ملخص سريع: اطلب تقرير SOC 2 Type II واقرأ نطاقه، واحصل على Business Associate Agreement كتابةً قبل بدء التشغيل، واعرف من لدى المورّد يمكنه رؤية ملفات حالاتك، وأكّد مهلة الإبلاغ عن الاختراق، وحدّد كيف تستعيد بياناتك إذا أنهيت التعامل.

كيف تستخدم هذه القائمة

أرسلها مرة واحدة، مبكرًا، كتابةً. فالمورّد الذي يجيب بإتقان في أسبوع يخبرك شيئًا نافعًا عن طريقة عمله. والمورّد الذي يحوّلك إلى مكالمة بيع بدلًا من الإجابة يخبرك شيئًا أيضًا.

لا تحتاج إلى فريق أمن لتنفيذ هذا. فالأسئلة عادية، والأجوبة إما محددة أو غير محددة، وهذا التمييز هو معظم الإشارة. والأجوبة الغامضة على أسئلة دقيقة هي بذاتها النتيجة.

نحو ثلث الاختراقات الصحية المُبلَّغ عنها في 2025 نشأت عند شركاء العمل لا عند مقدّمي الرعاية، ولذلك فهذه أعلى ساعة مردودًا في عملية شراء برمجيات.

التدقيقات والاتفاقيات

1. هل لديكم تقرير SOC 2، وهل هو Type I أم Type II؟
2. أي فترة مراقبة يغطّيها التقرير، ومتى انتهت؟
3. أي Trust Services Criteria كانت داخل النطاق بخلاف الأمن؟
4. هل سُجّلت أي استثناءات، وما الذي فُعل بشأنها؟
5. هل توقّعون على Business Associate Agreement الخاص بنا، أم تشترطون نسختكم، وهل يمكننا رؤيتها قبل الالتزام؟
6. ما مهلة إبلاغنا عن الاختراق، بالأيام، ومن يُبلَّغ؟

الجواب الجيد: تقرير Type II بموجب اتفاقية سرية خلال أيام قليلة، وفترة مراقبة محدَّدة بتواريخ، وقائمة صريحة بالمعايير، وBAA يُرسَل دون مطالبة متكرّرة. إشارة التوقف: شعار على صفحة ويب ولا تقرير، أو عبارة "نحن حاصلون على شهادة HIPAA"، وهي شيء لا وجود له.

التعامل مع البيانات

1. أين تُخزَّن بياناتنا، في أي بلد وأي منطقة سحابية؟
2. من هم متعاقدوكم الفرعيون، وأيّهم يمكنه الوصول إلى بيانات العملاء؟
3. هل البيانات مشفّرة أثناء النقل وفي حالة السكون، ومن يحتفظ بالمفاتيح؟
4. كم مدة استبقائكم لملفات الحالات، وما إجراء الحذف؟
5. إذا أنهينا التعامل، بأي صيغة نستعيد بياناتنا وكم يستغرق ذلك؟
6. هل تستخدمون بيانات العملاء لتطوير نماذجكم أو تحسينها، وإن كان كذلك فعلى أي أساس، وهل نستطيع الرفض؟

السؤال الثاني عشر هو الذي يُطرح بتمهّل. ففي منتج قائم على الذكاء الاصطناعي، يكون الجواب عن "ما يحدث لبياناتنا" أثقل عاقبةً منه في برمجيات عادية، وينبغي أن يقدر المورّد على بيان موقفه بوضوح بدلًا من الإشارة إلى بند.

الوصول والتشغيل

1. من داخل شركتكم يمكنه رؤية ملفات حالات عميل بعينه، وفي أي ظروف؟
2. هل يُسجَّل ذلك الوصول، وهل يمكننا رؤية السجل الخاص بحسابنا؟
3. هل تفرضون المصادقة متعددة العوامل على فريقكم وتوفّرونها لمستخدمينا؟
4. كيف تتعاملون مع سحب الصلاحيات عند مغادرة أحد العاملين لديكم؟
5. ما سجل جهوزية الخدمة لديكم وأين يُنشَر؟
6. ماذا يحدث لعملنا الجاري أثناء انقطاع الخدمة؟

أسئلة خاصة بالمنتج للبرمجيات السريرية

1. هل هذا المنتج جهاز طبي خاضع للتنظيم في الأسواق التي نعمل فيها، وبأي تصنيف؟
2. هل يُنهي البرنامج في أي وقت ناتجًا سريريًا أو تصميميًا دون أن يعتمده شخص مؤهَّل؟

السؤال الثاني هو الذي يفصل بين فئات المنتجات، وينبغي أن يحصل على جواب مباشر. وفي حالة SmileShape فالجواب لا: ثلاث من مراحل سير العمل الخمس تتطلّب فنيًا مدرَّبًا يراجع ويعتمد قبل أن تتقدّم الحالة، وSmartCAD لا يصمّم طقم أسنان بمعزل عن الفني. وهو ليس أداة تشخيص ولا أداة تخطيط علاجي.

وإذا تهرّب مورّد من الإجابة عن كون وجود إنسان في الحلقة أمرًا لازمًا، فتعامل مع ذلك كنتيجة جوهرية لا كتفصيل شكلي. فهو يمسّ التعرّض التنظيمي والمسؤولية القانونية وما تقوله لعياداتك المُحيلة.

ماذا تفعل بالأجوبة

• احفظها. فالسجل المكتوب لما ادّعاه مورّد عند الشراء يساوي الكثير إذا سار شيء على غير ما يجب لاحقًا.
• أعد السؤال سنويًا. فتقرير SOC 2 Type II يغطّي نافذة تُغلق. والأدلة تنتهي صلاحيتها في صمت إن لم يطلب أحد التالي.
• شارك الملخّص مع من يقدّم لك المشورة في شأن HIPAA. فهو سيقرأ الـ BAA بطريقة مختلفة عنك.
• لا تجعل جوابًا جيدًا عن الأمن بديلًا عن تقييم المنتج. فهما سؤالان منفصلان ويحتاج كلٌّ منهما إلى جواب.

مقالات ذات صلة

• ماذا يعني SOC 2 Type II والالتزام بـ HIPAA لمختبر الأسنان لديك
• كيف تقيّم برمجيات تصميم أطقم الأسنان بمساعدة الذكاء الاصطناعي
• كيف تبدو المراجعة البشرية في سير عمل أطقم أسنان بمساعدة الذكاء الاصطناعي

المصادر

1. AICPA, SOC 2 (System and Organization Controls) reporting framework
2. HHS, Business Associate Contracts under the HIPAA Privacy Rule
3. HIPAA Journal, 2025 Healthcare Data Breach Report (analysis of the HHS OCR breach portal)