의료 분야의 AI 거버넌스: 규정 준수 및 보안

의료 기관들은 AI를 도입하는 속도가 이를 관리할 거버넌스를 구축하는 속도보다 빨랐습니다. 88%의 의료 시스템이 이미 내부적으로 AI를 사용하고 있지만, 18%만이 성숙한 AI 거버넌스 구조와 완전한 AI 전략을 갖추고 있습니다.

Healthcare Financial Management Association는 Health System Readiness for AI에서 2025년 5월에 230명 이상의 보건 시스템 임원을 대상으로 한 설문 조사 결과를 보고했습니다.

AI는 조달을 통해 거의 도입되지 않으며, 이로 인해 재고를 앞서 나갑니다. Microsoft 365 Copilot 라이선스는 기존 계약에 추가되고, 전자 건강 기록(EHR) 내에 환경 문서 기능이 포함되거나, 임상의가 개인 기기를 사용합니다.

Wolters Kluwer의 2025년 12월 Shadow AI Report는 518명의 병원 제공자 및 관리자들을 대상으로 조사했으며 57%가 무단 AI 도구를 접하거나 사용한 적이 있다고 밝혔습니다.

AI 도구가 무엇에 접근할 수 있는지 모르는 것은 이사회 구성원이나 감사인이 어떤 도구가 보호된 건강 정보(PHI)를 다루는지, 각 도구의 소유자가 누구인지, 그리고 통제 조치가 효과적임을 증명하는 것이 무엇인지 묻는 순간 책임 문제로 변합니다.

의료 분야에서 AI 거버넌스란 무엇인가요?

의료 분야의 AI 거버넌스는 AI 시스템이 PHI에 접근하는 위치, 각 사용 사례에 대한 책임자, 그리고 해당 접근에 대한 통제가 효과적으로 작동하는지 입증할 수 있는지를 아는 학문입니다. 조직들은 서면 정책을 증거로 간주하지만 이는 단지 의도를 설명할 뿐이므로 세 번째 요소를 과소평가합니다.

이사회 위원회나 외부 감사인이 조직이 특정 AI 도구가 어디에 접근하며 누가 소유하는지 즉석에서 말할 수 있는지 테스트하고 있습니다. 대부분의 의료 기관은 말할 수 없습니다. Copilot pilots, 내장된 공급업체 AI, 대화형 도구가 보안이 이를 모두 분류하기 전에 PHI 인접 시스템에 접근하기 때문입니다.

결과는 침해 데이터에 나타납니다. Netwrix 2026 Data and Identity Security Report는 AI가 신원 발자국을 크게 늘린 조직에서 지난 12개월 동안 43%의 침해율을 기록했으며, AI가 크게 변화시키지 않은 조직에서는 11%였습니다.

해당 보고서의 설문조사에서는 조직의 단 21%만이 AI 도구, 모델 또는 코파일럿이 사용하는 민감한 데이터에 대해 완전한 가시성, 모니터링 및 통제를 갖고 있는 것으로 나타났습니다.

의료 분야가 다른 수준의 AI 위험을 지니는 이유

AI 거버넌스의 일반적인 사례는 평판 및 운영 위험에 기반합니다. 의료 분야에서는 노출이 규제되며, 데이터가 매우 가치 있고 책임은 모델을 만든 사람이 아닌 제공자에게 있습니다. 의료 사이버보안은 이미 이러한 비대칭성을 가지고 있습니다.

도난당한 의료 기록은 절대 만료되지 않습니다

대부분의 규제 대상 데이터는 유효 기간이 있어 침해의 가치를 제한합니다. 도난당한 결제 카드는 며칠 내에 취소되고 재발급됩니다. 의료 기록에는 진단, 보험 세부정보, 인구 통계 및 사회보장번호가 포함되어 있으며, 이들은 재발급이 불가능해 침해 발생 후 수년간 악용될 수 있습니다.

따라서 의료 분야는 다른 산업이 무료로 받는 제한에 의존할 수 없습니다. PHI에 접근하는 AI 도구는 만료일이 없는 노출을 생성하여 접근 설계 오류의 확률뿐 아니라 비용을 증가시킵니다.

