Table of Contents

CareLink є захищеним онлайн порталом, що гальмує пацієнтів та постачальників медичних послуг через ефективний доступ до медичної інформації та обмін. Досягнення повної сумісності з CareLink вимагає ретельної захоплення технічних вимог, які дозволяють безшовну інтеграцію та надійний обмін даними. Організації, які не відповідають цим вимогам, ризикують зруйнувати робочі процеси, збуджені безпеки даних, та деградовані враження користувачів. Ця стаття забезпечує поглиблене обстеження апаратного забезпечення, програмного забезпечення, протоколів безпеки та інтеграційних стандартів, необхідних для сумісності CareLink, пропонуючи дієві вказівки як для окремих користувачів, так і для медичних підприємств.

Вимоги до системи управління для комп'ютерної сумісності

Встановлюючи сумісність CareLink починається з перевірки, що Ваше обчислювальне середовище відповідає базовим технічним та програмним специфікаціям. Ці основні вимоги забезпечують роботу порталу, що дозволяє надійно та безпечно використовувати різні пристрої та веб-платформи. Хоча CareLink призначений для розміщення діапазону конфігурації, що дозволяє використовувати специфікації, мінімізувати проблеми продуктивності та вразливості безпеки.

Підтримка операційної системи

CareLink підтримує визначений набір операційних систем, щоб гарантувати стабільність та безпеку. Для Windows, необхідно версію 10 або пізніше, з Windows 11 сильно рекомендується для своїх розширених функцій безпеки, таких як ізоляція апаратних пристроїв та облікова охорона. Користувачі macOS повинні версія 10.13 (High Sierra) або пізніше, хоча останні релізи Apple -macOS Ventura і Sonoma -provide поліпшена піскобоксинг та контроль конфіденційності, які вирівняються з потребами захисту даних охорони здоров'я. Розподіл LinuxLink повинні бути останніми, з версії ядра 5.x або вище, і повинні включати до оновлення OpenSSL і сертифікати CA, щоб підтримувати TLS 1.2 і 1.3 з'єднання.12

Вимоги до веб-браузера

Портал CareLink значно відрізняється сучасними веб-стандартами, включаючи HTML5, CSS3 та ECMAScript 2020 + функції. Тільки останні стабільні версії Google Chrome, Mozilla Firefox, Apple Safari та Microsoft Edge підтримуються. Вимоги до браузера поширюється за межами номерів:

  • Chrome: Версія 115 або пізніше. Автоматичний механізм оновлення Chrome повинен залишатися включеним для отримання критичних патчів безпеки та оновлення API.
  • Firefox: Версія 115 або пізніше. Користувачі Firefox повинні мати розширений захист від відстеження, налаштований для того, щоб дозволити необхідні сценарії CareLink без блокування важливих файлів cookie.
  • Safari: Версія 16 або пізніше (macOS), версія 16 або пізніше (iOS). Профілактика інтелектуального відстеження Safari може заважати управління сеансами CareLink; користувачі можуть знадобитися додати CareLink до списку дозволених сайтів.
  • Edge: Версія 115 або пізніше, на основі двигуна Chromium. Укладки для спальні кромки повинні бути вимкнені для домену CareLink, щоб запобігти підвісці фону.

Internet Explorer 11 – це непідтримане та викликає попередження сумісності. Організація все ще спирається на IE для внутрішніх програм, повинні планувати стратегії міграції відразу, оскільки блоки CareLink з’єднуються з браузерами спадкових даних на рівні мережі.

Специфікації підключення до мережі

Служба підтримки надає стабільну широкосмугову інтернет-з'єднання з мінімальними швидкістю завантаження 5 Мбіт/с для стандартних операцій. Однак, фахівці охорони здоров'я, які здійснюють високорозчинну медичну візуалізацію або великі експорт даних, повинні планувати 25 Мбіт/с або вище. Вимоги до ключових мереж включають:

  • Накладання нижче 100 м для функцій синхронізації даних в режимі реального часу.
  • Припинити 30 мс для запобігання своєчасності сеансу під час критичних записів даних.
  • Port 443 відкрийте для HTTPS трафіку, без посередників проксі, які виконують перевірку SSL або видалення сертифікатів.
  • DNSSEC має підтримувати сучасні записи та DNSSEC для безпечної перевірки домену.
  • Мережеві брандмауери повинні дозволити підключення до домену CareLink та субдоменів, з IP- діапазонами, опублікованими в документації провайдера.

