Соответствие Google Workspace требованиям HIPAA

Google Workspace может использоваться в рабочих процессах, соответствующих требованиям HIPAA, однако соответствие зависит от соглашения организации, настроек и порядка использования. Покупка подписки не заменяет эти шаги.

Для медицинской организации на практике чаще всего возникают вопросы о Gmail и Drive. Могут ли сотрудники отправлять документы пациентов по электронной почте? Кто может открыть общий файл? Что меняется, когда документ покидает Workspace через онлайн-сервис fax?

Важен каждый этап передачи. BAA от Google охватывает определённые сервисы Google и не распространяется на все приложения, подключённые к аккаунту.

Что охватывает соглашение Google о HIPAA

Google предлагает Business Associate Agreement для охватываемых сервисов Workspace и Cloud Identity. Соглашение закрепляет обязанности Google и клиента.

Организация сама отвечает за то, как использует эти сервисы. Информация, обрабатываемая вне охватываемых сервисов, в том числе через сторонние приложения или локальные хранилища, не подпадает под действие соглашения. BAA Google для HIPAA.

Охватываемые возможности включают Gmail и Drive, в том числе Docs, Sheets, Slides и Forms. При оценке конкретного сервиса или функции сверяйтесь с актуальной документацией Google. Сервисы Google с поддержкой HIPAA.

Рабочий аккаунт организации в Workspace следует отличать от личного аккаунта Gmail. Привычный интерфейс Google не распространяет на личный аккаунт действие соглашения организации.

Как подготовить Google Workspace к работе с PHI

Примите BAA до начала работы с данными пациентов

Суперадминистратор может ознакомиться с соглашением о HIPAA и принять его в Консоли администратора: Аккаунт → Настройки аккаунта → Юридическая информация и соответствие требованиям.

Убедитесь, что соглашение принято для нужного аккаунта организации, и сохраните подтверждение. Google требует принять BAA до начала использования PHI в рамках охватываемых сервисов. Инструкции Google по принятию соглашения.

Доступные административные функции зависят от редакции Workspace. Сравните меры безопасности, управления и хранения, необходимые для вашей среды, и не считайте название тарифа подтверждением соответствия требованиям.

Назначьте ответственного за доступ к аккаунтам

Определите аккаунты, которые работают с данными пациентов, и сервисы, нужные каждому сотруднику.

Проверьте аутентификацию, восстановление доступа, права администраторов и порядок действий при увольнении. Закрытие доступа бывшему сотруднику не должно зависеть от смены пароля, общего для всей организации.

Назначьте ответственного за эти настройки. Зафиксируйте, кто может менять правила общего доступа, одобрять подключаемые приложения и расследовать неожиданный доступ.

Google предоставляет меры для проверки и ограничения доступа сторонних приложений к данным Workspace. Перед авторизацией приложения изучите запрашиваемые им разрешения. Управление доступом приложений в Google.

Осознанно ограничьте общий доступ в Drive

Для документов пациентов проверяйте, какие именно пользователи и группы имеют доступ.

Рекомендации Google по HIPAA советуют не включать PHI в названия файлов, папок и общих дисков. Также Google описывает меры управления видимостью и внешним доступом. Руководство Google по внедрению HIPAA.

Проверяйте не только окно общего доступа к файлу, но и состав групп. Группа, подходившая в прошлом году, теперь может включать других сотрудников.

Перед отправкой ссылки на Drive внешнему получателю убедитесь, что это нужный адресат и что у него правильный уровень доступа. Предоставление доступа конкретному человеку задаёт иные границы, чем публикация документа для всех, у кого есть ссылка.

Можно ли использовать Gmail для данных пациентов?

Gmail входит в число сервисов Google, охватываемых соглашением, но организация должна заключить применимое соглашение и выполнить настройку.

Проверяйте не только само письмо. Выбор получателей, пересылка, делегированный доступ, вложения и подключённые приложения влияют на то, куда попадает информация.

Важны и параметры передачи. Gmail обычно пытается использовать TLS, но, как поясняет Google, может доставить письмо без TLS, если принимающий сервер его не поддерживает. Администраторы могут потребовать TLS для указанных доменов или адресов в настройке защищённой передачи. Рекомендации Google по TLS в Gmail.

TLS защищает соединение при передаче. Он не определяет, кто откроет письмо после доставки, и не контролирует скачанное вложение.

Сотрудникам также нужно знать, что делать при сбоях доставки. Если письмо заблокировано настройкой безопасности, кто-то должен выяснить судьбу недошедшего сообщения.