공급자가 위반을 일으킨 경우에도 공급자가 책임을 집니다

HIPAA의 적용을 받는 의료 기관은 규칙에서 이를 적용 대상 기관이라고 부르며, 어떤 모델이 처리하든 PHI에 대해 법적 책임을 집니다. 이것이 규제가 없는 분야에서 공급업체 계약으로 위험을 전가할 수 있는 AI 조달과 여기서의 AI 조달을 구분하는 점입니다. 모든 다른 시스템에 적용되는 HIPAA 준수 규칙이 AI에도 그대로 적용됩니다.

보건복지부(HHS) 시민권국(OCR)은 환자 포털에서 PHI를 처리하는 제3자 AI 챗봇을 business associate로 간주하며, 이는 클라우드 제공업체에 적용하는 동일한 지위입니다. Business associates는 자체적인 직접적인 의무를 지며, 이는 제공업체의 의무를 줄이지 않습니다. OCR은 이전에 공급업체 실패와 관련해 제공업체와 합의를 했으며, 여기에는 North Memorial settlement가 비즈니스 어소시에이트 계약(BAA) 누락과 관련되어 있습니다.

하나의 검토 프로세스로 병원이 운영하는 두 가지 유형의 AI를 모두 다룰 수 없습니다

대부분의 산업 분야는 한 종류의 AI를 배포하고 한 가지 방식으로 관리합니다. 병원은 두 가지를 동시에 운영하며, 실패 방식이 달라 단일 검토 프로세스에서는 하나를 놓치게 됩니다.

진단 도구는 잘못되거나 편향된 권고로 환자에게 도달할 때 실패하며, 이는 임상 리더십과 종종 FDA의 환자 안전 문제입니다. 생산성 도우미는 PHI를 절대 보지 말아야 할 사람에게 노출시켜 실패하며, 이는 보안의 접근 제어 문제입니다. 두 가지를 같은 위원회에 제출하면 관리 도구가 필요 없는 임상 스타일의 검토를 받게 되고, 아무도 실제로 무엇에 접근할 수 있는지 묻지 않게 됩니다.

의료 분야의 침해는 다른 어느 곳보다 비용이 더 많이 듭니다

의료 분야는 10년 넘게 모든 분야 중 가장 높은 평균 데이터 유출 비용을 기록했으며, 2026년에는 664만 달러에 달했습니다(2025년 742만 달러에서 감소) IBM's Cost of a Data Breach Report. 다른 어떤 산업도 이렇게 오랫동안 1위를 유지하지 못했습니다.

그 수치는 AI 접근 설계가 IT 문제가 아닌 이사회 차원의 문제임을 보여줍니다. 잘못했을 때의 대가를 정하며, 보통 이사회가 브리핑에서 기억하는 숫자입니다.

의료 분야에서 임상 AI와 행정 AI의 차이점

거버넌스는 케어를 알리는 AI와 그 주변 작업을 처리하는 AI로 나뉩니다. 각 측에는 다른 소유자, 규제 기관 및 답변해야 할 질문이 있습니다.

임상 AI 검증은 자체 규제 체계를 갖춘 심각한 분야이며, 데이터 가시성 플랫폼이 해결한다고 주장해서는 안 됩니다. 관리 AI는 보안, IT 및 개인정보 보호에 속하며, 이사회가 실제로 묻는 접근 관련 질문이 바로 이곳에 해당합니다.

미국 규제 당국이 의료 분야 AI에 대응하는 방법

연방 규제 제정, 인증 및 주 법률이 모두 진행 중이며, 최종 규칙을 기다리지 않고도 조치를 취할 수 있습니다. 규제 당국은 AI를 기존 의무의 연장선으로 간주하여 새로운 요구 사항이 이미 운영 중인 HIPAA 시스템에 적용됩니다.

HIPAA 보안 규칙 업데이트가 AI를 직접 언급합니다

HHS는 규칙 제정 예고 공고 (NPRM)를 HIPAA 보안 규칙에 대해 발표했으며, 인공지능을 명시적으로 다룹니다. 제안된 위험 분석 표준은 전자 보호 건강 정보(ePHI)에 대해 AI 도구를 직접 명시합니다. "인공지능 도구가 접근하는 ePHI의 유형과 양, 데이터가 공개되는 대상, 출력이 제공되는 대상을 반복적으로 고려해야 한다"고 요구합니다.

규칙은 여전히 제안된 상태이며, OCR은 현재 Security Rule을 계속 시행하고 있습니다. HIPAA risk analyses를 수행하는 적용 대상 기관은 AI 도구가 ePHI와 어떻게 상호작용하는지 이미 문서화해야 합니다.

