Bối cảnh
Khách hàng, một MSP khu vực, muốn thêm y tế vào danh mục dịch vụ. Khách hàng y tế cần hơn một đối tác sẵn lòng - họ cần một Business Associate có thể tự trả lời các câu hỏi kiểm toán. Đội ngũ có nền tảng kỹ thuật nhưng chưa có chương trình tuân thủ đáng kể nào.
Chúng tôi đã làm gì
Chúng tôi dựng chương trình từ con số không. Một danh mục BAA gắn với từng quan hệ khách hàng. Bản đồ luồng PHI cho toàn bộ hạ tầng VoIP, kể cả những trường hợp bên lề mà đội ngũ vốn đang xử lý quanh co mà chưa đặt tên. Hạ tầng do Terraform điều khiển, để các kiểm soát được phiên bản hóa thay vì ngẫu hứng. Một ma trận yêu cầu khớp với NIST SP 800-66 Bản sửa đổi 2 và bám theo NPRM 2025 ở những chỗ siết chặt quy định hiện hành, với từng kiểm soát được gắn cho người chịu trách nhiệm.
Điều gì đã thay đổi
Tuân thủ chuyển từ một đợt chạy nước rút mỗi quý thành một hệ thống đội ngũ có thể trình bày, không chỉ mô tả. MSP ký được hai khách hàng y tế đầu tiên nhờ chương trình này. Lần kiểm toán tới sẽ là một truy vấn, không phải một dự án.