客座文章： 這是一篇由 Atlantic.Net, Inc. 貢獻的客座文章。Atlantic.Net 提供一系列托管服務，包括云、專用、托管、私有虛擬化和托管。他們最先進的基礎設施符合 SOC2、SOC3、HIPAA 和 HITECH 標準，位于安全、氣候受控的設施中，具有持續監控和與互聯網骨干網的多個直接連接，以確?？蛻魯祿目捎眯院桶踩?。
符合 HIPAA 標準的視頻通話
視頻會議在后 COVID-19 時代變得無處不在，是遠程醫療服務的重要推動力。但是，要將視頻通話用于醫療保健，您必須確保您的視頻會議服務符合相關法規。在本文中，我們將解釋美國視頻通話的合規要求，符合 HIPAA 標準的服務/a>，以及如何選擇適合您需要的服務。
什么是 HIPAA 合規性？
1996 年的健康保險流通與責任法案 (HIPAA) 旨在保護個人健康信息 (PHI) 和個人身份信息 (PII)患者。
HIPAA 要求適用于處理敏感患者信息的任何實體，以及代表涵蓋實體處理 PHI 的業務伙伴。例如，在醫療保健行業運營的軟件供應商通常被視為業務伙伴，必須遵守 HIPAA 要求。
HIPAA 法規旨在保護任何媒介或形式的 PHI。雖然 PHI 可能包括姓名、駕照和社會安全號碼等信息，但它也代表更廣泛的信息類別，包括照片、指紋和聲紋。
符合 HIPAA 標準的視頻聊天需要什么？
您組織的 健康數據管理實踐還必須擴展到視頻會議服務。以下是視頻聊天解決方案為滿足 HIPAA 要求而必須實施的幾個安全要求：
- 加密——防止未經授權訪問 PHI，因為數據只能使用解密密鑰讀取。盡管 HIPAA 沒有嚴格要求，但加密是保護敏感數據的最安全方式。HIPAA 將加密視為一種“可尋址”安全措施——這意味著如果它在您的場景中不合理，您必須使用另一種等效的安全措施。
- 訪問控制—確保獲得授權的個人使用視頻聊天僅訪問他們執行任務所需的 PHI工作。訪問控制根據員工的工作分配不同級別的 PHI 訪問權限。
- 審計控制——跟蹤對 PHI 的訪問以防止未經授權的使用。維護 PHI 訪問的審計日志允許組織監控常規員工訪問模式并快速檢測未經授權的訪問。
然而，即使 SaaS 工具具有所有必要的安全措施，它也不能與沒有簽名的 PHI 一起使用 商業伙伴協議 (BAA)。該協議要求各方采取積極措施，充分保護受保護的健康信息。
監管機構最近忽視了與解決方案供應商達成 BAA 的要求，以便在 COVID 等突發公共衛生事件期間能夠使用“善意的遠程醫療”-19危機。
軟件合規性取決于個人使用。要以符合 HIPAA 的方式使用視頻聊天工具，必須對員工進行正確使用實踐方面的培訓。
符合 HIPAA 標準的視頻通話：基本功能
供應商訪問和審計
另一個重要的考慮因素 HIPAA 合規性誰有權訪問敏感的個人數據。視頻會議提供商可以保護患者數據不受外界影響，但他們也應該防止自己的員工訪問 PHI。此外，審核供應商的視頻API的使用 或其他處理或存儲視頻內容的外部服務。任何此類第三方 API 提供商還必須簽署 BAA 并證明 HIPAA 合規性。
提供商必須采取管理、物理和技術保護措施，以防止未經授權的用戶訪問歸類為 ePHI 的信息。例如，只有一小部分選定的已批準個人應具有登錄憑據。包括智能手機和平板電腦在內的所有員工設備都必須受密碼保護（最好使用多重身份驗證），并且視頻解決方案必須利用用戶身份驗證和密碼保護。
理想情況下，供應商應該能夠實施強大的審計工具并生成報告，其中包括每個文件的訪問時間和訪問者的日志。這對于在發現故意違規行為或識別和解決漏洞的情況下保護醫療保健專業人員很有用。
端到端加密
如前所述，HIPAA 并未嚴格要求加密，但在防止威脅行為者或未經授權的第三方訪問視頻通話或通話期間生成的數據方面極為有效.加密有助于防止未經授權的訪問，因為只有授權的設備和用戶（理想情況下）才能訪問加密密鑰。
意外違規
某些工具（例如 Zoom）在技術上可能被認為符合 HIPAA 標準。但是，如果用戶向患者發送會議邀請或無意中將患者數據存儲在 Zoom 帳戶中，則可能違反 HIPAA 規定。這就是為什么與了解內部和外部 HIPAA 法規并且可以防止意外違規的供應商合作很重要。該解決方案必須限制可能導致違反 HIPAA 的活動。
如何評估符合 HIPAA 標準的視頻通話系統
符合 HIPAA 的視頻通話解決方案將患者隱私和保密放在首位。最好的系統超越最低安全標準，為提供者和患者提供一層安全保障。除了提供易于使用且價格合理的視頻會議功能外，這些解決方案還必須制定保護用戶的隱私標準。
要為您的用例確定符合 HIPAA 標準的視頻會議系統，請考慮以下標準：
- 定價—評估每用戶定價并特別注意錄制視頻會話的存儲成本和保留能力.
- 功能—評估視頻聊天功能，以確保您的員工可以使用該工具進行有效的遠程醫療。
- 易于使用—確?；颊吆吞峁┱叨寄茌p松設置和使用。請記住，許多患者都是老年人或非技術人員，解決方案必須迎合他們。
- 輔助功能—確保您的所有用戶都可以通過他們首選的設備、瀏覽器和操作系統訪問視頻會議?？紤]到一些患者可能使用過時的計算系統。
- 安全——根據解決方案提供的安全層、安全措施的穩健性和易用性來評估解決方案它們可以由 IT 人員管理。確保該工具默認提供安全性并防止無意的違規行為。
結論
符合 HIPAA 標準的視頻通話需要三個基本要素：端到端加密、強大的訪問控制和審核功能，使您能夠監控和防止未經授權的使用。
在評估用于醫療行業的視頻會議服務時，確保：
- 提供安全連接
- 限制和審核視頻會議提供商員工的訪問權限
- 具有安全的默認配置以防止意外的合規性違規
這些要點將幫助您為醫生和患者提供便捷的視頻聊天服務，而不會侵犯隱私或面臨合規處罰的風險。