HIPAA 対応 CData Arc(セルフホスト版)
医療・ライフサイエンス分野の組織は、Business Associate Agreement(BAA)を締結することで、お客様自身の環境にデプロイした CData Arc 上で、ePHI を含む対象の EDI / MFT ワークフローを実行できます。
データはお客様の環境内にとどまります
Arc セルフホスト版は、お客様が管理するインフラ上で動作し、CData のサーバーとは通信しません。そのため、ワークフローを流れる PHI を CData が目にすることはありません。対象のユースケースについては、CData が BAA を締結します。
暗号化された転送
すべての通信で、業界標準の転送中の暗号化(TLS 1.2 以上)を使用します。保存データには、Open PGP や AES などのファイル単位の暗号化も利用できます。
アクセス制御
LDAP や Active Directory などでユーザーを認証し、特定のユーザーやグループにのみサービスの利用を許可できます。
監査ログ
ユーザーイベントとファイルアクティビティを監査に対応した形式で記録します。一元的な Admin API から検索でき、コンプライアンス監査向けにエクスポートも可能です。
BAA のもとで実行できる処理
BAA を締結した場合、Arc セルフホスト版の対象ワークフローには次のようなものが含まれます。
- 支払者、医療提供者、クリアリングハウスとの HIPAA EDI トランザクションの交換
- 権限のある当事者間での、ePHI を含むファイルのセキュアな転送
- ヘルスケアデータ形式の変換と検証
- 権限のあるユーザー向けの、監査可能な自動化ワークフロー
セルフホスト版のみが対象
HIPAA 対応の対象となるのは、お客様自身の環境にデプロイした CData Arc です。その他の CData Arc の提供形態には適用されません。
対象範囲をご確認ください
上記のワークフロー以外のユースケースは PHI の取り扱い対象外であり、CData はそれらの HIPAA コンプライアンスをサポートしません。
- ePHI を処理する前に、CData との BAA の締結が必要です
- 対象は、お客様の環境で動作するセルフホスト版 Arc に限られます
- サポートチャットやメールで、PHI を CData に送信しないでください
CData Arc の BAA が必要ですか?
貴組織について教えてください。法務チームよりご連絡します。CData の営業担当者にご相談いただくことも可能です。