라고 명확히 밝히고 있습니다. Google Workspace HIPAA 안내.

fax 애플리케이션을 연결하기 전에 제공업체의 계약, 필요한 구독, 허용되는 구성을 검토하세요. 또한 애플리케이션이 요청하는 권한과 접근할 수 있는 문서를 확인하세요.

Fax.Plus의 HIPAA fax 설정에는 Enterprise, 활성화된 Advanced Security Controls, 서명된 BAA가 필요합니다. Basic, Premium, Business에서는 HIPAA 적용 가능한 대체 설정을 제공하지 않습니다. Fax.Plus 의료 기관 요건.

해당 보안 통제 아래에서 실제 전송 경로를 평가하세요. 일반적인 연동 튜토리얼만으로는 모든 기능이 의료 기관 구성에서 사용 가능하거나 동일하게 작동한다고 볼 수 없습니다.

Workspace에서 환자 문서를 fax로 보내기

의료 기관은 Workspace에서 문서를 준비하거나 저장하더라도, 외부 기관은 해당 문서를 fax 번호로 받기를 기대할 수 있습니다.

한 가지 방법은 허용된 문서를 준비하고 적절한 사본을 내보낸 다음, HIPAA 구성이 적용된 Fax.Plus 웹 애플리케이션을 통해 업로드하는 것입니다. 보내기 전에 문서 묶음을 검토하고 수신자를 확인하세요.

내보내기를 하면 또 다른 사본이 생깁니다. 워크스테이션에서 이 사본을 다루는 방식은 의료 기관의 기기 및 저장 규정을 따라야 합니다.

HIPAA email-to-fax에 Gmail 사용하기

Fax.Plus는 전용 HIPAA email-to-fax 경로도 지원합니다.

발신자는 email-to-fax가 활성화된, 프로비저닝된 승인 구성원이어야 합니다. 수신 주소는 수신자의 fax 번호 뒤에 를 붙인 형식입니다.

직원이 환자 문서에 사용하기 전에 관리자가 계정과 메일 구성을 확인하도록 하세요. 일반적인 연동 버튼이 올바른 경로를 준비해 준다고 가정하지 말고, 문서화된 의료 기관용 주소 형식을 따르세요. Fax.Plus HIPAA email-to-fax 요건.

어떤 경로를 사용하든 전송 결과를 확인할 담당자를 지정하세요. 보낸 편지함에 이메일이 표시된다고 해서 fax가 도착했다는 뜻은 아닙니다. fax 전송 성공은 수신 측 단말이 수신을 확인했다는 의미일 뿐, 임상적 검토나 문서 보관이 이루어졌다는 의미는 아닙니다. Fax.Plus 전송 상태.

Gmail에서 fax 받기

Fax.Plus는 HIPAA가 활성화된 계정에 대해 기본적으로 알림 전용 이메일 전송 방식을 사용합니다.

fax 첨부 파일 옵션을 사용하려면 소유자 또는 관리자의 조직 차원 동의, 개별 사용자의 옵트인, 그리고 TLS 1.2 이상을 지원하는 수신 메일 서버가 필요합니다.

필수 TLS 전송에 실패하면 대체 알림 이메일은 발송되지 않습니다. fax는 Fax.Plus에 그대로 남아 있습니다. 수신 문서를 담당하는 직원은 이러한 동작을 염두에 두어야 합니다. HIPAA fax 이메일 첨부 파일 요건.

첨부 파일이 Gmail에 도착하면 해당 메일함 사본을 보호할 책임은 의료 기관에 있습니다. 이 기능을 사용하기 전에 접근 권한, 위임, 전달, 다운로드, 보관 정책을 검토하세요.

직원이 수행해야 하는 업무에 맞춰 포털 접근 또는 첨부 파일 중 하나를 선택하세요. 첨부 파일은 애플리케이션 간 전환을 줄여 줄 수 있지만, 문서가 보관되는 위치가 하나 더 늘어납니다.

또한 알림을 열었다고 해서 누군가 fax를 검토했거나 필요한 조치를 완료했다는 뜻은 아닙니다. 수신 기록을 담당자나 팀에 배정하고, 평소 수신자가 부재 중일 때를 대비한 대체 인력을 마련하세요.

수신한 문서를 Drive에 저장하기

의료 기관에서 허용하는 경우, 직원은 접근이 제한된 Drive 위치에 문서 사본을 저장할 수 있습니다.

보관하기 전에 환자와 문서를 확인하고, 대상 폴더를 점검하며, 해당 폴더의 권한을 확인하세요. 제목에 환자 정보가 불필요하게 노출되지 않도록 하는 명명 규칙을 따르세요.

Drive 파일을 fax 워크플로로 가져올 수 있다고 해서 수신한 fax가 Drive에 자동으로 백업되는 것은 아닙니다. 또한 fax를 Drive에 저장해도 환자 차트가 자동으로 업데이트되지는 않습니다.

어느 위치에 보존 기록을 둘지, 추가 사본은 어떻게 처리할지 결정하세요. 한 애플리케이션에서 문서를 삭제했다고 해서 이메일, Drive, 로컬 다운로드에 있는 사본까지 삭제된 것은 아닙니다.

직원이 이 절차를 도입하기 전에 환자 정보가 없는 문서로 테스트하세요. 발신 문서 하나를 원본부터 전송까지 추적하고, 이어서 수신 문서 하나를 검토와 보관까지 추적하세요. 전송 실패 사례도 포함하여 대기열을 모니터링하는 담당자가 다음에 무엇을 해야 하는지 알 수 있도록 하세요.