Что делает факс соответствующим требованиям HIPAA, когда страницу считывает ИИ24.10.2026 12:27

HHS никогда не предписывало медицинским организациям отказаться от факсов. В своих рекомендациях ведомство указывает, что Правило конфиденциальности разрешает врачам передавать PHI другому поставщику медицинских услуг по факсу для лечения пациента, если приняты разумные и надлежащие меры защиты.

Представим два одинаковых направления, отправленных одним утром. Одно проходит по зашифрованному каналу с журналированием, на который распространяется подписанное соглашение с деловым партнером (BAA), а OCR-система индексирует его и добавляет в карту пациента. Второе лежит в лотке для исходящих документов в общем коридоре. Один и тот же документ, один и тот же закон, но совершенно разные позиции с точки зрения соблюдения требований.

HIPAA регулирует меры защиты при отправке факсов

Должен ли факс соответствовать требованиям HIPAA? Для организации, на которую распространяется действие закона, или ее делового партнера, передающего защищенную медицинскую информацию, — да. Но ни факс-аппарат, ни приложение, ни облачный сервис не могут обеспечить соблюдение требований от имени организации. Правила требуют, чтобы организация применяла разумные меры защиты при каждой передаче данных.

По словам HHS, организации, на которые распространяется действие закона,»должны применять разумные и надлежащие административные, технические и физические меры защиты» PHI, отправляемой по факсу, например проверять номер получателя и заранее программировать часто используемые номера. Как только страница, отправленная по факсу, становится цифровым файлом, на нее также распространяются стандарты мер защиты, установленные Правилом безопасности.

«Чаще всего люди начинают с вопроса, соответствует ли факс-сервис требованиям HIPAA, но начинать нужно не с этого», — говорит Адам Корбл, основатель и генеральный директор iFax. «HIPAA не сертифицирует факс-аппараты или приложения. Я бы предпочел, чтобы люди спрашивали, кто может открыть документ, регистрируются ли все действия с ним и распространяется ли BAA на программу, которая считывает страницу, а не только на канал, по которому она передается».

Все вопросы Корбла касаются рабочего процесса. Факс может прийти без повреждений, но оказаться в общей очереди или попасть не в ту карту пациента — и в обоих случаях информация о пациенте все равно может быть раскрыта. При этом число утечек в отрасли уже велико: по данным The HIPAA Journal, к началу января 2026 года на портале OCR за 2025 год было зарегистрировано 772 крупные утечки данных в сфере здравоохранения — рекордный показатель.

Что теперь должно охватывать соответствующий требованиям процесс отправки факсов

Теперь с документом работают OCR-системы,  модели извлечения данных и правила маршрутизации, и на каждом из этих этапов действуют те же обязательства, что и при передаче.

Начать логично с шифрования. Согласно действующему Правилу безопасности, это »адресуемое» требование — как отмечает The HIPAA Journal, из-за этого некоторые организации, на которые распространяется действие закона, ошибочно считают его необязательным, хотя оно никогда таковым не было. Для облачного факса шифрование должно охватывать и текст, распознанный OCR, и сохраненные изображения — как при хранении, так и при передаче. Кроме того, для каждой отправки, получения, просмотра и операции маршрутизации должна оставаться запись, к которой можно будет обратиться позднее.

BAA обеспечивает юридическую основу договоренностей. В типовых положениях HHS для BAA перечислено, что договор должен требовать от поставщика, в том числе соблюдения мер защиты, предусмотренных Правилом безопасности, уведомления об утечках и включения соответствующих условий в договоры с субподрядчиками. Согласно рекомендациям HHS по облачным сервисам, поставщик облачных услуг, хранящий ePHI, считается деловым партнером даже в том случае, если у него нет ключа шифрования, а исключение для посредников »ограничивается услугами, которые только передают данные». Исходя из этой логики, оператор связи, передающий факсимильный сигнал, считается посредником, тогда как облачная факс-платформа, хранящая копии, как правило, считается деловым партнером. Если OCR или извлечением данных занимается отдельная компания, ее деятельность тоже должна быть охвачена соглашением — обычно через BAA с поставщиком, включающее условия для субподрядчика.

