HIPAAの主要なデータセキュリティ要件と標準

市場セクターや事業規模を問わず、すべての組織は データ漏えい およびその他のセキュリティインシデントを最小限に抑えるために、自社のデータを保護しなければなりません。医療における データセキュリティ の重要性は、Health Insurance Portability and Accountability Act（HIPAA）への準拠が必要であることによってさらに高まります。この記事では、医療機関が HIPAAの主要な規定を遵守するために活用できるデータ保護の戦略と手法を解説し、医療分野におけるデータセキュリティ上の最も一般的な脅威を取り上げます。

HIPAA のデータセキュリティおよびプライバシー規則

背景

医療機関の技術担当者は、医療情報をセキュリティ上の脅威や セキュリティリスク から保護する責任があります。外部のハッカーと悪意ある内部者の両方が、電子的な受護された健康情報（e-PHI）へのアクセスを常に試みています。多くの場合、情報を販売して金銭的利益を得ること、ID窃盗、または脅迫が目的です。受護された健康情報には、個人の過去・現在・将来の健康状態（精神的または身体的）に関するあらゆる情報が含まれます。これには、提供された医療サービスに関するデータ、医療費の支払い、健康保険給付のデータが含まれます。

HIPAA は、医療機関にデータセキュリティの改善を求めるために 1996 年に制定されました。医療機関が医療情報とどのように連携しなければならないかを定める複数の要件が含まれています。たとえば、患者の承認なしにその情報を使用または開示することを制限することで、個人の健康情報のプライバシーを保護する必要があります。

HIPAA には 2 つの重要な構成要素があります。プライバシー・ルール（Privacy Rule）とセキュリティ・ルール（Security Rule）です。

プライバシー・ルール

HIPAA プライバシー・ルールは、PHI（保護対象の健康情報）に誰がアクセスできるのか、またそれをどのように使用・開示できるのかを規定します。主な要件は以下のとおりです:

• 従業員の役割に基づいて、保護対象の健康情報へのアクセスおよび利用を制限するポリシーと手順を導入しなければなりません。オフィスマネージャーやセキュリティ担当者など、アクセスが必要でない従業員が保護対象の健康情報にアクセスできないようにする必要があります
• PHI の使用および開示を「最小限の必要」に制限するポリシーと手順を導入しなければなりません。たとえば保険会社が、ある人の氏名、社会保障番号、および最新の医療処置の詳細情報を必要としている場合、プライバシー・ルールでは、その人の医療記録全てを送付しないことが求められます。
• 保護される医療情報を開示する前に、本人の許可を必ず書面で取得しなければなりません。たとえば、個人の医療情報を製薬会社に送る予定がある場合は、まず本人の許可を書面で取得する必要があります。

HIPAAプライバシールールに従わない場合、民事および刑事上の罰則が発生する可能性があります。州によっては独自のルールを設けているところもありますが、HIPAAは連邦の要件であり、州レベルで矛盾する規則を上書きします。HIPAAの対象となる事業体（covered entities）には、病院や介護施設などの医療提供者だけでなく、健康保険プラン（健康保険会社、HMOなど）や、ヘルスケア・クリアリングハウス（他の事業体から受け取った医療情報を処理する事業体）も含まれます。

HIPAA Security Rule

HIPAAセキュリティールールでは、医療機関が適切な管理的・物理的・技術的な保護措置を用いてePHIを保護することを求めています。具体的には、セキュリティールールは対象となる事業体（covered entities）に対し、次のことを実施するよう求めています：

