Comhréir FedRAMP sa tsláinte: síniú leictreonach

Is é an dochéachaint idir rialacháin scamall Mheiriceá agus caighdeáin Eorpacha chosaint sonraí sláinte atá ag athdéanamh na gcritéar roghnaithe d'uirlisí digiteacha san earnáil leighis. Maidir le heagraíochtaí ag feidhmiú ag an mhithid dhá mhargadh US bhreosclábhaile agus Eorpach — ospidéil, saotharlanna druganna, soláthraithe seirbhísí sláinte trasnáisiúnta — is gá don chomhréir FedRAMP san earnáil sláinte leis an síniú leictreonach a bheith ina gheal straitéiseach anois, nach rud atá ina bhosca a fhéadfaí a bhreacadh amháin.

Décodaíonn an t-alt seo bunúsacht an chláir FedRAMP, a fhoirmiú leis an tsiombail HDS (Hébergeur de Données de Santé) Francach, agus an chaoi ar a bhíonn síniú leictreonach slán á chur isteach sa dhúbhalchéim reachtúil seo. Tá sé dírithe ar Dhíreoir IT, DPO, stiúrthóirí gnóthaí leighis agus freagraithe comhréire ar cheart dóibh a bheith ag réiteach roghanna teicneolaíochta le hiarmhéid dlíthiúil agus oibríochtúil mór.

Tuiscint ar chláir FedRAMP agus a riachtanais don earnáil sláinte

Cad is FedRAMP ann?

Is Federal Risk and Authorization Management Program (FedRAMP) ná clár rialtais Meiriceá a bunaíodh in 2011 faoi údarás an Office of Management and Budget (OMB). Is gnáthnós a dhéanann sé d'úsáidí scamall do ghníomhairí breosclábhaile Mheiriceá ar dhóigh a bhíonn an mheasúnú sláintechais, údarú agus faire leanúnach a chur ar ghéill. In 2023, síníodh an FedRAMP Authorization Act, ag cur i bhfeidhm go críochaithe an chlár sa dlí bhreosclábhaile (44 U.S.C. § 3607).

D'fhonn údarú FedRAMP a fháil, ní mór do soláthraithe seirbhísí scamall (CSP) a thaispeáint go bhfuil siad ag cloí leis an rialú sláintechais a shainítear sa NIST SP 800-53. Trí leibhéal tionchair ann: Low, Moderate agus High. San earnáil sláinte bhreosclábhaile — lena n-áirítear an Department of Veterans Affairs (VA), an Department of Health and Human Services (HHS), na Centers for Medicare & Medicaid Services (CMS) — is minic a bhíonn an leibhéal High ag teastáil, mar gheall ar nádúr bhreise na sonraí PHI (Protected Health Information) a bhíonn i gceist faoin dlí HIPAA.

HIPAA, FedRAMP agus an slabhra comhréire doiciméadúil

Cruthaíonn an fhigiúr idir HIPAA (Health Insurance Portability and Accountability Act de 1996) agus FedRAMP dúbhalchonstraint do réitigh SaaS sínithe leictreonaigh a fhorchuirtear i gcomhthéacs breosclábhaile sláinte. Cuireann HIPAA rialacháin dhochta i bhfeidhm ar rúndacht (Privacy Rule) agus sláintechais (Security Rule) PHI, agus dearbhaíonn FedRAMP go bhfuil an bhonneagar scamall ar a bhraithíonn an réiteach ag cloí le caighdeáin sláintechais iniúchta agus leanúnach.

Go praiticiúil, ní mór do sholáthraí a bhíonn ag tairiscint réitigh sínithe leictreonaigh sa sláinte do ghníomhairí bhreosclábhaile Mheiriceá:

• ATO (Authority to Operate) FedRAMP a fháil nó a bheith ag brath ar cheann a thug gníomhaireacht spónsóra nó tríd an Joint Authorization Board (JAB) ;
• Business Associate Agreement (BAA) HIPAA a shíniú le heagraíochtaí chliaint ;
• A chinntiú go bhfuil audit logging ag gach gníomh sínithe, i gcomhréir le riachtanais dhíomaointeachta doiciméadúil ;
• A chinntiú go bhfuil cónaí sonraí ann i réigiúin thíortha a bhíonn ar fhormhór.

