Microsoft Teams는 HIPAA를 준수하나요?

예, Microsoft Teams는 적격한 HIPAA 적용 대상 기관 및 업무 수탁자를 위한 Microsoft의 HIPAA 계약 체계에 포함됩니다. Microsoft의 HIPAA/HITECH 제공 문서에는 Teams가 Commercial 및 Government Community Cloud(GCC) 서비스 범위에 포함된 것으로 명시되어 있습니다. 그래도 조직은 해당 계약, 구독, 구성을 직접 확인해야 합니다.

Microsoft의 Business Associate Agreement(BAA) 의무는 해당 데이터 보호 부속 계약 및 서비스 약관에 포함되어 있습니다. 별도의 신청 및 서명 절차가 있다고 가정해서는 안 됩니다. 이러한 계약상 보호가 조직을 자동으로 HIPAA 준수 상태로 만들어 주지는 않습니다.

환자 문서를 다루는 의료기관이라면 다음으로 확인할 것은 보호 대상 건강 정보(PHI)가 어디로 이동하는가입니다. Teams 채팅, 채널, 연결된 파일 저장소, 사서함, fax 제공업체 등이 그 경로가 될 수 있습니다. 각 경계는 접근 권한과 책임에 영향을 줍니다.

Microsoft 계약에서 무엇을 확인해야 하나요?

조직에 적용되는 테넌트, 클라우드 환경, 구매한 서비스, 약관을 파악하세요. 사용하려는 Teams 서비스가 해당 HIPAA 제공 범위 안에 있는지 확인하고, 적격 Microsoft 서비스에 대한 설명을 모든 무료 계정이나 구독으로 확대 적용하지 마세요.

보유한 라이선스가 어떤 보호 기능을 제공하는지 검토하세요. 데이터 손실 방지, 감사, 보존 및 기타 거버넌스 기능에는 라이선스 및 구성 요건이 있습니다. 승인된 워크플로에 필요한 통제 기능에 맞는 구독을 선택하세요.

전체적인 사용, 직원 접근, 문서 처리에 대한 책임은 조직에 있습니다. 적용 범위에 포함된 서비스는 구성된 워크플로를 위한 출발점일 뿐입니다.

환자 문서는 실제로 어디로 가나요?

조율용 메시지와 그 메시지가 다루는 문서를 구분하세요. 직원이 후속 조치를 조율하는 동안에도 fax는 승인된 fax 계정에 그대로 둘 수 있지만, 환자를 식별하거나 진료 의뢰 세부 정보를 노출하는 메시지는 그 자체로 PHI를 포함할 수 있습니다.

각 단계에서 게시되는 내용을 확인하세요. 상태 텍스트, fax 번호, 환자 식별자, 문서 링크, 첨부 파일, 미리보기 등이 해당됩니다. 그런 다음 누가 대화에 접근할 수 있고 누가 원본 문서를 열 수 있는지 확인하세요. Slack을 사용하는 경우에는 Slack의 fax 알림 경계를 별도로 확인하세요.

Teams 채팅, Teams Phone, 연결된 파일 저장소, fax 앱은 환자 및 직원 커뮤니케이션 워크플로의 서로 다른 구성 요소입니다. Microsoft 서비스에 적용되는 BAA가 별도의 fax 제공업체나 연결된 모든 애플리케이션에 대한 계약상 보호를 자동으로 보장하지는 않습니다.

채널, 파일, 직원 접근 권한은 어떻게 관리해야 하나요?

환자 관련 알림을 채널이나 채팅에 허용하기 전에 의도한 대상을 확인하세요. 이 평가에는 게스트 접근, 외부 참여자, 직원 변동도 포함하세요.

대화 구성원과 문서 권한을 모두 확인하세요. 링크는 접근 규칙이 다른 리소스로 연결될 수 있고, 첨부 파일은 별도로 관리해야 하는 사본을 만들어 냅니다. 대화, 연결된 저장소, 다운로드된 사본 전반의 보존 및 내보내기 설정을 검토하세요.

