Google Workspace HIPAA Uyumluluğu

Google Workspace, HIPAA uyumlu iş akışlarını destekleyebilir ancak uyumluluk, kuruluşun sözleşmesine, yapılandırmasına ve kullanımına bağlıdır. Abonelik satın almak bu adımları tamamlamaz.

Bir sağlık kuruluşu için pratik sorular çoğunlukla Gmail ve Drive ile ilgilidir. Çalışanlar hasta belgelerini e-postayla gönderebilir mi? Paylaşılan bir dosyayı kimler açabilir? Bir belge çevrimiçi faks hizmeti aracılığıyla Workspace’ten çıktığında neler değişir?

Her devir teslim önemlidir. Google’ın BAA’sı belirli Google hizmetlerini kapsar; bir hesaba bağlı her uygulamayı kapsamaz.

Google’ın HIPAA sözleşmesi neleri kapsar?

Google, kapsama dahil Workspace ve Cloud Identity hizmetleri için bir Business Associate Agreement sunar. Sözleşme, Google’ın ve müşterinin sorumluluklarını belirler.

Bu hizmetleri nasıl kullandığınızdan kuruluşunuz sorumlu olmaya devam eder. Üçüncü taraf uygulamalar veya yerel depolama dahil, kapsama dahil hizmetlerin dışında işlenen bilgiler bu sözleşmenin kapsamı dışında kalır. Google’ın HIPAA BAA’sı.

Kapsama dahil işlevler arasında Gmail ve Drive yer alır; buna Docs, Sheets, Slides ve Forms da dahildir. Belirli bir hizmeti veya özelliği değerlendirirken Google’ın güncel belgelerini kontrol edin. Google’ın HIPAA kapsamındaki hizmetleri.

Kurumsal bir Workspace hesabı, kişisel bir Gmail hesabından da ayırt edilmelidir. Tanıdık Google arayüzü, kişisel bir hesabı kuruluşunuzun sözleşmesi kapsamına almaz.

Google Workspace PHI için nasıl hazırlanır?

Hasta bilgilerini işlemeden önce BAA’yı kabul edin

Bir süper yönetici, HIPAA sözleşmesini Yönetici konsolunda Hesap → Hesap ayarları → Yasal ve uyumluluk bölümünden inceleyip kabul edebilir.

İlgili kurumsal hesap için kabulü doğrulayın ve bir kayıt saklayın. Google, PHI’nin kapsama dahil düzenleme çerçevesinde kullanılabilmesi için BAA’nın kabul edilmesini şart koşar. Google sözleşme talimatları.

Workspace sürümü, hangi yönetim özelliklerinin kullanılabileceğini belirler. Bir plan adını uyumluluğun teyidi saymak yerine, dağıtımınızın ihtiyaç duyduğu güvenlik, yönetim ve saklama denetimlerini karşılaştırın.

Hesap erişimi sorumluluğunu atayın

Hasta bilgilerini işleyen hesapları ve her kişinin ihtiyaç duyduğu hizmetleri belirleyin.

Kimlik doğrulamayı, hesap kurtarmayı, yönetici ayrıcalıklarını ve işten ayrılma prosedürlerini gözden geçirin. Eski bir çalışanın erişimini kaldırmak, tüm kuruluşça paylaşılan bir parolanın değiştirilmesine bağlı olmamalıdır.

Bu ayarların sorumluluğunu birine verin. Paylaşım kurallarını kimin değiştirebileceğini, bağlı uygulamaları kimin onaylayacağını ve beklenmedik erişimleri kimin inceleyeceğini belgeleyin.

Google, Workspace verilerine üçüncü taraf erişimini gözden geçirmek ve sınırlamak için denetimler sunar. Her uygulamayı yetkilendirmeden önce istediği izinleri gözden geçirin. Google uygulama erişimi denetimleri.

Drive paylaşımını bilinçli olarak kısıtlayın

Hasta belgeleri için, erişimi olan kişileri ve grupları tek tek kontrol edin.

