HIPAA コンプライアンス は何をしますか？
タスクが米国医療コンプライアンスに明確に関連する場合に、HIPAA固有のエントリポイントとしてこれを使用します。このスキルは意図的に薄く、規範的に保たれています。
healthcare-phi-complianceは、PHI/PIIの取扱、データ分類、監査ログ、暗号化、漏洩防止に関する主要な実装スキルであり続けます。healthcare-reviewerは、コード、アーキテクチャ、または製品の動作が医療を意識したセカンドパスを必要とする場合の、専門的なレビューアであり続けます。security-reviewは、一般的な認証、入力処理、シークレット、API、デプロイメントの堅牢化には依然として適用されます。
使用するタイミング
- リクエストが明示的にHIPAA、PHI、対象事業者、ビジネス・アソシエイト、またはBAAに言及している場合
- PHIを保存、処理、エクスポート、または送信する米国医療ソフトウェアを構築またはレビューする場合
- ログ、分析、LLMプロンプト、ストレージ、サポートワークフローがHIPAAの暴露を生み出すかどうかを評価する場合
- 患者向けまたは臨床医向けシステムを設計する場合で、最小限必要なアクセスと監査可能性が重要な場合
動作方法
HIPAAを、より広範な医療プライバシースキルのオーバーレイとして扱います。
- 具体的な実装ルールについては、
healthcare-phi-complianceから始めます。 - HIPAA固有の判断ゲートを適用します。
- このデータはPHIか？
- このアクターは対象事業者またはビジネス・アソシエイトか？
- ベンダーまたはモデルプロバイダーがデータに触れる前にBAAを必要とするか？
- アクセスは最小限必要な範囲に制限されているか？
- 読み取り/書き込み/エクスポートイベントは監査可能か？
- タスクが患者の安全、臨床ワークフロー、または規制対象の本番アーキテクチャに影響を与える場合は、
healthcare-reviewerにエスカレーションします。
HIPAA固有のガードレール
- PHIをログ、分析イベント、クラッシュレポート、プロンプト、またはクライアントから見えるエラー文字列に絶対に配置しない。
- PHIをURL、ブラウザストレージ、スクリーンショット、またはコピーされたペイロード例に絶対に公開しない。
- PHIの読み取りと書き込みには、認証されたアクセス、スコープされた承認、および監査証跡を要求する。
- サードパーティのSaaS、可観測性、サポートツール、LLMプロバイダーは、BAAの状況とデータ境界が明確になるまでデフォルトでブロックされたものとして扱う。
- 最小限必要なアクセスに従う。適切なユーザーは、タスクに必要な最小限のPHI部分のみを表示する必要がある。
- 名前、MRN、電話番号、住所、その他の識別子よりも、不透明な内部IDを優先する。
例
例1: HIPAAとして組み立てられた製品リクエスト
ユーザーリクエスト:
臨床医ダッシュボードにAI生成の診療サマリーを追加してください。米国のクリニックを対象としており、HIPAA準拠を維持する必要があります。
応答パターン:
hipaa-complianceをアクティブにするhealthcare-phi-complianceを使用して、PHIの移動、ログ、ストレージ、プロンプトの境界をレビューする- サマリー化プロバイダーがPHIを送信する前にBAAの対象となっているかを確認する
- サマリーが臨床判断に影響を与える場合は
healthcare-reviewerにエスカレーションする
例2: ベンダー/ツールの決定
ユーザーリクエスト:
サポートのトランスクリプトと患者メッセージを分析スタックに送信できますか？
応答パターン:
- これらのメッセージにはPHIが含まれている可能性があると想定する
- 分析ベンダーがHIPAA対象ワークロードに承認されており、データパスが最小化されていない限り、設計をブロックする
- 可能な場合は、編集または非PHIイベントモデルを要求する
関連スキル
healthcare-phi-compliancehealthcare-reviewerhealthcare-emr-patternshealthcare-eval-harnesssecurity-review