Temel Sağlık Hizmetleri BT Standartları ve Düzenlemelerine Yönelik Bir Kılavuz

1980'lerde, ERP'ler ve EHR'ler, modern sağlık hizmeti BT çağını başlattı. Günümüzde klinik bakım, hasta güvenliği ve kalite iyileştirme neredeyse tamamen bilgisayarlara devrediliyor.

Yine de, mevcut iletişim teknolojileri dizisine rağmen, sağlık verilerini yönetmenin ve aktarmanın evrensel bir yolu yoktur. Sorunsuz veri alışverişini engelleyen en büyük engel, klinik bilgileri depolamak, kodlamak ve paylaşmak için sağlık hizmeti veri standartlarının düzensiz bir şekilde benimsenmesi olmuştur.

Federal hükümet, sağlık sistemlerini entegre etme konusunda ilerlerken, birçok sağlık hizmeti BT standardında gezinme ihtiyacı sağlam bir şekilde duruyor.

Bu blog gönderisi, sağlık hizmeti teknolojisini geliştirirken ve kullanıma sunarken sağlık yazılım şirketleri ve tıbbi kuruluşlar için hayati önem taşıyan sağlık hizmetleri BT standartlarını ve düzenlemelerini listeler. Hadi dalalım!

Veri güvenliğini yöneten sağlık hizmetleri BT standartları

HIPAA

Bir zamanlar işini kaybeden işçiler için sağlık sigortasını koruyan bir yasa, HIPAA veya Sağlık Sigortası Taşınabilirlik ve Karlılık Yasası olarak başlayan şey, şimdi muhtemelen sağlık bilgilerini koruyan en iyi bilinen yasadır. Kişisel olarak tanımlanabilir sağlık bilgilerinin (PHI) saklanması, paylaşılması, yönetilmesi ve kaydedilmesi için standartlar belirler.

Bu nedenle, sağlık verilerinin işletilmesine veya bu tür verilerle ilgilenen yazılımların sağlanmasına dahil olan herhangi bir kuruluş, gerekli sağlık bilgi teknolojisi düzenlemelerinin karşılandığından emin olmalıdır. HIPAA birkaç bileşenden oluşur:

• Güvenlik Kuralı
• Gizlilik Kuralı
• İhlal Bildirim Kuralı
• Omnibüs Kuralı
• Uygulama Kuralı

Sağlık yazılımlarına bağlı olanlar Güvenlik, Gizlilik ve İhlal Bildirim Kurallarıdır.

HIPAA Güvenlik Kuralı

Güvenlik kuralı, PHI'yi korumaya yönelik önlemleri ana hatlarıyla belirtir ve üç bölümden oluşur: teknik, fiziksel ve idari önlemler.

Teknik güvenlik önlemleri

Teknik önlemler, sağlık kuruluşlarının dahili sunucuların ötesine geçtiğinde elektronik PHI'yi şifrelemesini gerektirir. Kuruluşlar, aşağıdaki gereksinimlerin uygulanması için uygun araçları seçmekte özgürdür:

• Erişim kontrolü (gerekli), PHI'ya erişimi olan her kullanıcının benzersiz bir ada ve parolaya sahip olmasını sağlar. Sağlık hizmetleri veri standardı ayrıca, acil bir durumda PHI'nın serbest bırakılmasını ve ifşa edilmesini yöneten prosedürlerin uygulanmasını gerektirir.
• ePHI kimlik doğrulaması (adreslenebilir), PHI'nin değiştirilip değiştirilmediğini veya sabote edilip edilmediğini doğrulamak için mekanizmalar oluşturmayı gerektirir
• Şifreleme ve şifre çözme (adreslenebilir), dahili bir sunucunun ötesinde gönderilen mesajları şifrelemek ve şifresini çözmek için işlevsellik sağlar.
• Etkinlik günlükleri ve denetim kontrolleri (gerekli) PHI erişim girişimlerini kaydeder ve verilere erişildikten sonra verilerde yapılan değişiklikleri kaydeder
• Otomatik oturum kapatmalar (adreslenebilir), bir cihaz gözetimsiz bırakıldığında kişisel sağlık bilgilerinin tehlikeye girmesini önler

Fiziksel güvenlik önlemleri

Fiziksel güvenlik önlemleri, PHI'ye fiziksel erişimin güvence altına alınmasına odaklanır ve mobil cihazları ve iş istasyonlarını güvence altına almak için önlemler düzenler. Sağlık kuruluşları aşağıdakileri uygulamakla yükümlüdür:

• Tesis erişim kontrolleri (adreslenebilir)
• İş istasyonlarını bulma ve kullanma yönergeleri (gerekli)
• Mobil cihazların kullanımına ilişkin prosedürler (gerekli)
• Envanter ve donanım politikaları (adreslenebilir)

İdari önlemler

İdari güvenceler, PHI koruması için üst düzey önlemler ortaya koymaktadır. Talep ederler:

• Risk değerlendirmesi yapılması (gerekli)
• Risk yönetimi politikasının tanıtılması (gerekli)
• Sağlık verilerinin güvenli bir şekilde ele alınması konusunda çalışanları eğitmek (adreslenebilir)
• Acil durum planının geliştirilmesi (gerekli)
• Acil durum planının test edilmesi (adreslenebilir)
• Verilere üçüncü taraf erişimini kısıtlama (gerekli)
• Güvenlik olaylarını bildirme (adreslenebilir)

HIPAA Gizlilik Kuralı

HIPAA sağlık verileri standardının Gizlilik Kuralı, PHI'nın nasıl kullanılabileceği ve ifşa edilebileceğine ilişkin önlemleri özetlemektedir. Gizlilik Kuralı uyarınca, sağlık kuruluşlarının şunları yapması gerekir:

• Çalışanları, bir kuruluşun güvenlik mekanizması dışında hangi bilgilerin paylaşılıp paylaşılamayacağını bilmeleri için eğitin.
• PHI bütünlüğünü korumak için uygun önlemleri uygulayın
• Sağlık bilgileri pazarlama, bağış toplama veya araştırma için kullanılmadan önce hastalardan yazılı izin alındığından emin olun.

HIPAA İhlal Bildirimi Kuralı

İhlal Bildirimi Kuralı, sağlık kuruluşlarının, PHI'ları tehlikeye girerse hastaları bilgilendirmesini gerektirir. Ayrıca kuruluşların, PHI ihlallerini Sağlık ve İnsan Hizmetleri Departmanına derhal bildirmelerini ve ihlalin beş yüzden fazla hastayı etkilemesi durumunda medyaya bir bildirimde bulunmalarını gerektirir.

HITECH

Ekonomik ve Klinik Sağlık için Sağlık Bilgi Teknolojisi Yasası 2009'da imzalandı. Yeni sağlık hizmetleri BT yönetmeliği, “sağlık bilgi teknolojisinin benimsenmesini ve anlamlı kullanımını” teşvik etmeyi ve HIPAA'nın daha sıkı uygulanmasını sağlamayı amaçladı. Kanun, sağlık hizmeti sağlayıcılarının HIPAA'nın Gizlilik ve Güvenlik kurallarına uyup uymadıklarını araştırmak için güvenlik denetimleri yapmasını gerektiriyor.

Bu nedenle, HITECH, HIPAA'nın bir uygulama kanadı olarak kabul edilebilir. Sağlık BT yönetmeliği ayrıca sağlık kuruluşlarına EHR'ye geçmenin maliyetini ve hem sağlık hizmeti sağlayıcıları hem de yazılım satıcıları için daha katı veri güvenliği gereksinimleri ve cezaları ortadan kaldırmaları için mali teşvikler sağlar. HITECH kapsamında, hastaların verilerine yetkisiz erişim konusunda bilgilendirilmeleri gerekir ve kişisel sağlık bilgileri ancak güvenli yöntemlerle paylaşılabilir.

GDPR

Genel Veri Koruma Yönetmeliği, AB'deki tüm konu verilerini kontrol eden kritik sağlık BT düzenlemelerinden biridir ve sağlık bilgileri kapsamına girer. GDPR'nin yalnızca AB'de yerleşik kuruluşlar için değil, AB'de yerleşik bireyleri hedef almaları durumunda AB dışındaki kuruluşlar için de geçerli olduğunu hatırlamakta fayda var. Bir kuruluşun GDPR uyumluluğunu sağlamak için atması gereken kritik adımlar:

• Özel bir Veri Koruma Görevlisi atama
• Bir veri koruma etki değerlendirmesi (DPIA) yürüterek verilerle ilgili riskleri değerlendirmek
• Bir veri güvenliği stratejisi tasarlayın ve hayata geçirin
• Veri ihlallerini 72 saat içinde bildirin.