Joint Commission이 이제 AI 거버넌스를 인증합니다

Joint Commission은 Responsible Use of AI in Healthcare certification을 2026년 6월 1일에 시작했으며, AI 제품 자체가 아닌 의료 시스템이 AI를 관리하는 방식에 기반한 최초의 인증 프로그램입니다.

조직 또는 시스템 수준에서 인증을 부여하며, 표준은 거버넌스, 데이터 관리, 위험 및 편향 감소, 모니터링 및 검증, 투명성 및 교육을 포함합니다.

인증은 자발적이지만, 공인된 조직은 설문조사 대화에서 기본적인 기대가 드러날 것으로 예상해야 합니다.

주 정부 AI 법률이 HIPAA 위에 추가되고 있습니다

주 법률은 연방 법률을 대체하는 것이 아니라 의무를 추가하므로, 주 경계를 넘나들며 운영되는 의료 시스템은 치료가 제공되는 위치에 따라 달라지는 요구사항을 상속받습니다.

텍사스 Responsible Artificial Intelligence Governance Act는 Texas Responsible Artificial Intelligence Governance Act가 2026년 1월 1일부터 의료 제공자가 AI를 사용할 때 환자에게 공개하도록 요구하며, 캘리포니아의 AB 3030는 환자의 임상 정보에 대한 생성 AI 커뮤니케이션에 면책 조항을 요구합니다.

연방 선점권은 그 부담을 경감할 가능성이 낮아 보입니다. 상원은 2025년 7월에 99대 1로 투표하여 예산 조정 법안에서 주 AI 규제에 대한 10년간의 모라토리엄을 제거했으며, 다주 운영자에게 누적되고 관할 구역별로 구체적인 의무를 남겼습니다.

FDA 및 EU AI Act 의무는 임상 범위에 머뭅니다

FDA의 AI 지원 의료기기 감독 및 EU AI Act의 고위험 규칙 모두 실제 요구사항을 부과하며, 주로 진단 또는 치료를 지원하는 AI에 적용됩니다. 행정용 AI를 평가하는 팀은 각 도구가 어느 범주에 속하는지 확인해야 합니다. 주변 문서화 및 분류 도구가 공급업체가 제안하는 것보다 임상 경계에 더 가깝기 때문입니다.

Microsoft 365 Copilot이 별도의 거버넌스 논의를 받아야 하는 이유

Copilot은 대부분의 의료 시스템이 테넌트 전체에 배포하는 유일한 관리 AI 도구이며, 권한에는 아무런 변화를 주지 않으면서 누가 이를 인지하는지에 대해서는 모든 것을 바꾸기 때문에 별도의 처리가 필요합니다.

Microsoft의 문서에 따르면 Copilot은 "개별 사용자가 최소한 보기 권한을 가진 조직 데이터를 표시합니다." 따라서 모든 거버넌스 문제는 해당 권한이 이미 허용하는 범위에 달려 있으며, 이로 인해 정책 문서가 해결할 수 없는 세 가지 문제가 발생합니다:

• 노력이 줄어들어 휴면 접근 권한이 사용됩니다: 이미 SharePoint에서 파일을 열거나 메일함을 검색할 수 있었던 사람이 이제 Copilot에게 요약을 요청하거나, 다른 대화에서 표시하거나, 초안에 끌어올릴 수 있습니다. 권한은 항상 있었습니다. 줄어드는 것은 이를 실행하는 데 필요한 작업량으로, 의도적인 검색에서 자연어 한 문장으로 줄어듭니다.
• 과거의 과도한 공유가 현재의 노출이 됩니다: 광범위한 공유 링크, 오래된 권한, 그리고 조직 개편 이후 아무도 검토하지 않은 그룹 멤버십은 무해하게 남아 있다가 무언가가 빠르게 이를 읽기 시작할 때 문제가 됩니다. 의료 테넌트에서 Copilot 라이선스가 그 순간이며, 그래서 Copilot data security는 권한 감사에서 시작됩니다.
• 잘못된 임상의에게 PHI를 노출하는 것은 HIPAA 위반입니다: 과도하게 공유된 콘텐츠가 PHI일 경우, 필요하지 않은 사용자에게 보여주는 것은 HIPAA의 최소 필요 기준 45 CFR 164.502(b)에 해당합니다. 민감도 라벨 암호화는 Copilot이 콘텐츠 요약을 위해 추출 권한이 필요하므로 노출을 실질적으로 변경합니다.

