لسنوات، عملت مؤسسات الرعاية الصحية على افتراض أنه إذا قمت بملء الأوراق الصحيحة، سواء كان ذلك تقرير SOC 2، أو شهادة HITRUST (تحالف ثقة المعلومات الصحية)، أو اتفاقية شركاء الأعمال الموقعة (BAA)، فإن بيانات المريض الخاصة بك ستكون آمنة، ومن هناك، تمضي عملية مراجعة البائع للأمام. لقد انهار هذا الافتراض مع فضيحة Delve.
بالنسبة لأولئك الذين ليسوا على دراية بـ Delve، فهي عبارة عن منصة أتمتة امتثال ممولة تمويلًا جيدًا (جمعت الشركة مؤخرًا 32 مليون دولار بتقييم 300 مليون دولار) مصممة لمساعدة الشركات الناشئة على الامتثال بشكل أسرع 10 مرات وبجزء صغير من تكلفة الأدوات الحالية. في عالم غالبًا ما تتفوق فيه السرعة على الجودة، لم يكن النجاح الفوري الذي حققته شركة Delve مفاجئًا، وقد أعمت وعودها الناس عن رؤية ما كان يحدث خلف الكواليس – فقد اتُهمت شركة Delve مؤخرًا بتزوير تقارير التدقيق بشكل منهجي لمئات العملاء.
تم الكشف عن هذا الاكتشاف من قبل مجموعة من العملاء السابقين يطلق عليها اسم DeepDelver، والتي نشرت تحقيقًا تفصيليًا يعتمد على جدول بيانات داخلي مسرب يضم 494 تقريرًا من تقارير SOC 2. ومن بين هذه، كانت جميعها متطابقة تقريبًا باستثناء واحدة. وتضمنت نفس الفقرات، وأخطاء نحوية، وأوصاف غير متماسكة. بل إن هناك استنتاجات مكتوبة مسبقًا وإجراءات اختبار مدرجة في التقرير قبل أن تتاح للعملاء الفرصة لتقديم أي دليل. وهذا يشبه إجراء اختبار حيث يتم تضمين الإجابات قبل أن تبدأ.
بالنسبة لمؤسسات الرعاية الصحية، يعد التعرض حقيقيًا للغاية، ويمكن أن تكون العواقب وخيمة. يمكن العثور على أي كيان يعتمد على وثائق امتثال البائع الملفقة أو غير الكافية مسؤولاً من قبل الهيئات التنظيمية الفيدرالية بموجب عقوبة الإهمال المتعمد الخاصة بـ HIPAA، مع غرامات تصل إلى 50000 دولار لكل انتهاك وتواجه المنظمات مسؤولية جنائية محتملة.
كيف وصلنا إلى هنا؟
إن شركة Delve هي المثال الأكثر وضوحاً والأحدث لمشكلة أكبر بكثير بدأت مع ظهور شركات أتمتة الامتثال. ووعدت هذه الشركات بالسرعة والتوفير، وهو الاتجاه الذي كافأته السوق. ولكن عندما يكون الهدف هو التقرير وليس الموقف الأمني الذي يقف وراءه، فإن التقرير لم يعد يعكس الواقع. وفي حالة شركة Delve، كانت التقارير مختلقة تمامًا. إن هيكل الحوافز الذي مكّنها لا يقتصر على شركة واحدة. إنه يشمل الصناعة بأكملها، والرعاية الصحية ليست استثناءً.
مشكلة بي ايه ايه
لا تتوقف هذه المشكلة عند طبقة الشهادة. فهو يؤثر على الشبكة بأكملها التي تعتمد عليها مؤسسات الرعاية الصحية، بدءًا من اتفاقية شراكة الأعمال (BAA) والتفاقم مع تحرك PHI نحو مجرى النهر. وذلك لأنه في عام 2013، قامت HIPAA Omnibus بتوسيع المسؤولية لتشمل كل بائع ومقاول من الباطن. المشكلة هي أن مؤسسات الرعاية الصحية لديها رؤية تقترب من الصفر حول كيفية تدفق البيانات خارج البائعين المباشرين.
وهنا كيف تلعب بها. يقوم النظام الصحي بتوقيع اتفاقية شراكة الأعمال (BAA) من خلال نظام أساسي للفوترة يستخدم مورد البنية التحتية السحابية، وموفر أمان مُدار، وأداة لتحليل البيانات. وعند كل حلقة في السلسلة، تتضاءل رؤية النظام الصحي. تقول BAA أن الالتزام يتبع البيانات، ولكن في الواقع، لا تستطيع معظم الأنظمة الصحية أن تؤكد بثقة أن المعلومات الصحية المحمية يتم التعامل معها بشكل آمن كما هو مطلوب بموجب قانون HIPAA.