Tıbbi cihazları ve yazılımları tıbbi cihaz olarak kontrol eden sağlık hizmetleri BT düzenlemeleri (SaMD)

FDA

ABD Gıda ve İlaç İdaresi, gıdadan ilaca ve kozmetiğe kadar her şeyi düzenler. Sağlık hizmeti BT sağlayıcılarını ilgilendiren şey, kuruluşun tıbbi cihazlar ve tıbbi cihazlar olarak işlev gören yazılım uygulamaları için sağlık BT standartlarını incelemesi ve belirlemesidir. Bu nedenle, yazılımınız tıbbi bir görevi yerine getiriyorsa ve bu yazılımın amaç dışı kullanımı yüksek risklere bağlıysa, FDA izni almanız gerekecektir.

FDA düzenlemelerine giren bir yazılım örneği, bir kan basıncı manşonunun şişirilmesini ve indirilmesini kontrol etmeye yardımcı olan bir uygulamayı veya bir insülin pompasında insülin iletimini yönlendiren bir mobil uygulamayı içerebilir. Ürününüzü FDA onayına tabi kılan tüm özellikleri buradan inceleyebilirsiniz.

Öte yandan, yazılımınız tıbbi cihaz tanımını karşılamıyorsa veya halk için düşük risk oluşturuyorsa, FDA onayı için başvurmanız gerekmeyebilir. FDA sertifikasının dışında bırakılan uygulamalar, hastaların belirli tedavi önerileri sunmadan kendi durumlarını yönetmelerine yardımcı olan mobil uygulamaları veya sağlık hizmeti sağlayıcılarına günlük görevlerini otomatikleştirmede yardımcı olan uygulamaları içerebilir. FDA onayı almak için,

Cihazınızı veya SaMD'yi sınıflandırın

Sağlık hizmeti uygulama geliştirme yolculuğunuzun başlangıcında yazılımınızı veya cihazınızı sınıflandırın. Ürününüzün özelliklerine bağlı olarak, yürütülecek tıbbi yazılım düzenlemelerini belirleyen I, II veya III sınıfına girebilir. Bir cihazın içinde bulunduğu sınıf, kullanım amacına ve daha da önemlisi risklerine bağlıdır. Sınıf I, en düşük riske sahip cihazları ve sınıf III - en yüksek olanları kapsar. Ürün sınıfını belirlemek için doğrudan sınıflandırma veri tabanına gidebilir ve cihazı isme göre arayabilirsiniz.

Alternatif olarak, panel listesine gidebilir ve cihazınızın ait olduğu bir panel veya tıbbi uzmanlığa göre arama yapabilirsiniz. Ek olarak, sınıf I cihazların %74'e kadarı satış öncesi bildirim sürecinden muaf olduğundan, Tıbbi Cihaz Muafiyetleri sayfasında arama yaparak ürününüz için durumun böyle olup olmadığını kontrol edin. Ve tamamen yeni bir kullanım amacı olan bir tıbbi cihaz veya SaMD geliştiriyorsanız, hangi sağlık hizmeti bilgi teknolojisi düzenlemelerinin geçerli olabileceğini tartışmak için doğrudan FDA ile iletişime geçmenizi öneririz.

Gerekli kontrolleri uygulayın

I sınıfı tıbbi cihazlar, genel kontrollerin uygulanmasını gerektirir, yani:

1. Kuruluş kaydı ve tıbbi cihaz listesi (21 CFR Bölüm 807)
2. Kalite sistemi yönetmeliği (21 CFR Bölüm 820)
3. Etiketleme gereksinimleri (21 CFR Bölüm 801)
4. Tıbbi cihaz raporlaması (21 CFR Bölüm 803)
5. Pazar öncesi bildirimi (21 CFR Bölüm 807)
6. Raporlama düzeltmeleri ve kaldırmaları (21 CFR Bölüm 806)
7. Araştırma cihazlarının klinik çalışmaları için araştırma cihazı muafiyeti gereklilikleri (21 CFR Bölüm 812)

Sınıf II cihazlar, yukarıdaki genel kontrollerin, özel kontrollerin ve pazarlama öncesi bildirimin uygulanmasını gerektirir. Sınıf III cihazlar, genel kontrollerin uygulanmasını ve pazarlama öncesi onay gerektirir. Gerekli belgeleri hazırladıktan sonra, değerlendirilmek üzere gönderin. Not: Kuruluş, 2022'nin başı itibariyle, uzaktan veri toplama ve klinik araştırma için dijital sağlık teknolojilerini düzenleyen bir kılavuz hazırlamaktadır. Yönerge henüz kesinleşmedi, ancak buna göz kulak olacağız.

