HIPAA 実装ガイド

We’ve created this guide to provide you with the knowledge you need on how to use our Atlassian apps in a HIPAA-compliant way. This guide is intended for Atlassian customers who have a Business Associate Agreement (BAA) in place with us or intend to enter into one with us.

HIPAA-compliant use of Atlassian apps

We’re providing you with self-controlled configurations to support you with your HIPAA compliance. This means that it’s your responsibility to ensure you’re using Atlassian apps in a HIPAA-compliant way. We don’t monitor or analyze the data that you input, so you need to have the required procedures in place to ensure all users adhere to end-to-end compliance.

All third-party apps integrated with Atlassian apps also need to be operated in a HIPAA-compliant way. This means you must have a signed Business Associate Agreement (BAA) with all relevant third-party apps.

The BAA that you sign with us covers only the eligible Atlassian apps. Any other apps or features that aren’t included in the core apps, features described below, or require an additional opt-in, aren't automatically covered by the BAA unless otherwise indicated in our guidelines. This includes Atlassian Analytics, Atlassian Intelligence, Atlassian Rovo, and any apps or app features that are part of a trial or an early access offering.

Protected Health Information (PHI) をサードパーティと共有する前に、まず BAA やその他のデータ プライバシーおよびセキュリティ保護が必要かどうかを確認する必要があります。

Atlassian アカウントを設定する

HIPAA 要件を満たすように Atlassian アカウントを設定するには、次の手順に従います。

1. To use Atlassian services for PHI you'll need to enter into a BAA with us. Learn more about signing a BAA

2. Tag your apps to enable HIPAA. Learn more about tagging apps

3. Deactivate Atlassian Intelligence for all the Atlassian apps within this organization. Learn how to deactivate Atlassian Intelligence

4. Ensure that you don't input PHI into any of the following fields:

5. Configure the notifications settings for each of your apps according to the following sections.

Confluence

Confluence 設定でプッシュ通知をオフにする必要があります。

プッシュ通知を無効にする方法。

1. Confluence に移動し、[設定] を選択します。

2. [設定] > [詳細設定] を選択します。

3. [編集] を選択します。

4. [プッシュ通知] チェックボックスを選択解除します。

5. [更新] を選択して変更を保存します。

アトラシアンは現在、PHI が含まれる可能性のあるコンテンツを含まないメール通知テンプレートをサポートしているので、メール通知を有効のままにしておくことができます。

Jira および Jira Service Management

Jira 設定では、メールとプッシュ通知の両方を有効にしておくことができます。アトラシアンは現在、PHI が含まれる可能性のあるコンテンツを含まない通知テンプレートをサポートしています。

プッシュ通知

限られた情報を含むプッシュ通知をオンにするには:

1. Jira で [設定] に移動します。

2. [システム] > [一般設定] を選択します。

3. [Edit settings] を選択します。

4. [プッシュ通知 (Android、iOS)] をオンにします。

5. [更新] を選択して変更を保存します。

メール通知

限られた情報を含むメール通知をオンにして、自動化ルールを有効にするには:

When you turn on email notifications, they include limited information, protecting the PHI data. When email notifications are turned on, all emails originating from other Jira apps, such as Jira Service Management, will also be turned on.

1. Jira で [設定] に移動します。

2. [システム] > [送信メール] を選択します。

3. [送信メールを有効にする] を選択します。

4. メール通知をトリガーする自動化ルールを有効にします。[設定] > [システム] > [グローバル自動化] > [すべてのルール] に移動し、ルールを有効にします。  

5. プロジェクト管理者が各自のプロジェクトの自動化ルールを作成して管理できるようにします。そのためには、[設定] > [システム] > [グローバル自動化] > [...] > [グローバル設定] に移動し、[Allow project administration (プロジェクト管理を許可する)] チェックボックスを選択します。

管理者は、PHI データを含むメール通知を送信するように自動化ルールが設定されることを防止しなければなりません。

Jira Service Management での安全な顧客通知

Jira Service Management で安全な顧客通知をオンにするには:

1. Jira Service Management で、[設定] に移動します。

2. [製品] > [コンプライアンス設定] を選択します。

3. 安全な顧客通知をオンにします。

免責事項

Due to the changes in law or regulation or changes in Atlassian apps or services, we may update or revise this guide from time to time. We will provide you with notice of material changes and an updated copy through your owner or administrator.

This document contains Atlassian’s recommendations for certain minimum effective app configurations for its customers' protection of PHI within the Atlassian apps outlined above at this time. This document does not constitute an exhaustive template for all controls over such data nor does it constitute legal advice. Each Atlassian Customer should seek its own legal counsel with regard to HIPAA compliance obligations applicable to their specific situations and should make any additional changes to its security configurations in accordance with its own independent review and risk analysis, so long as such changes don't conflict with or undermine the security of the configurations outlined in this document.