موقفنا، بوضوح
صُمم JamEMR لدعم التزامات الامتثال لـ HIPAA (قانون قابلية نقل التأمين الصحي والمساءلة) لدى عملائنا. وعندما يتعامل JamEMR مع المعلومات الصحية المحمية (PHI) نيابةً عن كيان مشمول، فإننا نعمل بصفة شريك تجاري ونُبرم اتفاقية شريك تجاري (BAA) قبل التعامل مع أي PHI.
أمر واحد لن نقوله أبدًا: «معتمد وفق HIPAA». فلا توجد شهادة من هذا النوع — لا توجد جهة حكومية تمنح شهادة بالامتثال لـ HIPAA، وأي مورّد يدّعي امتلاك شهادة HIPAA يصف شيئًا غير موجود. وما يستطيع المورّدون المسؤولون فعله هو تطبيق الضمانات المطلوبة، وتوثيقها، والالتزام بها تعاقديًا. وهذا هو نهجنا.
ما هو قائم اليوم
مرتّبة بشكل تقريبي وفق فئات الضمانات في قاعدة الأمن في HIPAA:
الضمانات الإدارية
- أدوار مسؤول الخصوصية ومسؤول الأمن المعيّنان مُسندة وفعّالة.
- التغييرات التشغيلية المميزة خاضعة لبوابة موافقة: فهي تتطلب موافقة بشرية صريحة.
- تستخدم عمليات النشر التجريبية بيانات اصطناعية (ليست بيانات مرضى حقيقيين) حتى تكتمل المتطلبات المسبقة للامتثال لدى العيادة — بما فيها اتفاقية BAA موقّعة.
الضمانات المادية
- يعمل استدلال الذكاء الاصطناعي السريري على عتاد محلي مخصص داخل بيئة النشر. ولا تُرسل PHI إلى سحابات الذكاء الاصطناعي الاستهلاكية التابعة لجهات خارجية لأغراض معالجة الذكاء الاصطناعي السريري، مما يُبقي البصمة المادية لـ PHI صغيرة ومعروفة.
الضمانات التقنية
- التحكم في الوصول القائم على الأدوار (RBAC) بمبدأ الحد الأدنى من الصلاحيات؛ لا يستطيع موظفو الاستقبال الوصول إلى وظائف الذكاء الاصطناعي السريري.
- تسجيل التدقيق على مستوى التطبيق للوصول إلى الملفات الطبية وتغييراتها، بما في ذلك مسودات الملاحظات المحيطية وتعديلاتها وتوقيعاتها.
- رموز API (واجهة برمجة التطبيقات) مسجّلة وقابلة للإلغاء للاستدعاءات بين الخدمات.
- تشفير TLS أثناء النقل على الواجهات المكشوفة؛ وتشفير على مستوى القرص أثناء التخزين، يُضبط بحسب كل عملية نشر.
على خارطة طريقنا
- تحديث رسمي لتحليل مخاطر HIPAA وحزمة سياسات موثّقة قيد التنفيذ. ونعامل تحليل المخاطر كالتزام حي ومستمر، لا كوثيقة تُنجز مرة واحدة.
- اختبار اختراق من جهة خارجية مخطط له قبل الإتاحة العامة.
- فحص SOC 2 Type II مخطط له لكنه لم يبدأ. SOC 2 ليس من متطلبات HIPAA، لكن انضباطه في جمع الأدلة يكمّل التزامات HIPAA، ونحن لا ندّعيه حتى يكتمل.
المسؤولية المشتركة
الامتثال لـ HIPAA مسؤولية مشتركة: يوفّر JamEMR الضمانات والالتزامات التعاقدية؛ وتظل الكيانات المشمولة مسؤولة عن سياساتها الخاصة، وتدريب القوى العاملة لديها، والاستخدام المناسب للنظام. ويسعدنا استعراض التفاصيل مع فريق الامتثال لديك — انظر جهة الاتصال الخاصة بالخصوصية في صفحة جهة الاتصال الأمنية.