Sağlık hizmeti içerik yapısı standartları

HL7

Bir çerçeve ve ilgili sağlık bilgileri düzenlemeleri sağlayan kar amacı gütmeyen bir kuruluş olan Health Level Seven International tarafından geliştirilen HL7, farklı sağlık sistemleri arasında tıbbi veri alışverişini yönetir. Standart, EHR'nin bel kemiğidir. EHR, belirli bir sağlık hizmeti sürecini oluşturmak için birden fazla alt sistem arasında sorunsuz bir etkileşime dayanan dağıtılmış bir sistem olduğundan, HL7 bu alt sistemler arasında bir bağlantı görevi görür. HL7 sağlık BT standardının iki versiyonu vardır.

• HL7 sürüm 2: HL7 v2, merkezi hasta bakım sistemlerine ve hasta verilerinin departman alt sistemlerinde bulunduğu dağıtılmış ortamlara uygundur. HITECH'in imzalanmasıyla birlikte, HL7 sürüm 2.5.1, belirli sertifikaları karşılamak için standart olarak özel olarak seçilmiştir.
• HL7 sürüm 3: HL7 v3, XML sözdiziminde yazılan mesajlara dayanan klinik bilgi alışverişi için yeni bir yaklaşım benimsiyor. HL7 v3'ün hedefleri, HL7 standardının dünya çapında benimsenmesini artırmak, belirsizliği ortadan kaldırmak ve eski sorunlardan arınmış daha kesin bir standart oluşturmaktı. Bu nedenle, HL7 sürüm 2 ile karşılaştırıldığında, HL7 sürüm 3, farklı klinik işlevler için kullanılan uygulamalar ve mesajlar için tutarlı bir veri modeli ve iyi tanımlanmış roller içerir.

HL7 sürüm 3, temel olarak eski iletişim gereksinimleri olmayan, HL7 sürüm2'nin tarihsel kullanımının olmadığı uygulamalar için veya HL7 v3 kullanımı için katı hükümet gereksinimleri olan bölgelerde benimsenmiştir. Sağlık hizmetleri veri standardının her iki versiyonu bir arada bulunur ve standardın birkaç versiyonunun aynı kurumda aynı anda dağıtılması oldukça yaygındır.

Mesaj taşıma standartları

FHIR

HL7'yi temel alan Fast Healthcare Birlikte Çalışabilirlik Kaynakları, elektronik sağlık kayıtları için veri formatlarını ve API'leri tanımlar. Standart, sağlık hizmeti sağlayıcılarının verileri XML ve JSON biçimlerinde paylaşmasına izin vermek için bir dizi HTTP tabanlı RESTful API sağlar. Standart, mobil uygulamalardan bulut uygulamalarına ve EHR tabanlı veri paylaşımına kadar çeşitli ayarlarda uygulanabilir. FHIR'in temel bir unsuru bir kaynaktır.

Bir kaynak, türüne bağlı olarak hasta demografisi, ilaçlar, bakım planları, alerjiler ve daha fazlası hakkında veriler içerebilir. Birleştirildiğinde, kaynaklar çeşitli klinik ve idari iş akışlarını oluşturur. Sağlık hizmeti sağlayıcılarının FHIR olgunluğuna karşı karışık tepkilerine rağmen, FHIR'ın 2024 yılına kadar diğer sağlık hizmeti veri değişim standartlarını devralması bekleniyor. Bunun nedeni, FHIR'nin sağlık verilerine erişmek için standartlaştırılmış uygulamalar oluşturma olanağı sunmasıdır - hangi EHR altyapıyı desteklerse desteklesin.

DICOM

DICOM veya Tıpta Dijital Görüntüler ve İletişim, tıbbi görüntülerin ve ilgili verilerin yazılım ve donanımlar arasında değişimini kolaylaştırır. Bir resmin bağlamı hakkında veri içermeyen JPEG veya TIFF gibi standart resim dosyalarıyla karşılaştırıldığında, DICOM dosyaları daha karmaşık bir yapıya sahiptir.

Hasta ve görüntü alma parametreleri hakkında fikir veren meta veriler içerirler. DICOM'un başvurduğu sistemler çok çeşitlidir: CT ve MRI tarayıcılarından resim arşivleme ve iletişim sistemlerine (PACS'ler) ve radyoloji bilgi sistemlerine (RIS'ler).