Leibhéaltaí FedRAMP agus a dtionchar ar an síniú leictreonach

Cruthaíonn an rogha a dhéantar ar an leibhéal FedRAMP go díreach an thógáil theicneolaíochta ar an réiteach sínithe. Ag an leibhéal High, cuimsítear na riachtanais ina measc:

• Chriptea AES-256 do sonraí ag foluain agus TLS 1.2+ do sonraí i gcing ;
• Úsáideoir-fhéadúchais iomadúla (MFA) iachongbhuailte do gach rochtain riaracháin ;
• Logta iniúchta dothuigtheacha agus coinneáil íosmhéid de 3 bhliain ;
• Scagadh leochaileachta gach mí agus tástálacha drille pionsúir gach bliain ag tríu páirtithe acraí (3PAO — Third-Party Assessment Organization) ;
• Bainistiú leanúnach na dtíomainte sláintechais le fógra faoi 1 uair an chloig don US-CERT.

Cruthaíonn na riachtanais theicneolaíochta seo caighdeán doiciméadúil sláintechais a bhíonn níos faide ná is minic i gceist sa ghréine FedRAMP amháin, ag déanamh an dhúbhal-chomhréire FedRAMP/HDS go háirithe dúbhailte.

HDS agus FedRAMP: an dhúbhal-chomhréir do ghníomhairí trasnáisiúnta

An tsiombail HDS: an tagartha Francach

Sa Fhrainc, is é an hébergement de données de santé rud a bhíonn rialaíthe ag alt L.1111-8 den Code de la santé publique, líonadh ag an dréacht n°2018-137 d'fhéachaint 26 Feabhra 2018. Ní mór do aon hébergeur agus sonraí sláinte a charachtar pearsanta ar chuntas gairmithe nó ghníomhairí sláinte a fháil siombail HDS arna broladh ag gníomhaireacht acraí ag COFRAC.

Braitheann an tsiombail HDS ar shé ghníomhaíochtaí hébergement (bonneagar fisiceach, bonneagar fíorúil, ardán hébergement, riarachán agus feidhmiú, cúlchóiriú, infogérance) agus baineann siad le tagairtí ISO/IEC 27001 agus ISO/IEC 27701. I gcomhair a réiteach de síniú leictreonach i gcomhréir le rialacháin Eorpacha, ní bhíonn a bheith ar bhronnadh ag gníomhaireacht deirmithe HDS roghnach nuair a bhíonn sonraí sláinte i ndoiciméadú siniúil.

Pointí comhfhreagra agus neamhréireachta idir FedRAMP agus HDS

Nochtar i gcomparáid idir an dá thagairt pointí substaintiúla comhfhreagra ach freisin neamhréireachtaí soiléire:

Pointí choitinn:

• Riachtanas bainisteoireachta dhochta ar rioscaí sláintechais ;
• Rialuithe rochtana agus prionsabal an bhagirt is lú ;
• Plean leantóireachta gníomhaíochtaí (PCA/BCP) agus plean aisghabhála i ndiaidh dochloichí (PRA/DRP) a thástáladh go tréimhsiúil ;
• Rian ar an rochtain do shonraí mothúchánach.