Бездротові підключення (Wi-Fi 5 і пізніше) прийнятні, але повинні використовувати шифрування WPA3 при наявності. Громадські мережі Wi-Fi, включаючи ті, в лікарняних кафе або холеків, повинні бути паровані корпоративним VPN, щоб забезпечити кінцеве шифрування та відповідність HIPAA.

Можливості та рекомендації

У той час як CareLink працює як веб-платформа, локальне обладнання все ще впливає на продуктивність. Мінімальна рекомендована конфігурація включає:

  • RAM: 4 ГБ мінімум, 8 ГБ або вище рекомендований для багатозадачних середовищ, де провайдери одночасно доступні EHR системи.
  • Processor: Intel Core i5 (8-е покоління або пізніше) або AMD Ryzen 5 (3000 серії або пізніше). Пристрої на основі ARM (Apple M1/M2, Snapdragon) підтримуються, але можуть вимагати шари сумісності з Ростита 2 для певних компонентів плагіна.
  • Стораж:) принаймні 5 ГБ вільного простору для кешу браузера, тимчасових файлів і експортованих документів. SSD-накопичувачі сильно віддають перевагу над HDD для більш швидкого перерозподілу даних.
  • Дисплей: Мінімальна роздільна здатність 1024 x 768, з 1920 х 1080 рекомендується для перегляду складних дощових панелей без горизонтального прокручування.
  • Переферали: Для постачальників за допомогою CareLink для телеhealth зустрічаються, необхідна камера 720p (1080p) і мікрофон для шумоочисних пристроїв.

Протоколи програмного забезпечення та безпеки для комплаєнсу

За базовими специфікаціями системи, CareLink застосовує суворі вимоги до програмного забезпечення та безпеки для захисту захищеної інформації про здоров’я (PHI) та дотримання HIPAA, HITECH та інших нормативних рамок. Ці протоколи застосовуються як до окремих пристроїв, так і для підприємств, які працюють на кінцевих пунктах.

Налаштування безпеки браузера

Модель безпеки веб-додатків CareLink залежить від сучасних функцій браузера, які повинні залишатися ввімкнено:

  • JavaScript виконання: Інтерактивні форми CareLink, в реальному часі, і динамічне завантаження контенту залежать від JavaScript. Виключення JavaScript дозволяє порталу нефункціональним. Контент-блокатори, як uBlock походження або NoScript, повинні білий список доменів CareLink.
  • Cookies і управління сеансами: Третього партнера по стороннім cookie необхідно дозволити користувачам чітко розмітити CareLink як дозволений веб-сайт. Функція "Повернення Cross-Site Tracking" може вимагати користувачів, щоб явно позначитися CareLink як дозволений веб-сайт.
  • TLS-версія: CareLink mandates TLS 1.2 або TLS 1.3. TLS 1.0 і 1.1 заблоковані на рівні сервера. Браузери повинні підтримувати TLS 1.2 з захищеними гілками (ECDHE RSA WITH AES 256 GCM SHA384 або аналогічними).
  • Сертифікатна перевірка:. Обов'язкове внесення сертифікатів для визначення сертифікатів, що містяться в собі, або внутрішні сертифікати CA для перевірки SSL, необхідно налаштувати їх пристрої для отримання сертифікатів на довірку.
  • Автоматичні оновлення: Браузери повинні бути налаштовані для автоматичного оновлення, щоб отримати робочі місця безпеки протягом 24 годин випуску. Підприємство-керамічні браузери повинні використовувати групові політики для дотримання вимог оновлення.

