患者データはロックダウンされています。

概要

患者情報の保護は、当社が提供するすべてのサービスの一部です。当社のプログラムは、HIPAAのトレーニングを受けたチーム、すべてのクライアントとの署名済みのビジネスアソシエイト契約、および病院が期待する保護機能を備えたソフトウェアを組み合わせています。このページでは、当社の管理体制について説明します。これは認証ではなく、当社が取得していない第三者認証を主張することはありません。ビジネスアソシエイトとしてHIPAAをどのように満たしているかについては、HIPAA通知をお読みください。

データ保護

• 転送中: 当社のソフトウェアおよびこの Web サイトへの接続は TLS (HTTPS) で暗号化されており、ブラウザは常に安全な接続を使用するように指示されています。
• 静止時: Pulseline および MDClaim360 では、患者名、生年月日、通話の詳細、予約理由、投薬などの機密フィールドは AES-256-GCM で暗号化されます。
• デフォルトではマスクされています:リストには、生年月日全体ではなく、数字の最後の桁と年齢のみが表示されます。
• 統合: EHR、電話システム、またはクリアリングハウスへのすべての接続は、必要なアクセスのみを許可され、可能な限り読み取り専用であり、いつでも一時停止または削除できます。

アクセス制御

• 弊社のソフトウェアでは、スタッフアカウントに二段階認証が必要です。設定が完了するまでは、アカウントページのみが表示されます。
• 役割ベースのアクセスと最小権限:各ユーザーは、許可されたモジュールとプラクティスのみを表示し、すべてのアクションでチェックされます。
• アイドル状態が 15 分経過すると警告とともに自動的にログアウトします。セッション制限は 30 分です。
• 個人アカウントのみ：共有ログインはできません。役割変更時にアクセス権が審査され、退職時には速やかに削除されます。

監視とログ記録

当社のソフトウェアにおける患者記録の表示およびエクスポートはすべて、編集または削除できない監査ログに記録され、すべてのシステム連携同期も記録されます。問題調査時にはログを確認し、繰り返し発生するログイン失敗などの異常なアクティビティを監視します。ログイン失敗にはレート制限が設けられています。

安全な開発

機密情報やAPIキーはサーバー設定に保存され、ソースコードには一切含まれません。ユーザー入力は検証され、リッチテキストは保存前にクリーニングされます。変更はリリース前にレビューとテストが行われ、サードパーティ製コンポーネントは常に最新の状態に保たれています。

このウェブサイト

• 管理ポータルは、指定されたInCareMDチームメンバーのみがアクセス可能で、各メンバーは個別のアカウントと、表示および変更できる内容を制限する役割（所有者、管理者、編集者、サポートなど）を持っています。
• パスワードはソルト付きscryptハッシュとしてのみ保存され、平文で保存されることはありません。チームメンバーはMicrosoftの職場アカウントでサインインすることもできます。
• ログインセッションは12時間後に期限切れとなり、アカウントの電源を切ると即座にアクセス権が失われます。
• Avaとのチャットは訪問者のブラウザに紐付けられ、24時間後に自動的に削除されます。
• セキュリティヘッダーは、ブラウザに対し、コンテンツの盗聴、他のサイトによるフレーム表示、カメラへのアクセスをブロックするように指示します。

ベンダーおよび下請業者

当社は、セキュリティおよびHIPAAに関する義務をサポートするサービスプロバイダーを選定し、各プロバイダーに必要なアクセス権限のみを付与し、当社のためにPHI（保護対象医療情報）を取り扱うプロバイダーとは業務提携契約を締結しています。例えば、メールとカレンダーにはMicrosoft 365を、サーバーにはホスティングプロバイダーを利用しています。

バックアップと事業継続

当社のソフトウェアは、保持設定と法的保留機能を備えた暗号化バックアップを保持します。ウェブサイトのデータは定期的にバックアップされ、古いコピーは順次置き換えられるため、問題が発生した場合でも復元できます。当社のチームは米国、オーストラリア、カナダ、アラブ首長国連邦、パキスタン、インド、フィリピン、ニュージーランドに拠点を持ち、24/7で運用されているため、クライアントの作業はタイムゾーンを問わず継続されます。

インシデント対応

セキュリティインシデントが疑われる場合は、インシデントを封じ込め、何が起こったのかを調査し、原因を解決し、得られた情報を記録します。インシデントが顧客の個人健康情報（PHI）に関わる場合は、ビジネスアソシエイト契約およびHIPAA情報漏洩通知規則に従って顧客に通知し、顧客が自身の義務を果たすのを支援します。

責任ある情報開示

当社のウェブサイトまたはソフトウェアにセキュリティ上の問題を発見された場合は、再現手順を添えて「セキュリティ報告」という件名でcontact@incaremd.comまでメールでご連絡ください。問題の修正には十分な時間を要するため、他の方に報告する前に、ご自身のデータ以外のデータにアクセスしたり変更したりしないでください。また、当社のサービスやクライアントに支障をきたす可能性のあるテストは実行しないでください。ご報告いただいた内容を確認し、進捗状況をお知らせいたします。これらの規則に従って行われた誠実な調査に対しては、法的措置は講じません。

クライアントができること

• すべてのユーザーに対して二段階認証を有効にし、連絡先情報を常に最新の状態に保ってください。
• 各スタッフに固有のログインアカウントを与え、退職時にはアクセス権を削除してください。
• 患者情報を通常のメール、テキストメッセージ、またはこのウェブサイトのフォームで共有しないでください。
• アカウントに何か異常な点に気づいた場合は、すぐにご連絡ください。

お問い合わせ

• メールアドレス: contact@incaremd.com
• 電話番号: (833) 4-CARE-98 (月曜～金曜 9 午前～5 午後 EST、オペレーションは 24/7 で実行されます)
• 住所：InCareMD、12910 Cloverleaf Center Dr、Suite 110、Germantown、MD 20874、アメリカ合衆国
• 住所: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, オーストラリア