تواجه HITRUST نفس التآكل
إن HITRUST، الذي اعتبر منذ فترة طويلة معيارًا أكثر صرامة، يواجه نفس المشكلات التي يواجهها SOC 2. يؤدي ضغط السرعة والمنافسة في التكلفة والجودة غير المتسقة إلى تآكل العمل الشامل الذي جعل الشهادة ذات معنى. أصبحت عبارة “HITRUST في 90 يومًا” عرضًا تسويقيًا، ووعدًا بتقليل المشروع الذي قد يستغرق من 6 إلى 18 شهرًا إلى ثلاثة أشهر فقط أو أقل. وفي هذه العملية، تختلف الدقة التي يفحص بها المقيمون الأدلة من شركة إلى أخرى.
وقد استجابت HITRUST من خلال تشديد برنامجها وإدخال مراجعات ضمان الجودة. هذه التصرفات هي اعتراف واضح بأن التآكل حقيقي. لا تقوم هيئات إصدار الشهادات بإصلاح ضوابط الجودة الخاصة بها إلا إذا تدهورت الجودة.
نمط أوسع
تظهر نفس الديناميكية عبر النظام البيئي. يتنافس مقدمو الخدمات المتوسطة السعر على السعر، ويظهر هذا الضغط بشكل مباشر في مدى دقة مراقبتهم الفعلية. يبيع مستشارو الامتثال حزم “HIPAA in a box” التي تنتج الوثائق دون بناء برنامج حقيقي وراءها. إن غرف المقاصة التي تتعامل مع معاملات PHI تخضع لنفس ضغط الهامش. وعندما تصبح السرعة والتكلفة الرافعتين الأساسيتين للمنافسة، فإن العمل الجوهري الذي جعل هؤلاء الوسطاء جديرين بالثقة في المقام الأول يختفي تمامًا.
تغيير الرعاية الصحية والتعرض للسجل الصحي الإلكتروني
تغيير الرعاية الصحية هو ما يبدو عليه هذا على نطاق واسع. أدى الهجوم إلى إيقاف معالجة المطالبات عبر جزء كبير من نظام الرعاية الصحية في الولايات المتحدة، وحصل البائع على الشهادات التي تتوقعها. الأوراق لم تكن المشكلة. كانت المشكلة هي أنه لم يكن لدى أي شخص رؤية حقيقية حول ما إذا كانت الضوابط الكامنة وراء الأوراق تعمل بالفعل.
إن تكامل السجلات الصحية الإلكترونية والسجلات الطبية الإلكترونية يجعل الأمر أسوأ من حيث التصميم. يتمتع هؤلاء البائعون بإمكانية الوصول المباشر وفي الوقت الفعلي إلى بيانات المرضى الحية. عندما تكون شهادة التحكم لأحدها ضعيفة أو لم يتم التحقق منها، فهذه ليست فجوة امتثال في جدول البيانات. إنه باب مفتوح.
ما الذي يجب على منظمات الرعاية الصحية فعله الآن؟
يجب التعامل مع SOC 2 وHITRUST وBAAs كنقاط بداية، وليس إشارات ثقة. يخبرونك بما يدعيه البائع بشأن ضوابطه. ولا يخبرونك ما إذا كانت هذه الضوابط تعمل بالفعل اليوم أو ما إذا كان الدليل الكامن وراء الشهادة حقيقيًا. والسؤال الوحيد الذي يهم في مخاطر البائع هو ما إذا كان البائع يفعل بالفعل ما تدعيه وثائقه، وما إذا كان من الممكن التحقق من ذلك من خلال الأدلة المباشرة. في مجال الرعاية الصحية، هذا هو المعيار الوحيد الذي يخبرك ما إذا كان البائع آمنًا بالفعل للوثوق به فيما يتعلق ببيانات المرضى.
الصورة: بوركوريكس، غيتي إيماجز
كلارنس تشيو هو المؤسس المشارك والرئيس التنفيذي لشركة Coverbase، الشركة الرائدة في مجال المشتريات والمخاطر في مجال الذكاء الاصطناعي والتي جمعت مؤخرًا 20 مليون دولار من كبار المستثمرين لأتمتة 90٪ من إدارة البائعين. قبل ذلك، شارك في تأسيس Unit21، وهي شركة مدعومة من Google قامت بجمع 92 مليون دولار لمساعدة المؤسسات المالية الكبرى على مكافحة الاحتيال وغسل الأموال باستخدام الذكاء الاصطناعي. حصل على درجات علمية في علوم الكمبيوتر والذكاء الاصطناعي من جامعة ستانفورد، ونشر كتاب “التعلم الآلي والأمن” مع شركة O’Reilly Media، ويقوم بتدريس الذكاء الاصطناعي والأمن في جامعة كاليفورنيا في بيركلي.
تظهر هذه المشاركة من خلال المؤثرون في MedCity برنامج. يمكن لأي شخص نشر وجهة نظره حول الأعمال والابتكار في مجال الرعاية الصحية على MedCity News من خلال MedCity Influencers. انقر هنا لمعرفة كيف.