Антивірус, антивірус, захист кінцевих точок

Команда безпеки CareLink рекомендує захист кінцевої точки, що відповідає наступним критеріям:

  • РџРμР»РμР»РμР»РμР»РμР»РμР»РμР»РμлалаРNoталаРNoталРμР»РμР»РμР»РμР»РμР»РμР»РμР»РμР»РμР»РμР»РμР»РμРNoталРμР»РμР»РμР»РμР»РμР»РμР»РμР»РμР»РμлллРμллллллРμРμРμллРNoС‚РNoР»РNoтлРNo ллллРμРμллРμРμРμРμРμРμР»РμРμРμРμР»РμРμРμлллРμР»РμРμРμР»
  • Доступ до наших послуг, які можуть виявити та блокувати фішингові спроби, спрямовані на здоров’я.
  • Поведінка з метою виявлення незвичайних моделей доступу до файлів або спробам ексфільтрації даних.
  • Регулярні оновлення підпису (не менше щодня) з автоматичним розгортанням всіх кінцевих точок.
  • Узгоджено, що клієнт-західний скрипти CareLink — це агресивні геристичні сканери, які можуть зафіксувати законну допомогу, що посилює JavaScript як підозрілий. Адміністратори повинні додати домени CareLink для виключення тільки після перевірки автентичності сертифіката.

Пожежна стіна, як на основі хост-мережі, повинна дозволити вихідний HTTPS з'єднання до CareLink, при цьому блокувати непотрібні вхідні порти. Підприємство має здійснювати наступні генераційні брандмауери, здатні глибоко вводити огляд для протоколів охорони здоров'я.

Управління робочою системою Patch

Служба підтримки надає послуги з періодичної оцінки безпеки клієнтів, що не мають перевірки відповідності на патчах, можуть бути обмежені з доступу до PHI. Організації повинні встановити:

  • Політика конфіденційності формальних патчів, що вимагає оновлення безпеки протягом 14 днів випуску для критичних вразливостей.
  • Автоматичне розгортання патчів для операційних систем, браузерів та основних плагінів.
  • Управління інвентарами для забезпечення доступу до всіх пристроїв CareLink відповідає мінімальним рівнем патчів.
  • Тестування процедури для перевірки, які не вводять проблеми сумісності з порталом CareLink.

Глибокий дайвінг: Технічна інтеграція для постачальників охорони здоров'я

Провайдери охорони здоров'я, які інтегрують CareLink, у клінічні робочі процеси стикаються додаткові технічні перешкоди. Ці вимоги щодо інтеграції стандартів обміну даними, API безпеки, управління особистістю та ведення перевірок. Кожен компонент повинен працювати в концерті для підтримки цілісності даних та нормативної відповідності.

Стандарти обміну даними охорони здоров'я: HL7 і FHIR

CareLink підтримує як HL7 v2.x, так і FHIR (Fast Health Interoperability Resources) R4 стандарти для інтеграції електронних медичних записів (EHR). Розуміння нюансів кожного стандарту є критичним для успішної реалізації:

Інтеграція HL7 v2.x

HL7 v2.x залишається найбільш широко прийнятим стандартом охорони здоров'я в Північній Америці. CareLink використовує повідомлення HL7 для ADT (Admit, Discharge, Transfer), ORM (Order Entry), і ORU (Observation Reporting) типів повідомлень. Вимоги до інтеграції включають:

  • Налаштування сегмента Proper і емітерів (MSH, PID, PV1, OBX).
  • Підтримка HL7 v2.5.1 або пізніше, з v2.8 рекомендується для розширених діагностичних кодів (ICD-10-CM).
  • TCP/IP підключення по порту 2575 (HL7 стандартний порт) або безпечні альтернативи за допомогою MLLP (Minimum Lower Layer Protocol) з обгорткою TLS.
  • Обробка повідомлень (ЗВС) для підтвердження успішного отримання та обробки.
  • Обробка повідомлень Пакетного повідомлення для високодобрих середовищ, з розмірами пакетів, обмеженими 500 повідомлень за транзакції.
  • Помилки з негативними відтінками (NACK) та логікою для непередбачених передач.

Інтеграція FHIR R4

FHIR - це сучасний стандарт обміну даними охорони здоров'я, використовуючи RESTful API та JSON / XML ресурсні представництва. Підтримка FHIR CareLink:

  • Основні ресурси: Пацієнт, спостереження, стан, Медикамент, діагностикаРепортрет і ензексперт.
  • Стандартні операції REST: читання, пошук, створення, оновлення та виправлення з умовним редагуванням.
  • Експорт даних з обмеженими можливостями FHIR (а саме: $export операція) для аналізу здоров’я населення та міграції даних.
  • Термінологія надання послуг з підтримки SNOMED CT, LOINC, RxNorm та ICD-10-CM наборів значень.
  • Конформанс профілю: CareLink визначає специфічні профілі (на основі керівництва з впровадження програми US Core), які повинні задовольняти всі ресурси FHIR. Настрочені ресурси та розширення вимагають попередньої перевірки.
  • Параметри пошуку: підтримані параметри включають ідентифікатор пацієнта (з NPI або MRN), діапазони дати та кодові концепції з операторами модифікатора.

