Соответствует ли Microsoft Teams требованиям HIPAA?

Да, Microsoft Teams входит в договорную базу Microsoft по HIPAA для подходящих организаций, на которые распространяется HIPAA, и их деловых партнёров. Согласно документации по предложению HIPAA/HITECH, Teams относится к сфере услуг Commercial и Government Community Cloud (GCC). Организации по-прежнему необходимо проверить применимое соглашение, подписку и конфигурацию.

Обязательства Microsoft по Business Associate Agreement (BAA) включены в применимое Дополнение о защите данных и условия обслуживания. Не следует предполагать, что нужна отдельная процедура запроса и подписания. Такое договорное покрытие не делает организацию автоматически соответствующей требованиям HIPAA.

Если ваша практика работает с документами пациентов, следующий вопрос — куда попадают защищённые данные о состоянии здоровья (PHI): в чат Teams, канал, подключённое файловое хранилище, почтовый ящик или к поставщику fax-услуг. Каждая из этих границ влияет на доступ и распределение ответственности.

Что проверить в договорённостях с Microsoft?

Определите тенант, облачную среду, приобретённые услуги и условия, которые применяются к вашей организации. Убедитесь, что используемая вами служба Teams входит в применимое предложение по HIPAA. Не распространяйте утверждение о подходящих услугах Microsoft на все бесплатные учётные записи и подписки.

Проверьте, какие меры защиты предоставляют ваши лицензии. Предотвращение утечки данных, аудит, хранение и другие возможности управления данными зависят от лицензии и требуют настройки. Подберите подписку в соответствии с мерами защиты, которых требует утверждённый рабочий процесс.

Организация сама отвечает за общий порядок использования, доступ сотрудников и обработку документов. Служба, входящая в область действия соглашения, — лишь отправная точка для настройки рабочего процесса.

Куда на самом деле попадает документ пациента?

Разделяйте координационное сообщение и документ, к которому оно относится. Fax может оставаться в утверждённой учётной записи fax, пока сотрудники согласовывают дальнейшие действия. Однако сообщение, указывающее на пациента или раскрывающее сведения о направлении, само может содержать PHI.

Для каждого шага определите, что публикуется: текст статуса, номер fax, идентификатор пациента, ссылка на документ, вложение или предварительный просмотр. Затем проверьте, кто имеет доступ к беседе и кто может открыть сам документ. При использовании Slack отдельно изучите границы уведомлений о fax в Slack.

Чат Teams, Teams Phone, подключённое файловое хранилище и приложение fax — разные части рабочего процесса коммуникации с пациентами и сотрудниками. BAA, действующий для служб Microsoft, автоматически не обеспечивает договорное покрытие для отдельного поставщика fax-услуг или любого подключённого приложения.

Как управлять каналами, файлами и доступом сотрудников?

Прежде чем разрешать уведомления, связанные с пациентами, в канале или чате, убедитесь, кто входит в круг получателей. Учитывайте при этом гостевой доступ, участие внешних лиц и кадровые изменения.

Проверьте и состав участников беседы, и разрешения на документы. Ссылка может вести к ресурсу с другими правилами доступа, а вложение создаёт копию, для которой нужен собственный порядок обработки. Проверьте хранение и экспорт данных в беседе, подключённом хранилище и во всех скачанных копиях.

Проверьте реальную конфигурацию на синтетических документах: кто получает уведомление, что оно раскрывает, кто может открыть файл и что происходит, когда доступ этого человека отозван. Успешная проверка подтверждает поведение системы, но не гарантирует общее соответствие требованиям.

Как вписывается интеграция Fax.Plus с Teams?

В Fax.Plus есть встроенная интеграция с Microsoft Teams. Она присылает уведомления о входящих fax и о статусе исходящих, включая успешную отправку или ошибку, с основными данными о fax и ссылкой. Общие возможности интеграции также включают вложения.

Встроенная интеграция обеспечивает уведомления и отслеживание, но не предоставляет в Teams экран для создания и отправки fax. Документация Fax.Plus по Teams описывает общие условия доступности интеграции и порядок настройки.

Эти общие инструкции не определяют, какое именно поведение допускается при включённых Advanced Security Controls (ASC). Прежде чем использовать интеграцию с PHI, уточните в Fax.Plus для своей учётной записи доступность интеграции, содержимое сообщений, порядок работы с вложениями и допустимую конфигурацию.

Уведомления без вложений не обязательно свободны от PHI. Номера, идентификаторы и другие сведения в сообщении могут быть конфиденциальными. Не считайте такой вариант доказательством того, что канал подходит для работы с данными пациентов.

Что должно охватывать соглашение с поставщиком fax-услуг?

Конфигурация Fax.Plus для медицинских fax требует тарифа Enterprise, включённых Advanced Security Controls и подписанного BAA. Эти предварительные условия объясняет документация Alohi по HIPAA. Доступность общей интеграции с Teams на тарифе Business не делает этот тариф подходящей заменой для работы с PHI.

Если Microsoft и Fax.Plus как отдельные поставщики создают, получают, хранят или передают электронные PHI, проверьте применимые условия BAA Microsoft и заключите BAA с Fax.Plus. Соглашение одного поставщика не распространяется на другого. Руководство HHS по облачным сервисам разъясняет договорные требования к организациям, на которые распространяется HIPAA, и их деловым партнёрам, использующим облачных поставщиков.

Пока подключение к Teams проходит оценку, храните документы fax в рамках утверждённого медицинского рабочего процесса. Zapier недоступен при использовании Fax.Plus с ASC, поэтому общие примеры автоматизации с ним не подходят для медицинской настройки таких учётных записей.

Что должна согласовать организация до подключения рабочего процесса?

Определите, какой сервис хранит fax, какие сотрудники с ним работают и можно ли передавать в Teams какие-либо данные пациентов. Проверьте в совокупности условия Microsoft, соглашение с поставщиком fax-услуг и необходимые настройки учётной записи.

Для регистратуры покажите, как направление доходит до нужного специалиста без лишней публикации в каналах. Для ИТ-отдела задокументируйте допустимые поля сообщений, правила доступа, сроки хранения и порядок удаления пользователей.

Если работа подключения с медицинскими данными не подтверждена, отправляйте документы пациентов через утверждённую учётную запись fax и соблюдайте установленный в организации порядок обмена информацией.