FedRAMP atbilstība veselības aprūpē: elektroniskā parakstīšana

Konverģence starp amerikāņu mākoņa regulācijām un Eiropas veselības datu drošības standartiem pārdefinē ciparu rīku atlases kritērijus medicīnas nozarē. Organizācijām, kas darbojas ASV federālo tirgus un Eiropas tirgus krustpunktā — slimnīcām, farmaceitisko laboratoriju un starptautiskajiem veselības pakalpojumu sniedzējiem — FedRAMP atbilstība veselības nozarē ar elektronisko parakstīšanu ir kļuvusi par stratēģisku imperatīvu, nevis tikai formalitāti.

Šis raksts atšifrē FedRAMP programmas pamatus, tā saistību ar franču HDS (Sanātes datu glabāšanas servisa) sertifikāciju un to, kā drošā elektroniskā parakstīšana ietilpst šajā dubultajā regulācijas sistēmā. Tas ir paredzēts CIO, DPO, medicīnisko jautājumu direktorem un atbilstības vadītājiem, kuriem jāpieņem tehnoloģiski lēmumi ar lielām juridiskām un operacionālajām sekām.

FedRAMP programmas izpratne un prasības veselības nozarē

Kas ir FedRAMP?

Federal Risk and Authorization Management Program (FedRAMP) ir amerikāņu valdības programma, kuru 2011. gadā izveidoja Office of Management and Budget (OMB) vara. Tā standartizē mākoņa pakalpojumu drošības novērtēšanu, autorizāciju un nepārtrauktu uzraudzību amerikāņu federālajām aģentūrām. 2023. gadā tika parakstīts FedRAMP Authorization Act, galīgi kodificējot programmu federālajā likumā (44 U.S.C. § 3607).

Lai iegūtu FedRAMP autorizāciju, mākoņa pakalpojuma sniedzējam (CSP) jāpierāda atbilstība NIST SP 800-53 noteiktajiem drošības kontroles pasākumiem. Pastāv trīs ietekmes līmeņi: Low, Moderate un High. Federālajā veselības nozarē — kas ietver Department of Veterans Affairs (VA), Department of Health and Human Services (HHS), Centers for Medicare & Medicaid Services (CMS) — High līmenis tiek bieži prasīts PHI (Protected Health Information) jutīguma dēļ, ko sedz HIPAA likums.

HIPAA, FedRAMP un dokumentu atbilstības ķēde

Saistība starp HIPAA (Health Insurance Portability and Accountability Act no 1996. gada) un FedRAMP rada dubultu ķēdi SaaS elektroniskās parakstīšanas risinājumiem, kas izvietoti federālas veselības aprūpes kontekstā. HIPAA nosaka stingras PHI konfidencialitātes un drošības likumiem, bet FedRAMP sertificē, ka mākoņa infrastruktūra, uz kuras balstās risinājums, atbilst pārraudzāmiem un nepārtrauktiem drošības standartiem.

Praktiski, elektroniskās parakstīšanas sniedzējam, kas piedāvā elektroniskās parakstīšanas risinājumus veselības aprūpē amerikāņu federālajām iestādēm, jāveic šādi soļi:

• Iegūt vai balstīties uz ATO (Authority to Operate) FedRAMP, ko izdevusi sponsora aģentūra vai caur Joint Authorization Board (JAB) ;
• Parakstīt Business Associate Agreement (BAA) HIPAA ar klientu iestādēm ;
• Nodrošināt audit logging katram parakstīšanas aktam, ievērojot dokumentu integritātes prasības ;
• Garantēt datu rezidenci apstiprinātajos ģeogrāfiskajos apgabalos.

