HIPAA fax 요구 사항

HIPAA에서 fax 전송이 허용되나요?

네. 미국 보건복지부(HHS)는 의료 서비스 제공자가 치료를 위해 보호 대상 건강 정보를 다른 제공자에게 fax로 보낼 수 있다고 확인합니다. 보호 대상 건강 정보(PHI)란 진단명부터 생년월일까지, 환자를 식별할 수 있는 모든 건강 정보를 말합니다.

HIPAA가 요구하는 것은 특정 기술이 아니라 주의를 기울이는 것입니다. HHS는 개인정보 보호 규칙의 보호 조치 요건인 45 CFR 164.530(c)를 언급하며 간단한 예를 듭니다. 전송하기 전에 fax 번호를 확인하고, 권한 없는 사람이 접근할 수 없는 곳에 fax 기기를 두라는 것입니다.

fax를 보낼 때 HIPAA는 무엇을 요구하나요?

HIPAA는 보호 조치를 세 가지 범주로 설명합니다. 각 범주가 fax 전송에서 의미하는 바는 다음과 같습니다.

관리적 보호 조치. 정책과 사람에 관한 조치입니다. fax로 PHI를 보내고 받을 수 있는 사람을 정하고, 이들을 교육하며, 전송 전에 수신 번호를 확인합니다. 수신자에게 필요한 정보만 보내세요.

물리적 보호 조치. 문서가 어디에 도착하는지에 관한 조치입니다. 공용 트레이에 놓인 종이 fax가 대표적인 위험 요소입니다. 온라인 fax에서는 fax가 기기나 공유 메일함이 아닌 보호된 받은 편지함에 도착하도록 하는 것이 이에 해당합니다.

기술적 보호 조치. 시스템에서 데이터를 보호하는 방법에 관한 조치입니다. 암호화, 사용자별 고유 접근 권한, 누가 fax를 보내거나 받거나 열람했는지 보여 주는 감사 기록이 여기에 해당합니다.

많은 기관이 기밀 유지 고지가 담긴 표지도 사용합니다. HIPAA가 표지를 반드시 요구하는 것은 아니지만 흔히 쓰이는 관행입니다. Fax.Plus는 무료 HIPAA fax 표지 템플릿을 제공합니다.

온라인 fax 서비스를 사용하면 무엇이 달라지나요?

업체가 사용자를 대신해 PHI를 저장하거나 전송하면 그 업체는 사용자의 비즈니스 어소시에이트가 됩니다. 그러면 HIPAA에 따라 Business Associate Agreement(BAA)가 필요합니다. BAA는 업체가 사용자를 위해 취급하는 PHI를 보호하겠다고 약속하는 계약입니다. BAA가 없으면 서비스가 아무리 안전하더라도 해당 서비스를 통한 PHI 전송은 규정에 맞지 않습니다.

기술적 보호 조치가 기본으로 갖춰져 있는지도 확인해야 합니다. Fax.Plus Enterprise 요금제에는 다음이 포함됩니다.

• 저장된 fax에 대한 AES-256 암호화와 전송 중 TLS 암호화
• 역할 기반 접근 제어: 구성원은 자신의 역할이 허용하는 내용만 볼 수 있습니다
• 2단계 인증: 관리자가 팀 전체에 적용하도록 설정할 수 있습니다
• 계정 및 fax 활동에 대한 감사 추적
• 미국과 캐나다를 포함해 fax 데이터를 저장할 위치를 선택할 수 있습니다

fax를 포함해 어떤 분야에도 공식적인 HIPAA 인증은 없습니다. 공급업체가 "HIPAA 준수"를 표방할 때 중요한 것은 BAA를 체결하고 필수 보호 조치를 이행하는지 여부입니다.

Fax.Plus에서 HIPAA를 준수하는 fax 전송은 어떻게 설정하나요?

Fax.Plus의 HIPAA 준수 fax 전송은 Enterprise 요금제에서 사용할 수 있습니다. 설정은 세 단계로 진행됩니다.

1. Enterprise 요금제를 사용하세요. Free, Basic, Premium, Business 요금제는 HIPAA 대상이 아니므로 PHI에 사용해서는 안 됩니다.
2. Advanced Security Controls를 켜세요. 계정 소유자 또는 관리자가 설정 > 보안에서 활성화할 수 있으며, 팀 전체에 한꺼번에 적용됩니다.
3. BAA를 요청하고 서명하세요. BAA에 서명하고 보안 제어를 켜면 팀에서 PHI를 보내고 받을 수 있습니다.