이 작업을 수행한 의료 시스템은 테넌트 전체 배포 전에 수백만 건의 개별 공유 권한 수정이 이루어졌다고 보고하며, 이는 준비 과정을 단순한 체크리스트가 아닌 프로젝트로 만듭니다.

의료 AI 거버넌스 프로그램 구축 방법

이 결정들 각각은 결정을 내리고 작업을 위임하는 리더에게 속하며, 순서대로 이루어져야 합니다. 인벤토리가 존재하기 전에 소유자를 지정하면 그 사람은 아직 관리할 것이 없습니다.

단일 책임 소유자를 지정하세요

"AI 거버넌스 위원회가 처리할 것입니다,"라는 말 뒤에 이름이 명시된 개인이 없으면 이러한 프로그램은 중단됩니다. 그 사람이 보안, 컴플라이언스 또는 IT에 있든 상관없이 한 사람이 책임을 지는 것이 중요하며, 이는 HIPAA 개인정보 보호 책임자가 개인정보 보호에 책임지는 것과 같습니다.Joint Commission 지침은 AI 구현 전 과정에서 책임자를 지정할 것을 요구합니다.

각 도구가 실제로 접근할 수 있는 범위를 기준으로 인벤토리를 작성하세요

임상, 행정 또는 내장 워크플로우에 영향을 미치는 모든 AI 시스템을 목록화하고, 각 시스템이 접근할 수 있는 PHI 또는 PHI 인접 데이터를 매핑하세요. 각 항목을 실패 여부를 판단할 수 있는 소유자에게 전달하여 진단 도구는 임상 검토로, 생산성 도구는 보안으로 보내십시오.

대부분의 인벤토리는 아무것도 없는 상태에서 시작되며, 발견 자체가 보통 비공식적입니다. 2025년 12월 51개 의료 기관을 대상으로 한 설문 조사에서 Censinet와 CHIME 재단은 51%가 자신들이 어떤 AI를 사용 중인지 알기 위해 비공식적인 임시 발견이나 공급업체 릴리스 노트에 의존한다고 밝혔습니다. Shadow AI 보안 위험은 그 발견이 비공식적인 한 계속 누적됩니다.

공급업체 및 BAA 적용 범위가 AI의 실제 사용 방식과 일치하는지 확인하세요

PHI를 생성, 수신, 유지 또는 전송하는 모든 AI 공급업체는 공급업체의 AI가 PHI를 처리, 저장 및 보존하는 방식을 다루는 BAA가 필요합니다. AI가 제품에 도입되기 전에 서명된 표준 BAA는 계약이 여전히 유효함에도 불구하고 실제 책임 공백을 남기므로 공급업체 제품 업데이트가 갱신 날짜보다 검토를 촉발해야 합니다.

서비스 범위, 데이터 사용, 보관, 하청업체 및 보안 조건을 구체적으로 검토하세요. 서명된 BAA가 고객 데이터 사용에 대한 공급업체의 광범위한 권한을 부여하는 별도의 조건을 무효화하지 않으므로 표준 서비스 계약서와 BAA를 함께 확인하세요. 적용 범위는 제품 라인별로도 다릅니다. OpenAI는 Regulated Workspace를 사용하는 적격 ChatGPT Enterprise 배포에 대해 BAA를 제공하며, ChatGPT Business는 자격이 없습니다.

인벤토리에서 찾은 내용을 기준으로 데이터 및 아이덴티티 제어 설정

접근 제한 및 모니터링은 실제로 인벤토리가 드러낸 노출을 다뤄야 합니다. AI가 도달할 수 있는 시스템을 아무도 알기 전에 작성된 최소 권한 언어는 감사관의 후속 질문을 견디지 못할 것입니다. 인벤토리된 시스템에 범위를 한정한 identity and access management 위험 평가가 그 구체성을 제공합니다.identity and access management risk assessment scoped to the inventoried systems produces that specificity.

결과로 도출된 통제는 정책 진술이 아니라 구체적이어야 합니다. 인벤토리에서 Copilot이 환자 인구 조사 스프레드시트가 저장된 파일 공유에 접근할 수 있음을 보여준다면, 해당 공유에 대한 권한 수정 이 날짜와 소유자와 함께 있어야 합니다.