FedRAMP līmeņi un to ietekme uz elektronisko parakstīšanu

FedRAMP līmeņa izvēle tieši nosaka elektroniskās parakstīšanas sistēmas tehnisko arhitektūru. Augstākajā High līmenī prasības ietver:

• AES-256 šifrēšanu diem miera stāvoklī un TLS 1.2+ diem tranzīta laikā ;
• Daudzfaktoru autentifikāciju (MFA) obligāti visiem administratora piekļuves gadījumiem ;
• Nemainīgos audit žurnālus un minimālu 3 gadu glabāšanas periodu ;
• Ikmēneša ievainojamības skenēšanu un gada penetrācijas testus, ko veic akreditēti trešie puses (3PAO — Third-Party Assessment Organization) ;
• Nepārtrauktu drošības incidentu pārvaldību ar paziņošanu US-CERT līdz 1 stundai.

Šī tehniskā prasības rada dokumentu drošības standartu, kas bieži pārsniedz tikai Eiropas ietvarā prasītos, padarot dubulto FedRAMP/HDS atbilstību īpaši sarežģītu.

HDS un FedRAMP: dubultā atbilstība starptautiskajiem spēlētājiem

HDS sertifikācija: Francijas referenču standarts

Francijā veselības datu glabāšanu regulē Code de la santé publique 1111-8. pants, papildināts ar dekrētu n°2018-137 no 2018. gada 26. februāra. Jebkuram glabāšanas sniedzējam, kurš apstrādā veselības datus par profesionāļu vai veselības iestāžu vārdā, jāiegūst HDS sertifikācija, ko izdevusi COFRAC akreditēta organizācija.

HDS sertifikācija balstās uz sešām glabāšanas aktivitātēm (fiziskā infrastruktūra, virtuālā infrastruktūra, glabāšanas platforma, pārvaldība un ekspluatācija, datu dublēšana, ārpakalpojumi) un izmanto ISO/IEC 27001 un ISO/IEC 27701 standartus. Elektroniskās parakstīšanas risinājumam, kas atbilst Eiropas regulācijām, lai būtu glabāts pie HDS sertificēta sniedzēja, tas nav izvēle, kad parakstīti dokumenti satur veselības datus.

Līdzības un atšķirības starp FedRAMP un HDS

Salīdzinājums starp abiem standartiem atklāj nozīmīgas līdzības, bet arī pamanāmas atšķirības:

Kopējie punkti:

• Dokumentēta drošības risku pārvaldības prasība ;
• Stingas piekļuves kontroles un mazākā privilēģija princips ;
• Biznesa nepārtrauktības plāns (PCA/BCP) un ārkārtas atveseļošanas plāns (PRA/DRP), kas tiek regulāri testēti ;
• Traceability sensitīvās datus pieejamību.

Galvenās atšķirības:

• Datu rezidences vieta: HDS ir ģeogrāfiski neitrāls, bet netieši favorizē ES; FedRAMP parasti nosaka atrašanās vietu ASV augstsajā (FedRAMP High bieži nosaka GovCloud vietas) ;
• Audita modelis: FedRAMP izmanto 3PAO, akreditētas pašas programmas ; HDS balstās uz COFRAC akreditētiem sertifikācijas orgāniem ;
• Atjaunošanas cikls: FedRAMP nosaka nepārtrauktu uzraudzību (ConMon) ar mēneša pārskatiem ; HDS pieprasa trīsgadu atjaunošanas auditu.

Šīs atšķirības pieprasa risinājumiem, kas darbojas uz abiem tirgiem, uzturēt atsevišķas mākoņa arhitektūras vai izmantot hyperscaler sniedzējus, kuriem ir gan AWS GovCloud FedRAMP High ATO, gan HDS sertificēta infrastruktūra Eiropā.

Elektroniskā parakstīšana kā atbilstības rīks veselības aprūpes darbplūsmās

Pierādījuma vērtība un dokumentu integritāte

Regulētā vidē, kāda ir veselības aprūpe, elektroniskās parakstīšanas tiesiskā vērtība balstās uz diviem stūrakmeņiem: dokumentu integritāte (nealterēšana pēc parakstīšanas) un uzticama parakstītāja identificēšana (autentifikācija). Šie divi nosacījumi ir eIDAS regulējuma un FedRAMP izmantoto NIST standartu centrā.

eIDAS regulējums nr. 910/2014 izšķir trīs parakstīšanas līmeņus: vienkāršo (SES), paplašināto (AdES) un kvalificēto (QES). Eiropas veselības nozarē, paplašinātā elektroniskā parakstīšana (AdES), kas atbilst ETSI EN 319 132 standartiem XAdES, CAdES un PAdES formātiem, parasti tiek ieteikta jautriem medicīniskajiem dokumentiem (informēts piekrišana, elektroniskas receptes, klīnisko pētījumu vietas).

