BAA کی تسلی بخش ضمانتوں کی ضرورت
HIPAA کے Privacy Rule میں ایک واضح قانون ہے۔ Covered entities کو Business Associate Agreements (BAAs) پر دستخط کرنے ہوتے ہیں۔ ہر اس شریک کے ساتھ BAA ضروری ہے جو protected health information (PHI) سنبھالتا ہو۔ ہر BAA میں "تسلی بخش ضمانتیں" شامل ہونی چاہئیں۔ یہ ضمانتیں تصدیق کرتی ہیں کہ شریک کے پاس درست کنٹرول موجود ہیں۔ اہم قوانین 45 CFR 164.308، 164.310 اور 164.312 میں درج ہیں۔
"تسلی بخش ضمانتوں" کی اصطلاح قانون میں واضح طور پر بیان نہیں ہوئی۔ لیکن OCR کی رہنمائی ایک بات صاف کرتی ہے۔ ضمانتیں حقیقی اور دستاویزی ثبوت پر مبنی ہونی چاہئیں۔ کوئی ہسپتال جو کسی شریک کے اصل کنٹرولز کو جانچے بغیر BAA پر دستخط کرے، وہ مناسب احتیاط نہیں دکھا سکتا۔ اگر وہ شریک بعد میں کسی خلاف ورزی کا شکار ہو تو ہسپتال کو سنگین مسئلہ درپیش ہوگا۔
چنانچہ ISO 27001 یہاں مددگار ہے۔ یہ سرٹیفیکیشن HIPAA کی زیادہ تر کنٹرول ضروریات سے مطابقت رکھتی ہے۔ مطابقت مکمل نہیں ہے۔ HIPAA میں کچھ صحت سے متعلق مخصوص قوانین ہیں جو ISO 27001 میں شامل نہیں۔ لیکن اوورلیپ اتنی وسیع ہے کہ زیادہ تر BAA due care جانچ کے لیے کافی ہے۔
کنٹرول میپنگ
ISO 27001 Annex A کنٹرولز HIPAA کے تمام تین حفاظتی گروہوں سے مطابقت رکھتے ہیں۔
انتظامی حفاظتی اقدامات (164.308): کنٹرولز A.5 سے A.8 تک پالیسیاں، کردار، عملے کے قوانین اور اثاثہ جات کی ٹریکنگ کا احاطہ کرتے ہیں۔ یہ HIPAA کی باقاعدہ پروگرام، تفویض کردہ کردار، افرادی قوت کے قوانین اور بیک اپ منصوبوں کی ضروریات پوری کرتے ہیں۔
جسمانی حفاظتی اقدامات (164.310): کنٹرول A.11 جسمانی اور سائٹ کے تحفظات کا احاطہ کرتا ہے۔ یہ سہولت تک رسائی، ورک اسٹیشن کے استعمال اور آلات کے کنٹرولز سے مطابقت رکھتا ہے۔
تکنیکی حفاظتی اقدامات (164.312): کنٹرولز A.9، A.10، A.12 اور A.13 رسائی، انکرپشن اور آپریشنز کا احاطہ کرتے ہیں۔ یہ HIPAA کے آڈٹ، سالمیت اور ڈیٹا منتقلی کی ضروریات سے مطابقت رکھتے ہیں۔
صحت کی دیکھ بھال کی تعمیل کا ایک کیس
ایک علاقائی صحت نظام اپنے شراکت داروں کی جانچ کی تجدید کرتا ہے۔ اس کی تعمیلی ٹیم ایک ڈی آئیڈنٹیفکیشن فرم سے "مناسب حفاظتی اقدامات" کا ثبوت مانگتی ہے۔ فرم اپنا ISO 27001 سرٹیفکیٹ اور ایک کنٹرول کراس واک بھیجتی ہے۔ کراس واک ہر ISO کنٹرول کو متعلقہ HIPAA سیکشن — 164.308، 164.310 اور 164.312 — سے جوڑتا ہے۔
تعمیلی افسر اسے BAA فائل میں درج کرتا ہے۔ یہ ریکارڈ OCR آڈٹ کی ضروریات پوری کرتا ہے۔ کوئی کسٹم 150 سوالات کی جانچ درکار نہیں ہوتی۔
مختصراً، ISO 27001 covered entities کو BAA due care کے لیے ایک مضبوط، تیار ثبوت کی بنیاد فراہم کرتا ہے۔ دیکھیں کہ anonym.legal ان ضروریات کو سیکیورٹی اور تعمیل کے صفحے اور قانونی تعمیل کی دستاویزات میں کس طرح پورا کرتا ہے۔