Google’ın HIPAA kılavuzu, dosya, klasör ve paylaşılan sürücü başlıklarında PHI kullanmaktan kaçınmayı önerir. Ayrıca görünürlük ve harici paylaşım için denetimleri de açıklar. Google HIPAA uygulama kılavuzu.

Dosyanın paylaşım ekranının yanı sıra grup üyeliğini de inceleyin. Geçen yıl uygun olan bir grupta artık farklı çalışanlar bulunuyor olabilir.

Bir Drive bağlantısını harici olarak göndermeden önce, hedeflenen alıcıyı ve erişimini doğrulayın. Belirli bir kişiyle paylaşmak, bir belgeyi bağlantıyı elde eden herkesin erişimine açmaktan farklı bir sınır oluşturur.

Gmail hasta bilgileri için kullanılabilir mi?

Gmail, Google’ın kapsama dahil hizmetleri arasındadır ancak kuruluşun geçerli sözleşmeyi ve yapılandırmayı oluşturması gerekir.

Yalnızca iletinin kendisini değil, daha fazlasını gözden geçirin. Alıcı seçimi, yönlendirme, yetkili temsilciler, ekler ve bağlı uygulamalar bilginin nereye gideceğini etkileyebilir.

Aktarım ayarları da önemlidir. Gmail normalde TLS’yi dener ancak Google, alıcı sunucu desteklemiyorsa iletinin TLS olmadan teslim edilebileceğini açıklar. Yöneticiler, güvenli aktarım ayarı aracılığıyla belirli alan adları veya adresler için TLS’yi zorunlu kılabilir. Google Gmail TLS kılavuzu.

TLS bir aktarım bağlantısını korur. İletiyi daha sonra kimin açacağını belirlemez ve indirilen bir eki denetlemez.

Çalışanların teslim hatalarını nasıl ele alacaklarını da bilmeleri gerekir. Bir güvenlik ayarı iletiyi engellerse, birinin ulaşmayan iletişimi takip etmesi gerekir.

Google’ın BAA’sı faks eklentilerini kapsamaz

Google, eklentiler dahil üçüncü taraf uygulamaların Workspace BAA kapsamında olmadığını açıkça belirtmektedir. Google Workspace HIPAA kılavuzu.

Bir fax uygulamasını bağlamadan önce sağlayıcının sözleşmesini, gerekli aboneliği ve izin verilen yapılandırmayı inceleyin. Uygulamanın talep ettiği izinleri ve erişebildiği belgeleri gözden geçirin.

Fax.Plus HIPAA fax kurulumu, Enterprise, etkinleştirilmiş Advanced Security Controls ve imzalanmış bir BAA gerektirir. Basic, Premium ve Business, HIPAA’ya uygun alternatif bir kurulum sunmaz. Fax.Plus sağlık hizmetleri gereksinimleri.

Gerçek gönderim yolunu bu denetimler kapsamında değerlendirin. Genel bir entegrasyon eğitimi, her özelliğin sağlık hizmetleri yapılandırmasında kullanılabilir olduğunu veya aynı şekilde çalıştığını göstermez.

Workspace’ten fax ile hasta belgesi gönderme

Bir kurum, belgeyi Workspace’te hazırlayıp saklarken, dış bir kuruluş bu belgeyi bir fax numarasında bekleyebilir.

Seçeneklerden biri, izin verilen belgeyi hazırlamak, uygun bir kopyasını dışa aktarmak ve HIPAA için yapılandırılmış Fax.Plus web uygulaması üzerinden yüklemektir. Göndermeden önce paketi gözden geçirin ve alıcıyı doğrulayın.

Dışa aktarma başka bir kopya oluşturur. Bu kopyanın iş istasyonunda ele alınması, kurumun cihaz ve depolama kurallarına uygun olmalıdır.

HIPAA uyumlu Email-to-Fax için Gmail kullanma

Fax.Plus ayrıca özel bir HIPAA Email-to-Fax yolunu da destekler.

