Thách thức
Khách hàng là một MSP (nhà cung cấp dịch vụ quản trị CNTT) khu vực tại Mỹ, muốn mở rộng danh mục dịch vụ sang khối y tế. Nhưng khách hàng y tế cần nhiều hơn một đối tác sẵn lòng hợp tác. Họ cần một Business Associate có thể tự trả lời trực tiếp các câu hỏi thanh tra, không cần dựa vào bên thứ ba. Đội ngũ của MSP có nền tảng kỹ thuật tốt, nhưng tại thời điểm đó chưa có một chương trình tuân thủ (compliance) đáng kể nào.
Chúng tôi đã làm gì
Chúng tôi xây dựng chương trình tuân thủ này từ con số không:
- Danh mục BAA: Thiết lập danh mục Thỏa thuận Đối tác Xử lý (Business Associate Agreement) gắn với từng quan hệ khách hàng cụ thể.
- Bản đồ luồng dữ liệu PHI: Vẽ bản đồ luồng thông tin sức khỏe cá nhân (PHI) cho toàn bộ hạ tầng VoIP, bao gồm cả những trường hợp ngoại lệ mà đội ngũ kỹ thuật trước đây vẫn xử lý theo kinh nghiệm cá nhân mà chưa từng được định nghĩa hay đặt tên rõ ràng.
- Hạ tầng quản lý bằng mã nguồn (Terraform): Chuyển hạ tầng sang mô hình Terraform, để các kiểm soát bảo mật được quản lý theo phiên bản (versioned) thay vì cấu hình ngẫu hứng như trước.
- Ma trận yêu cầu theo chuẩn NIST: Xây dựng ma trận yêu cầu đối chiếu với NIST SP 800-66 Revision 2 (hướng dẫn triển khai HIPAA), đồng thời bám theo các điều khoản sửa đổi trong NPRM 2025 ở những chỗ siết chặt quy định hiện hành. Mỗi kiểm soát đều được gắn với một người chịu trách nhiệm cụ thể.
Điều gì đã thay đổi
Tuân thủ chuyển từ một đợt chạy nước rút đầy áp lực mỗi quý thành một hệ thống mà đội ngũ có thể trình bày trực tiếp, không chỉ mô tả bằng lời. MSP ký được hai khách hàng y tế đầu tiên nhờ sức mạnh của chương trình này, chứ không phải bất chấp những lỗ hổng còn tồn tại. Lần thanh tra tới sẽ là một thao tác truy vấn dữ liệu, không còn là một dự án riêng phải chuẩn bị từ đầu.