BAA от Google не охватывает дополнения для fax

Google прямо указывает, что сторонние приложения, включая дополнения, не охватываются соглашением BAA для Workspace. Рекомендации Google по HIPAA для Workspace.

Прежде чем подключать приложение для fax, изучите соглашение поставщика, необходимый тариф и допустимую конфигурацию. Проверьте, какие разрешения запрашивает приложение и к каким документам оно получает доступ.

Настройка Fax.Plus для работы по HIPAA требует тарифа Enterprise, включённых Advanced Security Controls и подписанного BAA. Тарифы Basic, Premium и Business не предусматривают альтернативной конфигурации, соответствующей требованиям HIPAA. Требования Fax.Plus для медицинских организаций.

Оцените фактический маршрут отправки с учётом этих мер защиты. Общее руководство по интеграции не подтверждает, что все функции доступны и работают одинаково в конфигурации для медицинских организаций.

Отправка документа пациента из Workspace по fax

Медицинская организация может подготовить или хранить документ в Workspace, тогда как сторонняя организация ожидает получить его по номеру fax.

Один из вариантов: подготовьте разрешённый к отправке документ, экспортируйте нужную копию и загрузите её через веб-приложение Fax.Plus, настроенное для работы по HIPAA. Перед отправкой проверьте комплект документов и убедитесь в правильности получателя.

Экспорт создаёт ещё одну копию. Обращение с ней на рабочей станции должно соответствовать правилам организации в отношении устройств и хранения данных.

Использование Gmail для Email-to-Fax в соответствии с HIPAA

Fax.Plus также поддерживает специальный маршрут Email-to-Fax для работы по HIPAA.

Отправитель должен быть зарегистрированным и авторизованным участником с включённой функцией Email-to-Fax. Адрес получателя состоит из номера факса получателя, за которым следует .

Прежде чем сотрудники начнут отправлять так документы пациентов, администратор должен проверить аккаунт и настройки почты. Используйте формат адреса, описанный в документации для медицинских организаций, и не полагайтесь на то, что общая кнопка интеграции сформирует правильный маршрут. Требования Fax.Plus к Email-to-Fax для работы по HIPAA.

Для любого из маршрутов назначьте ответственного за проверку результата передачи. Письмо в папке «Отправленные» не подтверждает, что fax доставлен. Успешная отправка факса означает, что принимающее устройство подтвердило получение. Она не подтверждает, что документ рассмотрен врачом или подшит в карту. Статус передачи в Fax.Plus.

Получение fax в Gmail

Для аккаунтов с включённой поддержкой HIPAA Fax.Plus по умолчанию отправляет только уведомления по электронной почте.

Для вложений с fax необходимы согласие организации (владельца или администратора), согласие самого пользователя и почтовый сервер получателя с поддержкой TLS 1.2 или выше.

Если доставка с обязательным TLS не удалась, замещающее уведомление по электронной почте не отправляется. Fax остаётся доступным в Fax.Plus. Сотрудникам, отвечающим за входящие документы, нужно учитывать это поведение. Требования HIPAA к вложениям факсов в письмах.

Когда вложение попадает в Gmail, организация отвечает за защиту копии в почтовом ящике. Перед включением этой возможности проверьте доступ, делегирование, пересылку, скачивание и сроки хранения.

Выбирайте доступ через портал или вложения в зависимости от задач сотрудников. Вложения могут сократить переключение между приложениями, но создают ещё одно место хранения документа.

Открытие уведомления также не подтверждает, что кто-то рассмотрел fax или выполнил необходимое действие. Назначайте входящие документы конкретному сотруднику или команде и обеспечьте замену на случай отсутствия обычного получателя.

Сохранение полученных документов в Drive

Если это разрешено правилами организации, сотрудники могут поместить копию документа в Drive в папку с ограниченным доступом.

Перед сохранением убедитесь, что вы выбрали верного пациента и документ, проверьте папку назначения и её права доступа. Применяйте правила именования, которые не раскрывают без необходимости данные пациента в названиях.

Импорт файла из Drive в процесс отправки fax не означает, что входящие fax автоматически копируются в Drive. Сохранение fax в Drive также не обновляет карту пациента автоматически.

Определите, где хранится официальная копия записи и как обрабатываются дополнительные копии. Удаление документа в одном приложении не означает, что копии в почте, Drive или в загрузках на устройстве также удалены.

Прежде чем сотрудники начнут применять процесс, протестируйте его на документах без данных пациентов. Проследите путь одного исходящего документа от источника до отправки, затем одного входящего документа — от рассмотрения до подшивки. Включите в тест неудачную доставку, чтобы сотрудник, отслеживающий очередь, знал, что делать дальше.