가상의 문서로 실제 구성을 시연해 보세요. 누가 알림을 받는지, 알림에 어떤 정보가 노출되는지, 누가 파일을 열 수 있는지, 해당 사용자의 접근 권한이 제거되면 어떻게 되는지 확인합니다. 시연이 성공했다고 해서 전체 규정 준수가 보장되는 것은 아니며, 동작을 확인하는 데 그칩니다.

Fax.Plus Teams 통합은 어떻게 활용되나요?

Fax.Plus에는 기본 제공 Microsoft Teams 통합이 있습니다. 수신 fax 알림과 발신 상태 알림(전송 성공 또는 실패 결과 포함)을 관련 fax 세부 정보와 링크와 함께 제공합니다. 일반 통합 옵션에는 첨부 파일도 포함됩니다.

기본 통합은 알림과 추적 기능을 제공하며, Teams 안에서 fax를 작성하거나 보내는 화면은 제공하지 않습니다. Fax.Plus Teams 문서에서 일반적인 통합 사용 자격과 설정 방법을 확인할 수 있습니다.

이러한 일반 안내는 Advanced Security Controls(ASC)에서 허용되는 정확한 동작을 규정하지 않습니다. PHI와 함께 통합을 사용하기 전에 해당 계정에서 통합 사용 가능 여부, 메시지 내용, 첨부 파일 처리, 허용되는 구성을 Fax.Plus에 확인하세요.

첨부 파일이 없는 알림이라고 해서 자동으로 PHI가 없는 것은 아닙니다. 번호, 식별자 또는 기타 메시지 세부 정보가 민감할 수 있습니다. 이 옵션을 채널이 환자 관련 활동에 적합하다는 증거로 간주하지 마세요.

fax 제공업체의 계약은 무엇을 다루어야 하나요?

Fax.Plus의 의료용 fax 구성에는 Enterprise, 활성화된 Advanced Security Controls, 서명된 BAA가 필요합니다. Alohi HIPAA 문서에서 이러한 사전 요건을 설명합니다. Business 요금제에서 일반 Teams 통합을 사용할 수 있다고 해서 해당 요금제가 PHI를 위한 적격 대체 요금제가 되는 것은 아닙니다.

Microsoft와 Fax.Plus가 각각 별도의 제공업체로서 전자 PHI를 생성, 수신, 보관 또는 전송하는 경우, 해당 Microsoft BAA 조건을 확인하고 Fax.Plus BAA를 체결하세요. 한 제공업체의 계약이 다른 제공업체를 보호하지는 않습니다. HHS cloud 지침에서 cloud 제공업체를 사용하는 HIPAA 적용 대상 기관과 업무 수탁자를 위한 계약 요건을 설명합니다.

Teams 연결을 평가하는 동안에는 fax 문서를 승인된 의료 워크플로 안에 두세요. Fax.Plus ASC에서는 Zapier를 사용할 수 없으므로, Zapier의 일반 자동화 예시는 이러한 계정을 위한 의료용 설정이 아닙니다.

워크플로를 연결하기 전에 의료기관에서 무엇을 승인해야 하나요?

어떤 서비스가 fax를 보관할지, 어떤 직원이 처리할지, 환자 정보를 Teams에 허용할지 여부를 합의하세요. Microsoft 약관, fax 제공업체와의 계약, 필요한 계정 설정을 함께 확인하세요.

접수 담당 직원에게는 의뢰서가 불필요한 채널 노출 없이 의도한 검토자에게 전달되는 과정을 시연하세요. IT 담당자는 허용되는 메시지 필드, 접근 규칙, 보관 기간, 사용자 제거 절차를 문서화하세요.

연결 기능의 의료 환경 동작이 확인되지 않았다면, 환자 문서에는 승인된 fax 계정을 사용하고 조직에서 정한 커뮤니케이션 절차를 따르세요.