Neamhréireachtaí móra:

• Cónaí sonraí: Is mionbhréine geoghrafach é HDS ach tugann sé le tuiscint go foluain an AE; Éilíonn FedRAMP go hiondúil hébergement ar talamh Mheiriceá (FedRAMP High a dhéanann brú go minic ar GovCloud leagtha amach) ;
• Samhail an iniúchta: Úsáideann FedRAMP 3PAO acraí ag an chláir féin; Baineann HDS le gníomhairí tsiombalaithe acraí ag COFRAC ;
• Timthriall an athdhéanaimh: Cuireann FedRAMP faire leanúnach (ConMon) i bhfeidhm le tuarascálacha míosúla; Éilíonn HDS iniúchú athdhéanaimh trí bhliain.

Cuireann na neamhréireachtaí seo iallach ar réitigh agus ag gníomhú ar dhá mhargadh bonneagar scamall scartha a chothabhá nó a dhul i dtreo soláthraithe hypersacaile agus AWS GovCloud FedRAMP High ATO agus bonneagar deirmithe HDS san Eoraip araon.

Síniú leictreonach mar uirlis chomhréire i sreabhadh oibre sláinte

Luach probante agus díomaointeacht doiciméadúil

I dtimpeallacht rialaithithe cosúil le sláinte, braitheann luach dlíthiúil an tsínithe leictreonaigh ar dhá bholgán: an díomaointeacht doiciméadúil (gan bhogadh tar éis sínithe) agus an aithint níos fearr an tsiginatoire (fíorú). Is iad an dá riachtanas seo ag croílár an rialacháin eIDAS agus na gcaighdeán NIST a úsáidtear ag FedRAMP araon.

Idirdhealú an rialacháin eIDAS Uimh.910/2014 idir trí leibhéal sínithe: simplí (SES), ardleibhéil (AdES) agus cáilíochtúil (QES). San earnáil sláinte Eorpaigh, is gnách an síniú leictreonach ardleibhéil (AdES), i gcomhréir le gnáthóga ETSI EN 319 132 do na bhformáidí XAdES, CAdES agus PAdES, a bheith ina bhreithiúnas do dhoiciméadú leighis mothúchánach (socrú geal, orduithe leictreonacha, comhaid dhream cliniciúla).

Sa Stáit Aontaithe, is é an fhráma a bhaineann le tacaíocht na sínithe leictreonaigh san Idirlíon agus sa gnóthaí náisiúnta (ESIGN Act de 2000) agus an Dlí Aonfhillte ar Dhíolacha Leictreonacha (UETA), a aithnítear an bailíochta dlíthiúla ar shínithe leictreonaigh gan fhormáid theicneolaíochta ar leith. Áfach, i gcomhthéacs FedRAMP, cuireann na riachtanais theicneolaíochta sláintechais (criptea, trail iniúchta, MFA) i bhfeidhm de fhíor leibhéal comhionann le AdES Eorpach.

Fíorú gairmithe sláinte agus féiniúlacht dhigiteach

Is é ceann de na dúshláinte ar leith san earnáil sláinte an fíorú láidir gairmithe. Sa Fhrainc, is é an Carte de Professionnel de Santé (CPS) agus a dhual digiteach e-CPS, bainistithe ag ANS (Agence du Numérique en Santé), an bhunús féiniúlachta digiteach a aithnítear a fháil ar chóras sláinte agus doiciméadú leighis a shíniú. Comhtháthaíonn an e-CPS i réiteach sínithe leictreonaigh a sholáthraí chun an leibhéal sínithe cáilíochtúil (QES) a bhaint amach do chásanna a bhíonn fíor-luach probante ar fhéachaint dóibh.

Ar thaobh Mheiriceá, is é an PIV (Personal Identity Verification, FIPS 201) an caighdeán féiniúlachta bhreosclábhaile comhdhéanta. Déanann gníomhairí breosclábhaile sláinte iarraidh go minic ar fhíorú PIV do dhiollúintí an-bhreise mothúchánach, rud a dhéanann riachtanach do réitigh sínithe a bhí ag nascadh le feidhmeanna PIV.

I gcomhair eagraíochtaí agus a thuiscint a bhí ar na roghanna ar fad ar fáil, leiceann comparáid na réitigh sínithe leictreonaigh do réiteach na leibhéil fhíorú ar fhreastal ag gach ardán.