HIPAA 모드는 사용자별이나 부서별이 아니라 계정 단위로 설정됩니다. Enterprise 계정의 모든 구성원이 동일한 보호 환경에서 작업하므로, 한 구성원이 계정의 보호되지 않은 영역에서 PHI를 fax로 보낼 위험이 없어집니다.

HIPAA 모드를 켜면 무엇이 달라지나요?

팀에서는 전환하기 전에 이 점을 먼저 알고 싶어 하는 경우가 많으므로, 전체 내용을 정리했습니다.

알아 두면 좋은 사항이 두 가지 있습니다. HIPAA 계정의 사용자가 실수로 표준 @fax.plus 주소로 이메일을 보내면 Fax.Plus가 해당 메시지를 TLS가 강제 적용되는 경로로 자동 리디렉션합니다. 또한 Zapier가 꺼져 있으므로 HIPAA 워크플로에서 fax를 다른 시스템과 연결하려면 API를 사용해야 합니다. 자세한 내용은 HIPAA fax API를 참조하세요.

HIPAA fax 워크플로 자동화

HIPAA 모드는 Zapier를 끄지만 자동화를 막지는 않습니다. 이메일 첨부 파일은 별도로 활성화하는 선택형 워크플로입니다. HIPAA 계정에서도 Fax.Plus API는 계속 작동하며, 의료 접수 업무에서 특히 중요한 기능은 세 가지입니다.

• Fax 스트리밍. 수신된 fax의 각 페이지가 수신 즉시 시스템으로 전송되므로 의뢰서를 1페이지부터 분류할 수 있습니다. 스트리밍은 요청 시 활성화되며 HIPAA 계정에서도 작동합니다.
• 프로덕션급 웹훅. 이벤트에는 서명이 포함되어 서버에서 검증할 수 있으며, 이벤트 유형과 fax 번호별로 필터링할 수 있습니다. 또한 전송 로그, 누락된 이벤트 재전송, 엔드포인트 오류가 계속될 때의 알림이 제공됩니다.
• 페이로드에 PHI 없음. 웹훅 이벤트에는 문서가 아니라 상태, 페이지 수와 같은 fax 세부정보만 담깁니다. 시스템이 API를 통해 fax 자체를 직접 다운로드합니다.

AI 어시스턴트가 fax를 다룰 수 있게 해 주는 Fax.Plus MCP 서버는 Advanced Security Controls가 적용된 계정에서는 사용할 수 없으므로, HIPAA 워크플로에서는 대신 API를 사용합니다.

PHI에 사용할 수 있는 Fax.Plus 요금제는 무엇인가요?

Enterprise만 가능합니다. 이 요금제에는 HIPAA fax에 필요한 BAA, Advanced Security Controls, 감사 로그, 역할 기반 접근 제어, 데이터 상주 옵션이 모두 포함되어 있습니다. 하위 요금제에는 이러한 기능이 포함되어 있지 않으므로 PHI에 사용할 수 없습니다.

전체 보안 제어 목록은 HIPAA 규정 준수 fax를 참조하세요. 법 자체에 대한 입문 설명은 HIPAA란 무엇인가를 참조하세요.

HIPAA fax 체크리스트

팀에서 PHI를 fax로 보내기 전에 다음 항목을 각각 확인하세요.

1. fax 제공업체와 BAA를 체결했습니다.
2. 계정에 HIPAA 모드(Fax.Plus의 Advanced Security Controls)가 켜져 있습니다.
3. 교육을 받은 직원만 접근할 수 있으며, 역할은 담당 업무에 맞게 지정되어 있습니다.
4. 2단계 인증이 필수로 적용되어 있습니다.
5. 전송 전에 수신 번호를 확인하며, 가능하면 연락처로 저장합니다.
6. fax에는 수신자에게 필요한 정보만 담아 보냅니다.
7. 직원들이 수신된 fax가 어디에 도착하는지, 그리고 PHI를 개인 이메일이나 승인되지 않은 도구로 전달해서는 안 된다는 점을 알고 있습니다.