HIPAA コンプライアンス は何をしますか？
タスクが明らかに米国医療コンプライアンスに関するものである場合に、HIPAA専用のエントリポイントとして使用します。このスキルは意図的に薄く、規範的な内容に保たれています。
healthcare-phi-complianceは、PHI/PIIの取り扱い、データ分類、監査ログ、暗号化、漏洩防止に関する主要な実装スキルとして残ります。healthcare-reviewerは、コード、アーキテクチャ、または製品動作が医療を意識したセカンドパスを必要とする場合の専門レビュアーとして残ります。security-reviewは、一般的な認証、入力処理、シークレット、API、デプロイのセキュリティ強化に引き続き適用されます。
使用するタイミング
- リクエストがHIPAA、PHI、対象事業者、ビジネスアソシエイト、またはBAAに明示的に言及している場合
- PHIを保存、処理、エクスポート、または送信する米国医療ソフトウェアを構築またはレビューする場合
- ログ、分析、LLMプロンプト、ストレージ、サポートワークフローがHIPAAのエクスポージャーを生み出していないか評価する場合
- 患者向けまたは臨床医向けシステムを設計する場合で、最小必要アクセスと監査可能性が重要な場合
動作方法
HIPAAを、より広範な医療プライバシースキルの上に重なるオーバーレイとして扱います。
- 具体的な実装ルールについては、
healthcare-phi-complianceから始めます。 - HIPAA固有の判断ゲートを適用します。
- このデータはPHIですか？
- このアクターは対象事業者またはビジネスアソシエイトですか？
- ベンダーまたはモデルプロバイダーは、データに触れる前にBAAを必要としますか？
- アクセスは最小必要範囲に制限されていますか？
- 読み取り/書き込み/エクスポートイベントは監査可能ですか？
- タスクが患者の安全、臨床ワークフロー、または規制対象の本番アーキテクチャに影響を与える場合は、
healthcare-reviewerにエスカレーションします。
HIPAA固有のガードレール
- PHIをログ、分析イベント、クラッシュレポート、プロンプト、またはクライアントから見えるエラー文字列に絶対に配置しないでください。
- PHIをURL、ブラウザストレージ、スクリーンショット、またはコピーされたサンプルペイロードに絶対に露出させないでください。
- PHIの読み取りと書き込みには、認証されたアクセス、スコープされた認可、および監査証跡を要求します。
- サードパーティのSaaS、可観測性ツール、サポートツール、LLMプロバイダーは、BAAの状況とデータ境界が明確になるまで、デフォルトでブロックされたものとして扱います。
- 最小必要アクセスに従います。適切なユーザーは、タスクに必要な最小限のPHI部分のみを表示できる必要があります。
- 名前、MRN、電話番号、住所、その他の識別子よりも、不透明な内部IDを優先します。
例
例1: HIPAAとして組み立てられた製品リクエスト
ユーザーリクエスト:
クリニシャンダッシュボードにAI生成の診療サマリーを追加してください。米国の診療所を対象としており、HIPAA準拠を維持する必要があります。
応答パターン:
hipaa-complianceをアクティブ化するhealthcare-phi-complianceを使用して、PHIの移動、ログ、ストレージ、およびプロンプトの境界をレビューする- 要約プロバイダーがPHIを送信する前にBAAの対象となっているかを確認する
- サマリーが臨床判断に影響を与える場合は、
healthcare-reviewerにエスカレーションする
例2: ベンダー/ツールの意思決定
ユーザーリクエスト:
サポートのトランスクリプトと患者メッセージを分析スタックに送信してもよいですか？
応答パターン:
- これらのメッセージにはPHIが含まれている可能性があると想定する
- 分析ベンダーがHIPAA対象のワークロードに対して承認されており、データパスが最小化されていない限り、その設計をブロックする
- 可能な場合は、編集または非PHIイベントモデルを要求する
関連スキル
healthcare-phi-compliancehealthcare-reviewerhealthcare-emr-patternshealthcare-eval-harnesssecurity-review