모니터링 및 에스컬레이션 경로를 설정하세요

프로그램은 AI 기반 PHI 노출을 실시간으로 감지할 방법과 감지 시 에스컬레이션할 지정된 담당자가 필요합니다. 감지는 AI 도구가 읽는 저장소를 감시하는 것을 의미하며, 이는 일반적인 파일 접근 모니터링이 새로운 소비자를 대상으로 합니다. 에스컬레이션 절차가 없으면 문제의 첫 신호는 거버넌스 검토가 있어야 할 곳에서 발생한 사고 보고서입니다.

NIST AI RMF 및 HIPAA를 운영 모델로 사용

NIST AI RMF는 의료 AI 거버넌스 프로그램의 구조를 제공하며, HIPAA는 법적 세부 사항을 제공합니다. 이 둘이 함께 맞춤형 프레임워크의 필요성을 제거합니다.

NIST의 네 가지 기능은 거버넌스 프로그램에 명확하게 매핑됩니다. Govern는 지정된 책임 소유자이며, Map은 인벤토리, Measure는 각 사용 사례의 실제 위험 평가, Manage는 지속적인 통제 및 모니터링입니다. 이 주기는 일회성 구성이 아니라 지속적으로 실행됩니다.

재고 기대치는 명확합니다. Subcategory GOVERN 1.6는 AI 시스템을 재고하는 메커니즘을 요구하며, NPRM에서 제안한 기술 자산 재고는 동일한 기대치를 규제화할 것입니다.

HIPAA의 개인정보 보호 및 보안 규칙은 PHI가 관련된 경우 해당 구조 하에서 법적 의무를 제공합니다. 이들은 함께 광범위하고 명확한 체계를 만들며, 어느 구조도 공식 인증을 요구하지 않습니다.

PHI 접근이 실제로 통제되고 있음을 증명하는 증거

감사자와 이사회 위원회는 증빙 자료를 요청하며, 대부분의 프로그램이 실패하는 부분은 증빙 자료를 수집하는 과정입니다. 작업은 수행하지만 증거를 여섯 개 시스템과 네 명의 이메일함에 흩어 놓습니다. 질문이 오기 전에 각 증빙 자료가 존재해야 합니다.

지정된 소유자가 있는 최신 AI 시스템 인벤토리

각 카탈로그된 시스템은 부서가 아닌 지정된 개인과 연결되어 있으며, 감사자가 특정 Copilot 확장을 누가 승인했는지 물을 때 답할 수 있어야 합니다. 항목에는 시스템이 접근할 수 있는 PHI도 기록되어야 하며, 인벤토리와 데이터 흐름 맵이 두 개의 별도 문서로 분리되지 않고 일치할 수 있도록 해야 합니다.

PHI가 AI 도구에 들어가는 위치를 보여주는 데이터 흐름 지도

PHI가 AI 도구, 프롬프트, 파일, 임베딩 또는 출력에 들어가는 모든 위치는 민감한 데이터 검색 도구를 통해 각 경로를 따라 위치가 지정됩니다. 제안된 HIPAA 보안 규칙은 최소 연 1회 업데이트되는 ePHI 네트워크 맵을 요구하므로, 이 산출물은 좋은 관행보다는 규제 요구 사항으로 향하고 있습니다.

각 AI 도구별 공급업체 및 BAA 문서

각 공급업체가 제공하는 특정 AI 기능에 연결된 문서로, 일반 BAA 폴더가 아니며 프로그램 설정 시 확인된 범위와 일치합니다. 이러한 폴더는 검토자가 실제로 묻는 질문에 답하지 않습니다.

PHI 인접 시스템에 접근할 수 있는 사용자를 보여주는 접근 및 권한 보고서

AI 도구가 볼 수 있는 내용을 시점별로 답변하는 것으로, 도구 자체의 구성 화면이 아닌 기본 저장소에 액세스하는 ID 및 그룹을 의미합니다. Copilot의 설정은 이미 보유한 권한으로 무엇을 할지 설명하므로 도구만으로 작성된 보고서는 범위를 과소평가합니다. 검토자는 중첩 그룹을 통해 상속된 액세스를 포함한 실제 권한에 대해 묻고 있습니다.

해당 접근 권한이 변경된 시점을 보여주는 변경 로그

마지막 스냅샷 이후 몇 달 동안의 접근 변화, 이전보다 더 넓거나 좁아진 것, 단일 접근 보고서만으로는 보여줄 수 없는 내용입니다. 감사관이 실제로 보고자 하는 추세가 바로 이것입니다.