Bainistiú ar an timthriall saolré doiciméadúil sláinte

Ní scoiritear an comhréir FedRAMP/HDS ag an ghníomh sínithe. Clúdaíonn sé an bhealach ar fad timthriall doiciméadúil:

• Cruthú agus templating: Ní mór do shamhláidí socrú geal, foirmeacha glacadh nó prótacail dhream cliniciúla a bheith versioned agus iniúchtacha ;
• Síniú agus horodatage: Ní mór do gach síniú a bheith i measc horodatage cáilíochtúil (RFC 3161) ag gealadh an dáta cinnte den gníomh ;
• Cartlannadh probante: Ní mór do choimeád ar na fianaise sínithe (tuarascáil iniúchta, teastais, hash an doiciméid) a bheilh i gcomhréir leis na fadaimseartha dlíthiúla — 10 mbliain ar a laghad do chomhaid leighis sa Fhrainc (alt R.1112-7 CSP), 6 bhliain do thaifead HIPAA ;
• Athbhraistint agus neamhbhailí: Ní mór do dhroicheal OCSP (Online Certificate Status Protocol) nó CRL (Certificate Revocation List) a bheith ann chun bailíochta na dteastais a fhíorú ag an am an tsiombacha.

Foluain an cúrsa seo ar an timthriall doiciméadúil ar fad i ngealadh níos leithne ar síniú leictreonach do na cuideachtaí ar bhreathnaí orthu a bhith ag déanamh a bpróis doiciméadúil ar bhealach i gcomhréir.

Réiteach a thomhais agus a roghnú ar a bhíonn i gcomhréir FedRAMP agus HDS

Critéir theicneolaíocha an roghnaithe

Ag tabhairt dúbhal-thagairt FedRAMP/HDS fúinn, ní mór do ghníomhairí roghnaithe réiteach sínithe leictreonaigh san earnáil sláinte a bheilh i bhfoláireamh ar iomad toise:

Bonneagar agus hébergement:

• Siombail HDS gníomhach, infhíoraithe ar an ngearántas PSCE an ANS ;
• ATO FedRAMP doiciméadúil ar an margadh oifigiúil marketplace.fedramp.gov ;
• Scaradh na gcomhshaoil AE/US le polasaí aistrithe sonraí i gcomhréir leis an Data Privacy Framework (DPF) ;
• SLA ar fhíorúlacht ≥ 99.9 % le gealladh RTO < 4h agus RPO < 1h.

Feidhmeanna comhréire:

• Tacaíocht dhúchais ar leibhéalta AdES (XAdES, PAdES, CAdES) le horodatage RFC 3161 ;
• Nascadáin e-CPS agus PIV ar fhíorú gairmithe ;
• API REST doiciméadúil ar fhorghníomhú i SI ospidéal (DMP, SIH, PACS) ;
• Deasc iomrascáil le diosmirt tuarascáile iniúchta ar formáid bhunluachan.

Cumais chonarthacha:

• BAA HIPAA ar fáil go bunúsach ;
• DPA (Data Processing Agreement) RGPD i gcomhréir le halt 28 ;
• Clás iniúchta ag ligean do fhíoraithí neamhspleácha.

Comhtháthaíonn i córas faisnéise sláinte

Is é comhtháthaíonn ar réiteach sínithe i SI sláinte choimpléascach an fachtóir theoranta de ghnáth ar an tógáil. Braitheann feidhmeanna HL7 FHIR (Fast Healthcare Interoperability Resources), anois bunúsach sa Stáit Aontaithe faoi bhrú 21st Century Cures Act, agus comhtháthaím DMP/Mon Espace Santé sa Fhrainc, constraint idirghníomhaíochta nach mór don réiteach sínithe a chloí.