Gönderen, Email-to-Fax özelliği etkinleştirilmiş, hesabı oluşturulmuş ve yetkilendirilmiş bir üye olmalıdır. Hedef adres, alıcının fax numarası ve ardından gelen ifadesinden oluşur.

Personel hasta belgeleri için kullanmadan önce yöneticinin hesabı ve posta yapılandırmasını doğrulamasını sağlayın. Genel bir entegrasyon düğmesinin doğru yolu hazırlayacağını varsaymak yerine belgelenmiş sağlık hizmetleri adres biçimini izleyin. Fax.Plus HIPAA Email-to-Fax gereksinimleri.

Her iki yol için de iletim sonucunu kontrol etme sorumluluğunu atayın. Gönderilenler’de bir e-postanın görünmesi, fax’ın ulaştığını göstermez. Başarılı bir fax, alıcı uç noktanın alımı onayladığı anlamına gelir; klinik incelemeyi veya dosyalamayı kanıtlamaz. Fax.Plus iletim durumu.

Gmail’de fax alma

Fax.Plus, HIPAA etkin hesaplar için varsayılan olarak yalnızca bildirim içeren e-posta teslimini kullanır.

İsteğe bağlı fax ekleri; sahibin veya yöneticinin kurumsal onayını, kullanıcının bireysel olarak kabul etmesini ve TLS 1.2 veya üzerini destekleyen bir alıcı posta sunucusunu gerektirir.

Gerekli TLS teslimi başarısız olursa yerine geçen bir bildirim e-postası gönderilmez. Fax, Fax.Plus’ta erişilebilir durumda kalır. Gelen belgelerden sorumlu personel bu davranışı dikkate almalıdır. HIPAA fax e-posta eki gereksinimleri.

Bir ek Gmail’e ulaştığında, posta kutusundaki bu kopyayı korumak kurumun sorumluluğundadır. Özelliği etkinleştirmeden önce erişimi, yetki devrini, yönlendirmeyi, indirmeleri ve saklama sürelerini gözden geçirin.

Portal erişimini veya ekleri, personelin yürütmesi gereken işe göre seçin. Ekler uygulamalar arasında geçiş yapma ihtiyacını azaltabilir, ancak belgenin tutulduğu bir konum daha ekler.

Ayrıca bir bildirimin açılması, birinin fax’ı incelediğini veya gerektirdiği işlemi tamamladığını göstermez. Gelen kayıtları bir kişiye veya ekibe atayın ve olağan alıcı yokken yerine bakacak birini belirleyin.

Alınan belgeleri Drive’a kaydetme

Kurumun izin verdiği durumlarda personel, belgenin bir kopyasını erişimi kısıtlanmış bir Drive konumuna yerleştirebilir.

Dosyalamadan önce hastayı ve belgeyi doğrulayın, hedef klasörü teyit edin ve izinlerini kontrol edin. Başlıklarda hasta bilgilerini gereksiz yere açığa çıkarmayan adlandırma kurallarını izleyin.

Bir Drive dosyasını fax iş akışına aktarmak, gelen fax’ların Drive’a otomatik olarak yedeklendiği anlamına gelmez. Bir fax’ı Drive’a kaydetmek de hasta dosyasını otomatik olarak güncellemez.

Saklanan kaydın hangi konumda tutulacağına ve ek kopyaların nasıl ele alınacağına karar verin. Bir belgenin bir uygulamadan silinmesi, e-postadaki, Drive’daki veya yerel indirmelerdeki kopyaların da kaldırıldığı anlamına gelmez.

Personel süreci benimsemeden önce, hasta bilgisi içermeyen belgelerle test edin. Giden bir belgeyi kaynağından iletime kadar, ardından gelen bir belgeyi inceleme ve dosyalamaya kadar izleyin. Kuyruğu izleyen kişinin bir sonraki adımı bilmesi için başarısız bir teslimi de ekleyin.