• 自らが作成、受領、維持、または送信するすべての e-PHI について、機密性、完全性、および可用性を確保する。このルールでは、データの機密性、完全性、および可用性（CIA、または「CIA triad」）を確実にすることが求められています。ルールの構成要素を個別に見ていきましょう：
  • 機密性。セキュリティ制御を実装することで、機密性を確保するのに役立ちます。たとえば、アクセス制御リスト（ACL）や暗号化などです。暗号化はACLよりも高い安全性と機密性を提供します。その他のセキュリティ制御やソフトウェアは、ACLや暗号化の上にさらに重ねて導入されることがよくあります。これには、構成管理ソフトウェア、監視・アラートソフトウェア、および 監査（オーディット）ソフトウェアが含まれる場合があります。
  • 完全性。データの完全性とは、データが改変されていないことを意味します。たとえば、man-in-the-middle 攻撃がデータを傍受して、元の宛先に送信する前にデータを改変してしまうと、そのデータには完全性がありません。完全性を確実にする方法の1つは、デジタル署名またはハッシュを使用することです。データベースに保存されたデータについては、エンティティの完全性、参照整合性、そしてドメイン
  • 可用性。可用性はデータセキュリティの重要な要素であるにもかかわらず、時には人々がそれを忘れてしまいます。必要なデータにアクセスできるようにするため、組織は、例えばプライマリのデータセンターからセカンダリのデータへ複製するといったさまざまな解決策を導入できます。ロードバランサー、冗長なハードウェア、その他の戦略も、高可用性の確保に役立ちます。

• 保護情報のセキュリティまたは完全性に対して、合理的に予測される脅威を特定し、それに対して保護する。このルールにはある程度の解釈が必要です。多くの組織は用心深い姿勢で、可能な限り多くの脅威を含めるようにし、サプライチェーン全体を含めたり、施設の特定のエリアでモバイルデバイスの使用を制限したりするところまで踏み込みます。このように厳格に解釈することは、安全ルールの要件を満たすのに役立ちます。いずれにせよ、合理的な脅威には、不適切なデータの改ざん、無許可のデータアクセス、そしてデータなどが確実に含まれます。これらの脅威やその他の脅威については、本記事の後半でさらに詳しく説明します。
• 合理的に予測される許可されない使用または開示から保護する。この規則も解釈の余地があります。従業員が患者の友人に保護された健康情報を漏らす可能性があると、合理的に見込めるでしょうか？ 有名人が治療を受けている場合、医師が一部の患者記録や患者の健康に関する詳細をメディアに報告することはあり得るでしょうか？ この規則では、こうしたケースを検討する必要があるかもしれません。
• 従業員（人員）を通じてコンプライアンスを確保する。この規則は、Security Ruleに従うために必要な行政上の保護措置の一部を扱います。コンプライアンスを確実にするには、従業員を教育する必要があります。従業員は、HIPAAが何であるか、コンプライアンスにおいて自分がどのような役割を担うのか、そして組織のセキュリティポリシーと手順について、上位概念として理解しているべきです。従業員が新しい要件や方法を学べるようにするため、年間を通じて繰り返しの研修が必要です。定期的なテストも必ず実施し、必要な個人には追加の研修をフォローアップとして行ってください。

HIPAA Enforcement Rule

Privacy RuleとSecurity Ruleに加えて、HIPAA Enforcement Ruleについても理解しておく必要があります。これはコンプライアンス、調査、罰則に関するものです。

HITECH Act

医療情報技術を経済的および臨床的に支えるための Health Information Technology for Economic and Clinical Health（HITECH）法は、HIPAA の適用範囲を拡大します。電子健康記録の利用を促進し、非遵守に対する責任を高め、違反（ブリーチ）の通知を規定し、HIPAA 適用組織の特定のビジネスアソシエイトに HIPAA の遵守を求めています。

HIPAA 準拠のための戦略

もちろん、HIPAA 準拠 は複雑な取り組みであり、失敗した場合のリスクは高いです。HIPAA に準拠した IT 環境を実現し、維持するのに役立つリソースは複数あり、たとえば HIPAA Software などがあります。

米国国立標準技術研究所（National Institute of Standards and Technology：NIST）は、国家標準を策定し、NIST Cybersecurity Framework のような枠組みを含む、無料の IT セキュリティ リソースを提供しています。introductory guide は、貴社の組織が HIPAA Security Rule（HIPAA のセキュリティ規則）に準拠するのに役立ちます。