ASV piemērojamais pamats ir ESIGN Act (Electronic Signatures in Global and National Commerce Act no 2000. gada) un UETA (Uniform Electronic Transactions Act), kuri atzīst elektronisko parakstu juridisko derīgumu bez konkrēta tehniskā formāta prasības. Tomēr FedRAMP kontekstā, drošības tehniskās prasības (šifrēšana, audit trail, MFA) de facto nosaka līmeni, kas līdzvērtīgs Eiropas AdES.

Veselības aprūpes stāvokļa autentifikācija un digitālā identitāte

Viens no veselības nozares specifiskajiem izaicinājumiem ir uzticama profesionāļu autentifikācija. Francijā Sanātes profesionāļa karte (CPS) un tā digitālais ekvivalents e-CPS, ko pārvalda ANS (Agence du Numérique en Santé), ir pamats ciparu identitātei, kas atzīts veselības sistēmu piekļuvei un medicīnisko dokumentu parakstīšanai. e-CPS integrācija elektroniskās parakstīšanas sistēmā ļauj sasniegt kvalificētas parakstīšanas (QES) līmeni gadījumiem, kuros nepieciešama augstākā pierādījuma vērtība.

ASV PIV (Personal Identity Verification, FIPS 201) ir ekvivalents federālās identitātes standarts. Federālās veselības aģentūras bieži pieprasa PIV autentifikāciju augsti jautriem darījumiem, kas pieprasa elektroniskās parakstīšanas sistēmām integrēt savienojumus, kas saderīgi ar šo infrastruktūru.

Organizācijām, kas vēlas saprast visas pieejamās opcijas, elektroniskās parakstīšanas risinājumu salīdzinājums ļauj novērtēt autentifikācijas līmeņus, ko atbalsta katra platforma.

Veselības dokumentu dzīves cikla pārvaldība

FedRAMP/HDS atbilstība nepārtrūkst parakstīšanas akts. Tā aptver veselu dokumentu dzīves ciklu :

• Izveide un veidņu izmantošana: informēta piekrišanas, uzņemšanas formu vai klīnisko pētījumu protokolu veidnēm jābūt versijām un auditējamām ;
• Parakstīšana un laika marķēšana: katru parakstu jāpavada kvalificēts laika marķis (RFC 3161), kas garantē parakstīšanas akta noteiktu datumu ;
• Pierādījuma arhivēšana: parakstīšanas pierādījumu (audita ziņojums, sertifikāti, dokumenta heš) saglabāšanai jāievēro likumā noteiktie termiņi — vismaz 10 gadus medicīniskiem dosejiem Francijā (CSP 1112-7. pants), 6 gadus HIPAA ierakstiem ;
• Anulēšana un invalidācija: OCSP (Online Certificate Status Protocol) vai CRL (Certificate Revocation List) mehānismiem jāļauj pārbaudīt sertifikātu derīgumu parakstīšanas brīdī.

Šī patstāvīga dzīves cikla pieeja ieiet plašākā elektroniskā parakstīšana uzņēmumiem, vēloties industrializēt savus dokumentu procesus atbilstoši.

Atbilstoša risinājuma novērtēšana un izvēle, kas saderīga ar FedRAMP un HDS

Tehnisko izvēles kritēriji

Ņemot vērā FedRAMP/HDS dubultā pamata sarežģītību, elektroniskās parakstīšanas sistēmas izvēles kritēriji veselības nozarei jāaptver vairākas dimensijas:

Infrastruktūra un glabāšana:

• Aktīva HDS sertifikācija, pārbaudāma ANS PSCE reģistrā ;
• Dokumentēta ATO FedRAMP uz oficiālā marketplace.fedramp.gov ;
• ES/US vides atdalīšana ar datu pārsūtīšanas politikām, kas atbilst Data Privacy Framework (DPF) ;
• SLA pieejamības ≥ 99,9 % ar RTO < 4h un RPO < 1h apņemšanās.