Is féidir le heagraíochtaí a bhíonn foras ag ceartú ar réitigh ann cheana (DocuSign, Adobe Sign) a bheilh i bhfábhar ar imirce i dtreo réitigh níos fearr oiriúnach ar riachtanais HDS, ag tabhairt ar bhogadh na cartlannaidh doiciméadúil agus ag breith ar bhonn ar chomhréir reachtúil.

Leiceann an áireamhán ROI ar Certyneo d'fhéachaint ar fhillteach ar infheistíocht ar leith, ag comhfheidhmiú ar chostais chur i bhfeidhm comhréire, guais táirbheachta agus laghdú ar bhaol dlíthiúil.

Fráma dlíthiúil ar a bhaineann le síniú leictreonach i sláinte: FedRAMP, HDS agus eIDAS

Teacsanna bunúsacha Eorpacha

I ndlí Francach agus Eorpach, braitheann an luach dlíthiúil an tsínithe leictreonaigh ar alt 1366 an Code civil, atá ag rá go «l'écrit électronique a la même force probante que l'écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu'il soit établi et conservé dans des conditions de nature à en garantir l'intégrité». Soiléiríonn alt 1367 an Code civil go bhfuil síniú leictreonach «consiste en l'usage d'un procédé fiable d'identification garantissant son lien avec l'acte auquel elle s'attache».

Ag leibhéal Eorpach, is é an Rialachán (AE) Uimh.910/2014 eIDAS (Electronic Identification, Authentication and Trust Services) an bhunúsacht ar aithnítear codómhainc na sínithe leictreonaigh idir Ball-Stáit. Sainmhíníonn sé na trí leibhéal sínithe (SES, AdES, QES) agus bunóinn an phrionsabail gur bhfuil síniú leictreonach cáilíochtúil «le même effet juridique que celui d'une signature manuscrite» (alt 25, §2). Leathnaíonn eIDAS 2.0 (Rialachán (AE) 2024/1183), a tháinig i bhfeidhm i Bealtaine 2024, an fráma seo le tabhairt isteach an Portefeuille Europeach d'Identité Numérique (EUDI Wallet), go díreach a chur i bhfeidhm san earnáil sláinte ar féiniúlacht othanna agus gairmithe.

Is iad an caighdeán teicneolaíochta tagartha arna bhroladh ag ETSI: ETSI EN 319 101 (polasaí ginearálta), ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) agus ETSI EN 319 142 (PAdES). Sainmhíníonn na caighdeáin seo na formáidí sínithe fad-fhada (LTA — Long Term Archive), ríthábhachtach chun a bheilh ar dhóchas gur bhfuil sínithe infhíoraithe thar tréimhsí choinneáil de 10 go 30 mbliain.

Cosaint na sonraí sláinte: RGPD agus dlí earnála

Rangaíonn an Rialachán (AE) 2016/679 (RGPD) na sonraí sláinte mar «sonraí a charachtar pearsanta ar bhaineann siad le sláinte» atá i measc na gcatagóirí speisialta (alt 9), ar bhannaithe a ndéantar an próiseas go príomha (toileadh, gá do chúram, spéis phoiblí i réimse na sláinte poiblí). Ní mór do gach réiteach sínithe agus sonraí sláinte a dhéantar a bheilh i gcomhréir leis an spriocanna íoschuí, teorannú na sainchúram agus sláintechais (alt 5 agus 32 RGPD), agus fo-thráitéoir a ainmniú tríd an DPA i gcomhréir le halt 28.

I ndlí Francach, cuireann alt L.1111-8 den Code de la santé publique brú ar úsáid hébergeur deirmithe HDS do gach stóráil sonraí sláinte ar charachtar pearsanta. Is féidir le gealladh an smacht seo a bheith faoi dhéana pian penal (alt L.1115-1 CSP).