프로그램이 실제로 실행 중임을 보여주는 거버넌스 검토 기록

실제 주기를 보여주는 회의록, 승인 또는 검토 메모. 2026년 5월 Health Sector Coordinating Council의 AI cyber governance framework는 최소 분기별로 구조화된 이사회 AI 위험 보고서를 권장합니다.

요청 시 각각을 제출할 수 있는 조직은 프로그램을 가지고 있습니다. 그것들을 모으는 데 일주일이 걸리는 조직은 정책을 가지고 있습니다.

Netwrix가 증거 계층을 지원하는 방법

Netwrix는 의료 기관이 구축하고 소유하는 프로그램 아래에서 데이터 가시성 및 감사 증거 계층을 제공하며, 어떤 저장소에 PHI가 있는지, 누가 접근할 수 있는지, 무엇이 변경되었는지 답합니다. 의료 분야의 정보 거버넌스는 이러한 답변을 검색할 수 있는지에 달려 있습니다.

민감한 데이터 가시성

Netwrix 1Secure Copilot 및 기타 AI 도구가 접근할 수 있는 PHI 포함 저장소를 식별하고, 배포 전에 Copilot 준비 상태를 평가합니다.Netwrix Access Analyzer 파일 서버, SharePoint 및 하이브리드 환경에서 자동 PHI 검색 및 사전 구축된 HIPAA 준수 매핑을 추가하며, ICD-10 코드, 의료 기록 번호 및 처방약 이름에 대한 탐지 패턴을 포함합니다.

Identity 및 액세스 컨텍스트

Netwrix Access Analyzer는 PHI 인접 데이터에 대한 실제 권한을 보고하며, 광범위한 그룹이 아무도 모르게 획득하는 과도하고 상속된 액세스도 포함합니다. Netwrix 1Secure 및 Netwrix Auditor는 Active Directory 및 Microsoft Entra ID 활동과 권한 변경 사항을 시간 경과에 따라 보고합니다.

King's College Hospital는 Netwrix Auditor를 사용하여 환자 데이터에 접근하는 권한을 강화했으며, 10,000명 사용자 네트워크 전반에 걸쳐 완전한 가시성을 확보하여 National Health Service 준수 보고를 지원했습니다.

감사 증거

Netwrix Auditor는 접근 및 권한 변경 사항을 기록하며, 누가 언제 무엇에 접근했고 무엇이 변경되었는지 이전과 이후 값을 캡처합니다. 장기 보관소는 오래된 증거를 보관하여 변경 로그가 마지막 보존 기간 종료 이후뿐만 아니라 감사 주기 전체에 걸쳐 유용하게 유지되도록 합니다.

Netwrix 1Secure는 같은 질문의 AI 측면을 다룹니다. Microsoft 365 Copilot 상호작용을 보고하고 Copilot이 접근하고 표시한 민감한 데이터를 추적합니다. 이는 도구가 실제로 도달한 내용을 보여주는 증거입니다.

Netwrix가 멈추는 곳

Netwrix는 의료 AI 거버넌스를 카테고리로 제공하지 않으며 HIPAA 준수를 보장하지 않습니다. Copilot이나 다른 AI 도구에 대한 정책을 관리하거나 적용하지 않으며, 임상 모델을 검증하거나 임상 편향을 감지하지도 않습니다. 그 역할은 조직이 소유한 거버넌스 프로그램 아래의 증거 계층입니다.

감사관이 묻기 전에 AI 도구가 실제로 접근할 수 있는 내용을 확인하세요

대부분의 의료 기관은 아직 Copilot과 다른 관리용 AI 도구들이 무엇을 달성하는지 답할 수 없으며, 그 이유는 대개 정책 부재가 아닙니다. 아무도 이를 지도화하지 않았습니다.

이 매핑이 프로그램의 시작점입니다. 이는 책임 소유자에게 어떤 저장소가 중요한지 알려주고, 필요한 아티팩트 목록을 실제로 실행할 수 있는 보고서로 전환하기 때문입니다. 증거 계층을 평가하는 팀은 PHI 노출을 매핑할 수 있는지, 실제 접근 권한을 계산할 수 있는지, 권한 변경 기록을 보존할 수 있는지, 그리고 요청 시 해당 기록을 생성할 수 있는지 테스트해야 합니다.

데모 요청하여 AI 도구가 접근할 수 있는 PHI 인접 저장소, 해당 데이터에 대한 권한 보유자, 그리고 시간이 지남에 따라 접근 권한이 어떻게 변경되었는지 확인하세요.