Atbilstības funkcionalitāte:

• AdES (XAdES, PAdES, CAdES) līmeņu nacionālo atbalstu ar RFC 3161 laika marķēšanu ;
• e-CPS un PIV savienotājus profesionāļu autentifikācijai ;
• REST API dokumentēts integrācijai hospitāļu SI sistēmās (DMP, SIH, PACS) ;
• Atbilstības kontrolpaneli ar audita pārskata eksportu standarta formātā.

Līgumiskās iespējas:

• HIPAA BAA pieejams standartā ;
• RGPD atbilstoša DPA (Data Processing Agreement) saskaņā ar 28. pantu ;
• Audita klauzula, kas ļauj veikt neatkarīgu pārbaudī.

Integrācija veselības informācijas sistēmās

Elektroniskās parakstīšanas sistēmas integrācija sarežģītā veselības SI ir bieži ierobežojošais adopcijas faktors. HL7 FHIR (Fast Healthcare Interoperability Resources) saskarnes, kas ir standarts ASV saskaņā ar 21st Century Cures Act, un DMP/Mon Espace Santé integrācijas Francijā, nosaka savstarpējības ierobežojumus, ko jāievēro parakstīšanas sistēmai.

Organizācijas, kas jau ir aprīkotas ar esošiem risinājumiem (DocuSign, Adobe Sign), var gūt labumu no migrācijas uz risināju, kas labāk atbilst HDS prasībām, ļaujot saglabāt dokumentu arhīvus, vienlaikus uzlabojot normatīvo atbilstību.

Certyneo pieejamais ROI kalkulators ļauj precīzi novērtēt šādas migrācijas ieguldījuma atmaksas periodu, ņemot vērā atbilstības izmaksas, produktivitātes pieaugumu un juridiskā riska samazināšanu.

Juridiskais pamats, kas piemērojams elektroniskajai parakstīšanai veselības aprūpē: FedRAMP, HDS un eIDAS

Pamatlikumi Eiropā

Francijas un Eiropas tiesībās elektroniskās parakstīšanas juridiskā vērtība balstās uz Civil Code 1366. pantu, kas noteic, ka "elektroniskajam rakstam ir tāda pati pierādījuma spēka kā papīra rakstam, ar nosacījumu, ka var tikt pareizi identificēta persona, no kuras tas ir saņemts, un ka tas ir établi un saglabāts tādos apstākļos, kas garantē tā integritate". Civil Code 1367. pants precizē, ka elektroniskais paraksts "ir uzticamas identifikācijas procesa izmantošana, kas garantē tā saistību ar aktu, pie kura tas ir pievienots".

Eiropas līmenī Regulējums (ES) nr. 910/2014 eIDAS (Electronic Identification, Authentication and Trust Services) ir skatlis ciparu parakstu savstarpējās atzīšanas starp dalībvalstīm pamatam. Tas definē trīs parakstīšanas līmeņus (SES, AdES, QES) un izveido principu, ka kvalificēts ciparu paraksts "ir tiesiska ietekme, kas līdzvērtīga rokrakstam" (art. 25, §2). eIDAS 2.0 regulējums (Regulējums (ES) 2024/1183), spēkā stājies maijā 2024, paplašina šo pamatu ar Eiropas ciparu identitātes maka (EUDI Wallet) ieviešanu, tieši piemērojamu veselības nozarei pacientu un profesionāļu identifikācijai.

Atsauces tehniskos standartus publicē ETSI: ETSI EN 319 101 (vispārējā politika), ETSI EN 319 132 (XAdES), ETSI EN 319 122 (CAdES) un ETSI EN 319 142 (PAdES). Šie standarti definē ilgtermiņa parakstu formātus (LTA — Long Term Archive), būtiskus, lai garantētu parakstu pārbaudāmību glabāšanas periodos 10 līdz 30 gadiem.

