환자 데이터를 철저하게 보호합니다.

개요

환자 정보 보호는 당사가 제공하는 모든 서비스의 일부입니다. 당사의 프로그램은 HIPAA 교육을 받은 팀, 모든 고객과 체결하는 업무 제휴 계약, 그리고 병원 수준의 보호 기능을 갖춘 소프트웨어로 구성됩니다. 이 페이지는 당사의 통제 조치를 설명합니다. 이는 인증이 아니며, 당사는 보유하지 않은 제3자 인증을 주장하지 않습니다. 당사가 업무 제휴자로서 HIPAA를 준수하는 방법은 HIPAA 고지를 참조하세요.

데이터 보호

• 전송 중: 당사 소프트웨어와 이 웹사이트에 대한 연결은 TLS(HTTPS)로 암호화되며, 브라우저가 항상 보안 연결을 사용하도록 설정되어 있습니다.
• 저장 시: Pulseline과 MDClaim360에서는 환자 이름, 생년월일, 통화 내용, 진료 사유, 약물 등 민감한 필드가 AES-256-GCM으로 암호화됩니다.
• 기본적으로 가림 처리: 목록에는 번호의 마지막 자리만 표시되며, 전체 생년월일 대신 나이가 표시됩니다.
• 통합: EHR, 전화 시스템, 클리어링하우스와의 모든 연결에는 필요한 권한만 부여되며, 가능한 경우 읽기 전용으로 설정되고, 언제든지 일시 중지하거나 제거할 수 있습니다.

접근 통제

• 당사 소프트웨어의 직원 계정에는 2단계 인증 로그인이 필수입니다. 설정이 완료될 때까지는 계정 페이지만 열립니다.
• 역할 기반 접근 권한 및 최소 권한: 각 직원은 허용된 모듈과 의료기관만 볼 수 있으며, 모든 작업마다 권한을 확인합니다.
• 15분 동안 활동이 없으면 경고 후 자동 로그아웃되며, 세션은 최대 30분으로 제한됩니다.
• 개인 계정만 허용: 공용 로그인은 없습니다. 직원의 역할이 바뀌면 접근 권한을 검토하고, 퇴사 시에는 즉시 권한을 삭제합니다.

모니터링 및 로그 기록

당사 소프트웨어에서 환자 기록을 열람하거나 내보낼 때마다 수정하거나 삭제할 수 없는 감사 로그에 기록되며, 모든 통합 동기화도 기록됩니다. 문제를 조사할 때 로그를 검토하고, 반복되는 로그인 실패와 같은 비정상적인 활동을 감시하며, 이러한 시도는 횟수가 제한됩니다.

안전한 개발

비밀 정보와 API 키는 소스 코드가 아닌 서버 설정에 보관합니다. 사용자 입력은 검증하고, 서식 있는 텍스트는 저장 전에 정리합니다. 변경 사항은 배포 전에 검토하고 테스트하며, 제3자 구성 요소는 최신 상태로 유지합니다.

이 웹사이트

• 관리자 포털은 지정된 InCareMD 팀원에게만 열려 있으며, 각 팀원은 개인 계정과 함께 볼 수 있고 변경할 수 있는 범위를 제한하는 역할(소유자, 관리자, 편집자, 지원 등)을 부여받습니다.
• 비밀번호는 솔트를 적용한 scrypt 해시로만 저장되며, 절대 평문으로 저장되지 않습니다. 팀원은 Microsoft 업무용 계정으로도 로그인할 수 있습니다.
• 로그인 세션은 12시간 후 만료되며, 비활성화된 계정은 즉시 접근 권한을 잃습니다.
• Ava와의 채팅은 방문자의 브라우저에 연결되며 24시간 후 자동으로 삭제됩니다.
• 보안 헤더를 통해 브라우저가 콘텐츠 스니핑, 다른 사이트의 프레임 삽입, 카메라 접근을 차단하도록 합니다.

공급업체 및 하도급업체

당사는 보안 및 HIPAA 의무를 지원하는 서비스 제공업체를 선정하고, 각 업체에 필요한 권한만 부여하며, 당사를 위해 PHI(보호 대상 건강 정보)를 처리하는 모든 업체와 업무 제휴 계약을 체결합니다. 예를 들어 이메일과 캘린더에는 Microsoft 365를, 서버에는 호스팅 제공업체를 사용합니다.

백업 및 업무 연속성

저희 소프트웨어는 보존 설정 및 법적 보존 조항이 적용된 암호화된 백업을 보관합니다. 웹사이트 데이터는 정기적으로 백업되며, 오래된 백업본은 순차적으로 교체되므로 문제가 발생할 경우 복원할 수 있습니다. 저희 팀은 미국, 호주, 캐나다, UAE, 파키스탄, 인도, 필리핀, 뉴질랜드에 걸쳐 근무하며, 운영 체제는 24/7이므로 고객과의 모든 업무가 시간대에 관계없이 원활하게 진행됩니다.

사고 대응

보안 사고가 의심되면 당사는 이를 차단하고, 경위를 조사하고, 원인을 해결하고, 교훈을 기록합니다. 사고가 고객의 PHI와 관련된 경우, 업무 제휴 계약 및 HIPAA 위반 통지 규칙에 따라 고객에게 통지하고 고객이 자체 의무를 이행할 수 있도록 지원합니다.

책임 있는 취약점 공개

당사 웹사이트나 소프트웨어에서 보안 문제를 발견하셨다고 생각되면 제목을 "Security report"로 하여 재현 단계를 포함해 contact@incaremd.com으로 이메일을 보내 주세요. 다른 사람에게 알리기 전에 문제를 해결할 수 있도록 합리적인 시간을 주시고, 본인 소유가 아닌 데이터에 접근하거나 변경하지 마시며, 당사 서비스나 고객에게 지장을 줄 수 있는 테스트는 실행하지 마십시오. 당사는 보고를 접수했음을 알려 드리고, 진행 상황을 계속 공유하며, 이 규칙을 따르는 선의의 연구에 대해서는 법적 조치를 취하지 않습니다.

고객이 할 수 있는 일

• 모든 사용자에 대해 2단계 인증 로그인을 켜고 연락처 정보를 최신 상태로 유지하세요.
• 직원마다 개별 로그인을 제공하고, 퇴사 시 접근 권한을 삭제하세요.
• 일반 이메일, 문자 메시지 또는 이 웹사이트의 양식으로 환자 정보를 절대 공유하지 마세요.
• 계정에서 이상한 점을 발견하시면 즉시 알려 주세요.

문의하기

• 이메일: contact@incaremd.com
• 전화: (833) 4-CARE-98(월~금 9 AM~5 PM EST, 작업 실행 24/7)
• 우편 주소: InCareMD, 12910 Cloverleaf Center Dr, Suite 110, Germantown, MD 20874, 미국
• 우편 주소: InCareMD, 6/13 Hunter St, Parramatta NSW 2150, Australia