Health Information Trust Alliance（HITRUST）は、組織が機微（センシティブ）データを保護できるよう支援することを使命とする非営利団体です。同団体の Common Security Framework（CSF）は、組織が HIPAA やその他の法律への準拠をより容易にするための枠組みであり、他のフレームワークや標準とも良好な相互運用性を提供します。HIPAA は認定可能な標準ではありませんが、医療機関は HITRUST 認定を取得できます。

医療データのセキュリティに対する最大の脅威

医療業界は、他の分野と同様にデータセキュリティに対する多くの脅威に直面しています。主な違いは、医療機関では通常、医療データが貿易上の秘密や財務記録ではなく、究極の標的になることです。以下は、主要な脅威と潜在的なセキュリティインシデントです：

• データ侵害。一般に、誰かが許可なく情報にアクセスした場合、それは data breach です。その人が悪意を持った内部者、ハッカー、あるいは単に好奇心が強すぎる従業員であっても同様です。ただし、次のような PHI の開示（disclosure）は data breachとは見なされません（HIPAA の場合）：
  • 本人が PHI を「善意（in good faith）」かつ「権限の範囲内（within the scope of authority）」で、誤ってアクセスまたは使用したものの、HIPAA Privacy Ruleで認められていない方法でさらに PHI を開示しない場合。
  • 認可された人物が、同一組織内の別の認可された人物に対して PHI を誤って開示した場合であっても、Privacy Rule に準拠していない方法でさらに PHI を開示しないこと。
  • 認可された人物がデータを不適切な相手に開示したものの、相手がそのデータを保持できないと誠実に信じている場合。

組織がデータ侵害を発見した場合、HIPAA Breach Notification Rule で定められているとおりに侵害通知を行わなければなりません。

• Data exfiltration. Data exfiltration とは、情報を許可されていない場所へコピーすることです。data exfiltration の多くは、組織の外部にある許可されていない場所へデータをコピーすることを含みます。これに対する一般的な用語としては、data leakage や data exfiltration もあります。データ侵害の通知ルールは、data exfiltration だけでなく data breach にも適用されます。
• Ransomware attacks。Ransomware は、データを暗号化することで、そのコンピューターまたはそのコンピューター上のデータへのアクセスを妨げるタイプのマルウェアです。データを取り戻すには、身代金を支払うか、バックアップから復元する必要があります。身代金の支払いは、Bitcoin などの追跡困難なデジタル通貨を通じて手配されることがよくあります。Coveware research によると、2019 年にランサムウェア攻撃の標的となった業界の中で、ヘルスケアは 3 番目でした。この状況が良い方向に変わる可能性は低いでしょう。攻撃者は、医療治療に必要なデータを復元する緊急性が高いことから、支払いが行われやすいと理解しているためです。ただし、身代金を支払っても実際に復号鍵が手に入ることは保証されません。したがって、Ransomware attacks から回復できるようにする最善の戦略は、オフラインのバックアップを用意しておくことです。

• その他のサイバー脅威。さまざまなその他のサイバー脅威が、医療機関のリスクになります。多くの攻撃は電子的な医療データを盗むことを目的としていますが、別の攻撃はデバイス、システム、またはサービスを奪おうとします。医療機関は あらゆる種類のサイバー攻撃の主要な標的です。上で述べたとおり、重要なシステムやデータの利用不能が生じると、罰金や評判の毀損だけでなく、医療の結果の悪化や、さらには生命の損失につながり得るためです。新しい技術の導入は攻撃対象領域を広げます。とりわけ医療分野では、クラウド セキュリティがますます重要な懸念事項になっています。

まとめ

一部の医療機関は、技術的ニーズの大部分を社内の IT チームに対応させていますが、別の機関では、サービスプロバイダーや製品ベンダーにセキュリティ管理の取り組みを実装または支援してもらうことに頼っています。どの戦略を選ぶにしても、PHI を適切に保護し HIPAA を遵守するためには、あなた自身とすべてのビジネスアソシエイトが、健康情報が不適切に開示されたり盗まれたり、暗号化されたりするリスクを最小限に抑えるために必要な措置を講じていることを確認する必要があります。