Veselības datu aizsardzība: RGPD un sektoriālās tiesības

Regulējums (ES) 2016/679 (RGPD) klasificē veselības datus kā "personas datus par veselību", kas pakļauts īpašajām kategorijām (art. 9), kuru apstrāde ir principā aizliegta, izņemot skaidrus izņēmumus (piekrišana, nepieciešamība aprūpei, sabiedrības interese veselības publiskajā nozarē). Jebkura parakstīšanas sistēma, kas apstrādā veselības datus, jāievēro minimizācijas, mērķa ierobežojuma un drošības principi (art. 5 un 32 RGPD), un jānorāda apakšuzņēmējs caur RGPD 28. pantu atbilstoši DPA.

Franču tiesībās Code de la santé publique 1111-8. pants nosaka, ka visas veselības datus apstrādājošas personas datus fiziskai personai jāizmanto HDS sertificēts glabāšanas sniedzējs. Šīs prasības pārkāpšana ir sēcīga ar sodu (CSP 1115-1. pants).

Amerikāņu pamats: HIPAA, FedRAMP un ESIGN Act

ASV HIPAA Security Rule (45 CFR Part 164) nosaka administratīvus, fiziskus un tehniskus garantijas ePHI (electronic Protected Health Information) aizsardzībai. Mākoņa risinājumu sniedzējiem jāparaksta obligāts Business Associate Agreement (BAA).

FedRAMP Authorization Act (kodificēts 2022. gadā, 44 U.S.C. § 3607) padara FedRAMP atbilstību obligātu jebkuram mākoņa pakalpojumam, kuru izmanto federāla aģentūra. Atbilstības pārkāpumi var noslēgties ar ATO anulēšanu un federālā tirgus aizliedzību. ESIGN Act (15 U.S.C. § 7001 un sek.) garantē elektronisko parakstu juridisko derīgumu komercījā un federālajos darījumos, nenosaka tehnisko formātu, bet jāievēro autentifikācijas prasības.

Visbeidzot, NIS2 direktīva (Direktīva (ES) 2022/2555), transponēta franču tiesībās ar likumu n°2023-703 no 2023. gada 1. augusta, stiprina cybersecurity pienākumus būtiskām iestādēm, kategorijā, kurā ietilpst lielākā daļa nozīmīgu medicīnas iestāžu. Tā nosaka incidenta paziņošanu 24 stundu laikā kompetentajām iestādēm (ANSSI Francijā) un iesaista vadības atbildību pienākumu pārkāpumu gadījumā.

Lietošanas scenāriji: FedRAMP, HDS un elektroniskā parakstīšana veselības aprūpē

1. scenārijs: Universitātes slimnīcu grupa, kas pārvalda klīnisko pêtījumu protokolus transatlantisks

Slimnīcu grupa, apmēram 1200 gultas, tas ir Amerikas federālās medicīnas pētniecības aģentūras (tipa NIH affiliated institution) partneris, veic 3. fāzes klīniskos pētījumus, kas ietver izmeklējošos centrus Francijā un ASV. Katrs pacienta iekļaušana prasa elektroniskā parakstā norādītu informētu piekrišanu, kas glabāta 15 gadus saskaņā ar ICH E6(R2) klīnisko prakses labas prakses prasībām.

Pirms atbilstoša FedRAMP/HDS risinājuma ieviešanas, process balstījās uz parakstītiem papīriem, kas skenēti, radot vidējos kavējumus 4 līdz 7 darba dienu iekļaušanas dosē un 12% dokumentu kļūdu rīcību (nepilnīgi formulāri, trūkstošie paraksti). Pēc elektroniskās parakstīšanas sistēmas ieviešanas ar paplašinātu līmeni, kas glabāta Eiropas HDS sertificētā infrastruktūrā un ar ATO FedRAMP Moderate amerikāņu centru:

• Iekļaušanas kavējuma samazināšana no 4-7 dienām uz mazāk par 24 stundām (ieguvums 80 līdz 85%) ;
• Dokumentu kļūdu rīcība samazināta uz mazāk par 1% pateicoties automātas validācijas darbplūsmām ;
• Audita atbilstība: 100% piekrišanas glabājas ar RFC 3161 laika marķi un paraksta pierādījums eksportējams 1 klikā FDA/ANSM inspekcijai.