Рекомендации HHS по факсам, отправленным не на тот номер, применимы и к правилам маршрутизации. Если правило срабатывает неправильно и направление сохраняется в карте другого пациента, результат ничем не отличается от отправки на ошибочный номер. Сотрудники должны проверять сомнительные совпадения, прежде чем сохранять документ.

Здесь многое может сделать поставщик услуг. По словам iFax, ее платформа для здравоохранения сочетает шифрование AES-256 при передаче и хранении данных с подписанными BAA, разграничением доступа на основе ролей и журналами аудита, а OCR выполняется в той же контролируемой инфраструктуре. Это решает технические задачи. За политики, обучение сотрудников и анализ рисков по-прежнему отвечают сами организации.

Завершает список контроль доступа, и пренебрежение им имеет задокументированные последствия. Атака на Change Healthcare в 2024 году началась с компрометации учетных данных в системе, где не была включена многофакторная аутентификация (MFA), и в итоге затронула около 193 миллионов человек.

Правило безопасности адаптируется к программам, которые считывают данные

HHS начало включать ИИ в правила, хотя самые масштабные изменения пока остаются предложениями. Пересмотренное Правило безопасности, опубликованное 6 января 2025 года, обязало бы шифровать ePHI, за некоторыми исключениями, потребовало бы многофакторную аутентификацию и ежегодную инвентаризацию технологических активов и составление карты сети. В нем также прямо упоминается ИИ: анализ рисков »должен, помимо прочего, учитывать тип и объем ePHI, к которой получает доступ инструмент ИИ, лиц, которым раскрываются данные, и лиц, которым предоставляются результаты работы инструмента».

Сроки пока неясны: после почти 5 000 комментариев принятие окончательного решения теперь намечено на июль 2027 года. По оценке самого OCR, расходы на соблюдение требований в первый год составят 9 миллиардов долларов, а проект даст организациям 240 дней после утверждения окончательного правила на то, чтобы привести свою работу в соответствие с ним. Однако распределение обязанностей это, вероятно, не изменит: поставщики предоставляют инструменты, а медицинские организации управляют процессом.

«Мы можем предоставить медицинской организации шифрование, журнал аудита и контролируемую среду для работы OCR. Но политики, обучение сотрудников и анализ рисков — это ответственность самой организации, а не наша», — говорит Корбл.

Это разделение обязанностей становится менее четким, когда сотрудники самостоятельно подключают инструменты ИИ. В опросе 250 руководителей в сфере безопасности здравоохранения и ИИ, проведенном по заказу Imprivata,  72% сообщили, что инструменты или агенты ИИ внедряются без официального одобрения IT-отдела, пишет Axios. Инструменты, не одобренные IT-отделом, вряд ли попадут в инвентарный список активов — не говоря уже о проверке на соответствие BAA. Требование вести инвентаризацию, подобное предложенному HHS, призвано выявлять такие инструменты. Опрос также показал, что 28% организаций уже используют агентный ИИ в рабочей среде, а 44% проводят пилотные проекты или тестируют его.

Приобретайте комплекс решений, а управляйте программой сами

Медицинская организация может приобрести комплекс решений для работы с документами, соответствующий требованиям. Но соблюдение требований так не покупается. Оно должно обеспечиваться внутри самой организации: нужны актуальные письменные политики и сотрудники, обученные их соблюдать. Поставщика факс-услуг, который не может обеспечить шифрование, контроль доступа, журналы аудита и подписанный BAA, не стоит включать в список кандидатов. При выборе решений на основе ИИ заказчикам следует выяснить больше: где именно происходит считывание данных, распространяется ли BAA на этот этап, регистрируются ли автоматизированные действия и кто проверяет совпадения, в которых программа не уверена.

Полный текст статьи читайте на TheNextWeb.ru прочитано 1417 раз