Sağlık teknolojisi çözümleriyle uğraşırken akılda tutulması gereken önemli şeyler

Pandemi, birçok sağlık kuruluşunu ve sağlık girişimini önce dijital düşünmeye sevk etti. Sonuç olarak, sağlık pazarına giren teknoloji çözümlerinin sayısı önemli ölçüde arttı. Sağlık teknolojisi sağlayıcısı ve kullanıcısı olarak, söz konusu çözümlerin gerekli tüm sağlık hizmetleri BT düzenlemelerini karşılamasını sağlamak için ne yapabilirsiniz? Akılda tutulması gereken temel ipuçlarının bir listesini derledik.

Sağlık teknolojisi satıcıları için ipuçları:

• Yeni bir teknoloji çözümü geliştirmek, sağlık sisteminin karmaşıklıklarını ve özelliklerini derinlemesine anlamayı gerektirir. Bu nedenle, ürün tasarımına girmeden önce, kurumsal ayarlar, ilgili paydaş grupları ve paydaş ilişkileri dahil olmak üzere ürünün kullanılacağı bağlamı anladığınızdan emin olun. Geliştirdiğiniz sağlık teknolojisini kullanmakla ilişkili riskleri değerlendirmek de önemlidir. Riskleri bilmek, gerekli sağlık BT standartlarını belirlemenize yardımcı olacaktır.
• Ürününüzü onaylatmak için her türlü belgeyi düzenleyici makamlara sunmanız gerekecektir. Bu nedenle, çözümünüzü tasarlarken, tasarlarken ve geliştirirken geliştirme sürecini belgeleyin. Hangi belgeleri ve prosedürleri izlemeniz gerektiğini belirlemek için Sağlık ve İnsan Hizmetleri Departmanına, Genel Müfettişlik Ofisine (OIG), İlaç Uygulama İdaresine (DEA) ve Gıda ve İlaç İdaresine (FDA) başvurun.
• Pazara fiilen girmeden önce, harici uyumluluk testi yapmayı düşünün. Sağlık yazılımı düzenlemelerini her yerde bilen bir satıcıyla işbirliği yapmak, ürününüzü pazara sunarken riskleri azaltmanıza yardımcı olabilir.

Sağlık kuruluşları için ipuçları:

Kullandığınız teknolojinin gerekli tüm tıbbi yazılım yönetmeliklerine uygun olduğundan emin olmak için, kuruluş çapında kapsamlı bir uyum programı oluşturmak çok önemlidir.

• Bunu yapmak için, çok disiplinli bir komite oluşturun ve uyum çabalarına rehberlik etmesi için bir Baş Uyum Görevlisi (CCO) atayın.
• İkinci adım olarak, komitenin uyumluluğu sağlamak için gerekli politikaları, süreçleri ve programları belirlemesine izin verin.
• Uyumluluk yol haritanızın düzenli iç ve dış denetimler içerdiğinden emin olun. Uyumluluk süreçlerinizi gözden geçirirken üçüncü taraf denetçilerin katılımını sağlamak, güvenlik açıklarını, boşlukları ve iş akışı verimsizliklerini belirlemenize yardımcı olabilir.
• Uyumluluk çabalarınızı en üst düzeye çıkarmak için sağlam bir çalışan eğitim programı sunun ve çalışanlarınızın ilgili sağlık hizmetleri BT standartlarına tutarlı bir şekilde uymaları gerektiğinin öğretilmesini sağlayın.
• Son olarak, uyum programınızın etkinliğini düzenli olarak değerlendirerek çabalarınızın meyve verdiğinden emin olun.

Sonuç yerine

Sağlık teknolojisi ivme kazandıkça ve tıbbi AI, IoMT ve RPA gibi yenilikçi teknolojiler daha fazla dikkat çekerken, düzenleyici kurumlar belirlenmiş sağlık BT standartlarını detaylandırmaya çalışıyor. Standartlar daha kesin ve karmaşık hale geldikçe, tıbbi girişimlerin ve sağlık kuruluşlarının ürünleriyle ilgili olanı bulmaları ve uyumluluğu sürdürmeleri oldukça zor hale gelebilir.

Bu nedenle, gerekli tüm uyumluluk kutularını kontrol eden bir sağlık hizmeti çözümü geliştirmek istiyorsanız, ITRex uzmanlarıyla iletişime geçin. En üst düzeyde güvenlik ve tavizsiz güvenlik elde etmenize yardımcı olacağız.

İlk olarak 22 Mart 2022'de https://itrexgroup.com'da yayınlandı.