2. scenārijs: Medicīnas programmatūras redaktors, sertificējot savu risinājumu pie ASV federālajām aģentūrām

Medicīnas datorprogrammatūras uzņēmums, kas specializējies elektronisko medicīnisko dokumentu vadības sistēmās, vēlas pārdot savu risinājumu Veterans Affairs (VA) amerikāņu slimnīcām. Piekļuve šim federālajam tirgum pieprasa FedRAMP High ATO, ņemot vērā, ka sistēma ietver elektroniskās parakstīšanas moduli receptēm un operatīvajiem atskaitiem.

Uzņēmums piesaista SaaS elektroniskās parakstīšanas redaktoru, kas jau ir FedRAMP High ATO, kā tehnisko apakšuzņēmēju, kas ļauj tam izmantot atgaliskās atbilstības programmu (inherited controls), kas samazina kontroles virsmu par 40%, kas jāauditē tā paša 3PAO. Kopējās sertifikācijas deklarācijas izmaksas tādējādi tiek samazinātas par 35 līdz 50% salīdzinājumā ar neatkarīgu sertifikāciju, un ATO iegūšanas laiks tiek saīsināts no 18 mēnešiem uz aptuveni 10 mēnešiem.

3. scenārijs: Medicīnas laboratoriju tīkls, dematerializējot biologu pārskatus

Privāta laboratoriju analīžu tīkls, apmēram 45 laboratorijas, kas sadalītas vairākos Francijas apgabalos, ķ gals, ka iespiesta medicīniskā biologa elektroniskā paraksti uz katra rezultātu pārskata, saskaņā ar Code de la santé publique L.6211-9. pants. Ar aptuveni 8000 rezultātu pārskatiem, ko saražo katrā dienā, atlasītajam risinājumam jāatbalsta masveida parakstīšana, garantējot katra biologa individuālu autentifikāciju caur e-CPS.

Elektroniskās parakstīšanas sistēmas integrācija, kas saderīga e-CPS ar glabāšanu pie HDS sertificēta sniedzēja, ļauj:

• Parakstīt 8000 dokumentu/dienā ar apstrādes laikiem, kas mazāki par 3 sekundēm dokumentam ;
• Pilns audit trail eksportējams ANSM un Haute Autorité de Santé inspekcijai ;
• Drukāšanas un pasta sūtīšanas izmaksu samazināšana par aptuveni 60 000 € gadā tīkla mērogā, saskaņā ar parasti novērotajiem rādītājiem sektora pārskatā par dematerializāciju (ANAP 2024. gada pārskats).

Secinājums

FedRAMP atbilstība veselības nozarē ar elektronisko parakstīšanu ir viens no sarežģītākajiem normatīvajiem izaicinājumiem organizācijām, kas darbojas transatlantiskā mērogā. Tas pieprasa vienlaikus pārvaldīt amerikāņu pamatus (FedRAMP, HIPAA, ESIGN Act) un Eiropas pamatus (eIDAS, HDS, RGPD, NIS2), kā arī tehnisko arhitektūru, kas spēj apmierināt abu vidu prasības bez kompromisiem drošībai vai parakstīto aktu juridiskajai vērtībai.

Organizācijas, kas paredz šo dubulto atbilstību, ieguvis apgrieztību līgumos, ticamību sabiedrības partneru acīs un izturību pret normatīvajiem auditu. Elektroniskā parakstīšana, tālu no tā, lai būtu vienkāršs dematerializācijas rīks, kļūst par strukturējošu sviru dokumentu vadības valdībai veselības aprūpē.

Certyneo pavada veselības aprūpes sektora dalībniekus elektroniskās parakstīšanas darbplūsmu ieviešanā, kas atbilst HDS, eIDAS un FedRAMP prasībām. Sazinieties ar mūsu ekspertiem jūsu normatīvās situācijas analīzei un personalizētai demonstrācijai.