Постачальники повинні планувати обмеження FHIR API (типово 1000 запитів за хвилину за заявку) та впроваджувати стратегії зворотного зв'язку для 429 (Too Multi Запити) відповіді.

Протоколи з безпеки та аутентифікації API

Служба підтримки надає комплексний набір API для інтеграції EHR, функціональності порталу та підключення сторонніх додатків. Забезпечуючи ці API, вимагає дотримання галузево-стандартної автентичності та бази авторизації:

OAuth 2.0 і OpenID Connect

CareLink mandates OAuth 2.0 для авторизації API та підключення OpenID для ідентифікації користувачів. Вимоги до реалізації включають:

  • Заявка на обробку даних, що надаються в даній статті, наведено в дію протоколу PKCE (для користувачів, які використовують для обміну даними, додатків, додатків для користувачів, які належать до бази даних).
  • Клієнтські облікові дані, що полягають на сервері, досервера, з секретами, що зберігаються в модулі безпеки або секрети менеджера.
  • Сфера: визначені дозволи, які вирівняються з рівнем доступу ресурсів (стаціонар.читати, пацієнт.write, клініка.summary тощо).
  • Строк дії токени: доступ до токени закінчуються через 60 хвилин; освіжають токени закінчуються після 24 годин бездіяльності.
  • Перевірка JWT (JSON Web Token): токени повинні бути підписані за допомогою алгоритму RS256 та ввірених на публікацію JWKS (JSON Web Key Set) кінцевої точки.
  • Перевірка аудитора: токени повинні містити правильні вимоги аудитора (додаток про внесення заявки) та вимогу емітента (посилання на постачальника послуг CareLink).

SMART КОМПЛЕКС

Для EHR-розробок, CareLink підтримує SMART на FHIR (Substitutable Medical Applications, Reusable Technologies). Даний стандарт дозволяє безшовну інтеграцію, де додатки починаються в рамках контексту EHR. Вимоги:

  • Послідовність запуску EHR з використанням параметрів контекстного входу (стаціонарного ідентифікатора, ідентифікатора, ролі користувача).
  • Постійний запуск програм, які ініціюються сеансів самостійно.
  • Скопіювання рівня пацієнта: додатки можуть лише дані доступу до пацієнта, які наразі вибираються в контексті EHR.
  • Реєстрація клієнта: кожен додаток повинен зареєструватися на порталі розробника CareLink, що надає перенаправлений інтерфейс, контактну інформацію та призначені випадки використання.
  • Тестування відповідності: додатки повинні пройти SMART CareLink на FHIR-конформансу випробувального пакету перед розгортанням продукції.

Управління ідентифікацією та доступом (IAM)

Служба підтримки та протоколи, що підтримуються, включають:

  • SAML 2.0: Для однореєстрованих (SSO) інтеграцій з локальними постачальниками ідентичності, такими як Послуги з федерації Active Directory (AD FS) або Okta. CareLink підтримує IdP-ініціатовані та SP-ініціовані SSO потоку.
  • LDAP: Для прямого інтеграції каталогів з Active Directory або OpenLDAP. LDAPS (LDAP над SSL) потрібен, з портом 636.
  • SCIM 2.0: Для автоматизованого надання та де-провізування користувачів. Організація повинна здійснювати кінцеві точки SCIM, які підтримують створення, читання, оновлення та видалення операцій для користувачів та групових ресурсів.
  • ]Just-in-time (JIT) надання: Для організацій, які воліють створення ад-hoc у першому логіні, за умови, що провайдер ідентичності відправляє відповідним атрибутам SAML (роль, відділ, NPI номер).

Служба підтримки MFA надає можливість користувачам багатофакторну автентифікацію (MFA) для всіх облікових записів провайдера. Підтримувані методи MFA включають одноразові одноразові перекоди (TOTP), SMS-коди, ключі безпеки обладнання (FIDO2/WebAuthn), а також поштові повідомлення через мобільні додатки автентитора.