Fráma Meiriceá: HIPAA, FedRAMP agus ESIGN Act

Sa Stáit Aontaithe, cuireann an HIPAA Security Rule (45 CFR Part 164) ábaltachtaí riaracháin, fisiceach agus teicneolaíochta i bhfeidhm ar an gcosaint ar ePHI (electronic Protected Health Information). Ní mór do sholáthraí réitigh scamall Business Associate Agreement (BAA) iachongbhuailte a shíniú.

Faoi FedRAMP Authorization Act (codaithe in 2022, 44 U.S.C. § 3607) is gá a bheith i gcomhréir FedRAMP maidir le seirbhís scamall ar bith a úsáidtear ag gníomhaireacht bhreosclábhaile. Is féidir le neamhréireachta ar chomhréir an ATO a thabhairt ar cúl agus an margadh breosclábhaile a bhaint. Baineann an ESIGN Act (15 U.S.C. § 7001 agus seq.) a bhailíochta dlíthiúla ar sínithe leictreonaigh i ndíolacha, i gcomhréir riachtanais fíorú ach faoi réir.

Ar deireadh, déanann an treoir NIS2 (Treoir (AE) 2022/2555), aistrithe i ndlí Francach ag dlí Uimh.2023-703 an 1 Lúnasa 2023, an brú a dhéantar ar dhualgas réamhshocraithe do ghníomhairí riachtanacha, catagóir ina bhfuil formhór na n-ospidéal atá i measc na nduine sárlichte. Cuireann sé fógra neamhphleanaithe faoin 24h i bhfeidhm do údaráis iniúchta (ANSSI sa Fhrainc) agus déanann sé freagraitheacht an stiúrthóirí i gcás neamhréireachta.

Cásanna úsáide: FedRAMP, HDS agus síniú leictreonach i sláinte

Cás 1: Grúpa ospidéal ollscoile a bhainistítear ag prótacail dhream cliniciúla trasoilíona

Grúpa ospidéal dar líon 1 200 leaba, páirtithe ag gníomhaireacht bhreosclábhaile dhream cliniciúla Mheiriceá (samhail-NIH-affiliated institution), ag seoladh triaileanna cliniciúla de phas III ar bhaineann ionannú mionn spéir sa Fhrainc agus sa Stáit Aontaithe. Is gá do gach ionannú othar socrú geal siniúil leictreonach, stóraite ar feadh 15 bhliain i gcomhréir leis an EIC E6(R2) ar Ghné Bhriosc Cliniciúil.

Roimh thogra réiteach de chomhréir FedRAMP/HDS, bhraithíonn an próiseas ar shínithe páipéir digithe, ag gealadh na bhfadadh meánmheandu de 4 go 7 lá oibre gach comhaid ionannúi agus ráta earráide doiciméadúil de 12 % (foirmeacha gur incompléte, sínithe ar iarraidh). Tar éis cur i bhfeidhm ar réiteach sínithe leictreonaigh ardleibhéil, ar fhógra ar bhonneagar deirmithe HDS san Eoraip agus ar fhógra ar ATO FedRAMP Moderate do choirnéil Mheiriceá:

• Laghdú ar dheasc ionannúi de 4-7 lá go níos lú ná 24 uair an chloig (gnóthachan 80 go 85 %) ;
• Ráta earráide doiciméadúil ar ais go níos lú ná 1 % buíochas a dhá sreabhadh bailíochtaithe go foincionáireacht ;
• Comhréir iniúchta: 100 % ar na socrú ar shínithe stóraite le horodatage RFC 3161 agus fianaise sínithe infhastaithe i 1 chliceanna do thuairimí rialtasácha FDA/ANSM.

Cás 2: Eagarthóir bagad leighis deirmithe a réiteach ag gníomhairí breosclábhaile US

Cuideachta shalach Francach speisealta i bhloganna agus riarachán na gcomhaid leighis leictreonaigh ba bhreathnaí ar dhíol a réiteach i n-ospidéal Veterans Affairs (VA) Mheiriceá. Is gá