Стандарти шифрування даних

Захист PHI вимагає шифрування в стані спокою і в транзиті. Вимоги до шифрування CareLink є комплексними:

  • У транзиті:] Всі трафік використовує TLS 1.2 або 1.3 з ферами, які підтримують Perfect Forward Secrecy (ECDHE). VPN-нерифи, які використовуються для інтеграції, повинні використовувати IPsec з AES-256-GCM шифрування.
  • At rest: CareLink шифрує дані в іншому місці за допомогою шифрування AES-256-GCM з ключами, керованими AWS KMS (для хмарних екземплярів). Організація реплікації даних CareLink до локального сховища повинні застосувати власний шар шифрування, використовуючи інструменти, такі як BitLocker (Windows) або FileVault (macOS).
  • Керування:] Ключі шифрування повинні бути обертаються кожні 90 днів. Доступ до ключів необхідно увійти і аудитувати. Модуль безпеки обладнання (HSM) рекомендується для умов підприємства.
  • Database шифрування: баз даних Backend CareLink використовують прозоре шифрування даних (TDE). Постачальники, які інтегруються з CareLink, повинні забезпечити власні бази даних EHR, також впроваджувати TDE або еквівалент.
  • Backup шифрування: Всі файли резервних копій, що містять PHI, повинні бути зашифровані, з резервними стрічками або хмарним сховищем, зашифровані за допомогою AES-256. Ключове управління для шифрування резервних копій повинно бути відокремлене від ключів шифрування виробництва.

Аудит та моніторинг

HIPAA вимагає детальних аудитових причепів для всіх PHI-доступу. Можливості ведення аудиту CareLink включають:

  • Комплексний журнал подій ідентифікації користувачів (проведення та невиконання логінів, спроб МФА, зміни пароля).
  • Запис журналів доступу даних, які були переглядані, модифіковані, або експортовані, включаючи часові та ідентифікатори користувачів.
  • Системи-рівневі журнали для дзвінків API, зміни конфігурації та інтеграційні операції (подання повідомлень HL7, операції ресурсу FHIR).
  • Затримка логів: мінімум 6 років (вимога HIPAA), з 10 років рекомендується для комплаєнсу підприємства. Журнали повинні зберігатися в сховищі для запису-на-чит-манія (WORM) для запобігання тамперія.
  • Відповідна інформація про роботу в режимі реального часу: CareLink може переадресувати журнали до систем SIEM (розгорніть, еластичну стейк, Azure Sentinel) через слог або HTTP-підрядники. Аномалій активність викликає сповіщення про безпосереднє розслідування.

Розробка клієнтських додатків

Організація, що розробляється на замовлення, що інтерфейс з CareLink повинен дотримуватися вимог до програми CareLink. Цей розділ охоплює технічні передумови для побудови компліантних інтеграцій.

Реєстрація та аудит

Перед будь-яким додатком можна отримати API Link, необхідно зареєструватися через Портал розробника CareLink. Процес реєстрації збирає:

  • Назва заявки, опис та приклад, призначене для використання (клініка, адміністративне, пацієнто-факлінг, аналітика).
  • Відправлення URIs (за винятком URL, без вихідних посилань або посилань на локальний привид).
  • Організаційна інформація, включаючи податковий ідентифікатор (EIN) та постачальник охорони здоров'я НП для виконання угод про бізнес.
  • Стандарт перевірки відповідності OWASP для додатків на рівні 2 або вище.
  • Зв'язатися з нами для повідомлення про інциденти безпеки.

Після реєстрації заявки на отримання ідентифікатора клієнта та секрету клієнта. Виробничі показники вимагають підписаного договору про бізнес-асоціацію та успішне завершення огляду безпеки.

Вимоги до навколишнього середовища

CareLink надає послуги з розробки та тестування на піщану коробку. Доступ до Sandbox вимагає:

  • Реєстрація записів тестів з синтетичними даними, що створюються за допомогою інструментів, таких як Synthea (MITRE Corporation's синтетичний генератор пацієнта).
  • Тест HL7 і FHIR кінцеві точки, які імітують реалістичні дані та сценарії помилок.
  • Доступ до тарифних операцій API на 10 запитів на другий (понад 100 запитів на другий рік у виробництві).
  • Зменшена затримка журналу аудиту (30 днів в пісочниці, вершах 6+ років у виробництві).

Організація повинна пройти сертифікацію системи CareLink перед розгортанням виробництва. Процес сертифікації перевіряє відповідність HIPAA, відповідність API та надійну надійність обробки помилок.

Виправлення проблем загальної сумісності

Навіть при належному плануванні, організації, що виникають проблеми сумісності. Нижче виникають проблеми та їх вирішення.

Браузера сумісності з поломками

Symptom: портал CareLink відображає повідомлення "Броузер не підтримується" або навантаження з розбитою укладкою. До кроків до вирішення відносяться:

  • Перевірити версії браузера відповідає мінімальним вимогам CareLink. Використовуйте WhatIsMyBrowser для перевірки поточного варіанту.
  • Очистити кеш браузера, файли cookie та дані сайту, специфічні для домену CareLink. Корробовані активи кешування можуть викликати збійи рендерингу.
  • Відключення всіх розширень браузера та додатків тимчасово. Розширення, які змінюють вміст сторінок, блокувати сценарії або використовувати налаштування конфіденційності, можуть порушити функцію CareLink.
  • Перевірка на отримання сертифікатів проксі або SSL, які не можуть бути довірені браузером.

Проблеми підключення до мережі

Symptom: CareLink завантажується повільно або раз під час завантаження даних. До основних кроків відносяться:

  • Швидкість тестової мережі за допомогою Speedtest.net. Порівняйте результати до мінімуму 5 Мбіт/с.
  • Перевірити, що правила брандмауера дозволяють підключенням до IP- діапазонів CareLink. IT-команди можуть використовувати інструменти, такі як Nmap або Telnet для тестування порту 443 підключення.
  • Перевірка на розрив, що обертається або якість послуг (QoS), які можуть деприоріізувати охорону здоров'я.
  • Тест з альтернативної мережі (наприклад, стільниковий гарячийпот) для того, щоб ізолювати питання, чи є питання специфічним для корпоративної мережі.

Проблеми з аутентифікацією

Symptom: Один знак не зникає з повідомленнями про помилку SAML або MFA не піддається завантаженню. До кроків до вирішення відносяться:

  • Перевірити метадані SAML правильно налаштувати за допомогою URL-адреси ІДП (додатків служби споживачів) та довідки відбитків пальців.
  • Перевірити атрибути користувачів (особливо електронну пошту, роль та НП) правильно наклеюються в заявках САМЛ.
  • Підтвердіть, що годинники IdP синхронізуються з NTP. СМСБ твердження є часчутливими, і годинниковий дрифт, що перевищує 5 хвилин, викликає автентифікацію несправностей.
  • Огляд журналів IdP для невдалих спроб автентифікації та кореляцій з журналами аудиту CareLink.

Технології охорони здоров'я швидко розвивається, а технічні вимоги до CareLink продовжать заздалегідь. Організація може майбутній захист своїх імплементацій, скориставшись такими стратегічними практиками:

Висновок

Ачивінг та підтримка сумісності з службами CareLink не є одним завданням для конфігурації, але постійного зобов'язання до технічної дисципліни та нормативної відповідності. Вимоги до специфікації та обладнання, налаштування браузера та OS, бендикти мереж, стандарти шифрування, протоколи управління особистістю та стандарти обміну даними охорони здоров'я, такі як HL7 та FHIR. Користувачі повинні забезпечити їх пристрої та програмні середовища відповідають мінімальним критеріям, тоді як медичні фахівці вводять додаткову відповідальність інтеграційної служби CareLink у свої системи EHR через безпечні API, надійні автентифікації та всебічний журнал аудиту.

Організація, які інвестують у розуміння та впровадження цих технічних вимог, будуть вигідні від надійного обміну даними, зменшення випадків безпеки, більш гладких досвіду користувачів та більш міцного дотримання. Зовні, ті, які підходять для взаємодії CareLink як порушення даних післясумних ризиків, порушення робочого процесу та потенційні штрафи від перевірок HIPAA.

В рамках проекту «Діапа» компанія «Асоціація з ВІЛ-інфекцією» отримала підтримку у сфері охорони здоров’я. У статті компанія «Асоціація з ВІЛ-інфекцією» може бути заснована на основі сучасних вимог, що відповідають сучасним вимогам, що залишаються адаптованими для інновацій.