HIPAA コンプライアンスチェックリスト：2024 年に HIPAA 準拠になる方法

Health Information Technology for Economic and Clinical Health（HITECH）Act によって改正された Health Insurance Portability and Accountability Act（HIPAA）は、個人の医療情報や健康記録を安全に保つことを目的としています。HIPAA 準拠 を達成し維持することで、医療機関は データ侵害 と法的ペナルティのリスクを軽減しながら、患者の機微な健康情報を保護できます。

この記事では、HIPAA および HITECH の主要な要件を詳しく解説し、貴社が HIPAA 準拠であることを確認して、データ侵害 の見出しに載ってしまわないよう、重要なリソースを提供します。

HIPAA 準拠とは何ですか？

HIPAA 準拠 とは、個人の保護される健康情報（PHI）のプライバシー、安全性、完全性を確保するために、Health Insurance Portability and Accountability Act に定められた規制を遵守することを指します。

HIPAA の遵守が求められる組織には、医療提供者、健康保険プラン、医療クリアリングハウスに加えて、それらのビジネス・アソシエイトが含まれます。HIPAA の対象となる事業者は、保護される健康情報のプライバシーと データのセキュリティ を 保護される健康情報 について確実にする必要があります。PHI の例には次のようなものがあります：

• 個人の氏名
• 正面の写真およびそれに類する画像
• 生体認証の識別子
• メールアドレス
• 電話番号
• FAX番号
• 地理データ
• 社会保障番号
• 診療記録番号
• 口座番号
• 健康保険の受益者番号
• 証明書および免許番号
• 車両識別子およびシリアル番号
• デバイス識別子およびシリアル番号
• 年を除く日付
• IPアドレス
• Web URL
• 固有の識別番号またはコード

HITECHとは何ですか？

「医療情報技術のための経済および臨床健康（Health Information Technology for Economic and Clinical Health：HITECH）法」は、医療提供者が医療・健康記録をデジタル化することを促すことで、HIPAA 規制を強化します。この法律は、電子カルテ（電子的な健康記録）を「意味のある形で」使用できなかった場合を罰則の対象とし、信頼でき、相互運用可能で安全な電子的健康データの全米規模での利用を促進することを目的としています。

HIPAA のルールと管理策（コントロール）とは何ですか？

HIPAA のルールには、次のものが含まれます：

• HIPAA プライバシー・ルール
• HIPAA セキュリティ・ルール
• HIPAA 脆弱性（侵害）通知ルール
• HIPAA 執行（エンフォースメント）ルール
• HIPAA オムニバス・ルール

HIPAA の統制（controls）とは、HIPAA の対象となる事業者（covered entities）が PHI（保護対象の健康情報）を保護し、以下に詳述する HIPAA 規則に準拠するために実施する必要があるポリシー、手順、その他の措置のことです。

HIPAA プライバシー・ルール

「HIPAA Privacy Rule」は、PHI がどのように使用され、開示され得るかを規定する一連の基準について説明しています。このルールは、機微な健康データの取り扱いを管理する厳格なガイドラインを徹底し、医療システムの中で患者の機密性とプライバシーを高めることを目的としています。

以下は、プライバシー・ルール（Privacy Rule）の要件に対する HIPAA の統制（controls）です。

1. プライバシー・ポリシーと手順：対象となる事業者（covered entities）は、PHI のプライバシーを確保するための一連のポリシーと手順を策定し、施行しなければなりません。

1. 人員：HIPPA の適用対象（covered entities）は次を行わなければなりません：

• 当該組織のプライバシーに関する実施事項とリソースの開発および運用を担当するプライバシー責任者を任命します。
• 苦情を受け付け、個人に対して当該組織のプライバシーに関する実施事項を周知する責任を負う連絡窓口を設置します。

1. 従業員の研修と管理：covered entities は、Privacy Rule に準拠して職務を遂行できるよう、すべての従業員にプライバシーに関する実施事項について研修を行わなければなりません。
2. 軽減: 対象となる医療機関等は、プライバシー ポリシーまたは HIPAA Privacy Rule に違反する PHI の使用または開示によって生じる有害な影響を、いかなる場合でも軽減しなければなりません。
3. データの保護措置: 対象となる医療機関等は、PHI の悪意による侵害と意図しない侵害の両方を防ぐために、管理的・技術的・物理的な保護措置を確立し、維持しなければなりません。
4. 苦情: 対象となる医療機関等は、個人がプライバシー遵守に関する苦情を申し立てられるよう、窓口（チャネル）を設けなければなりません。
5. 報復の禁止と免除: HIPAA の対象となる医療機関等は、個人が次の行為を行ったことに対して報復してはなりません:

• HIPAA Privacy Rule により定められた権利を行使すること
• HHS またはその他の関連当局が行う調査を支援すること
• HIPAA Privacy Rule（プライバシー・ルール）に違反すると考えられるいかなる行為にも関与しないこと

1. 文書化と記録の保存: 対象となる事業体は、Privacy Rule（プライバシー・ルール）規制の遵守を目的として作成されたすべての文書（プライバシー・ポリシーおよび手順、苦情記録、プライバシー実践に関する通知など）を、作成日または最終の有効日から少なくとも6年間保持しなければなりません。
2. 例外: 全額保険の団体健康保険プランは、要件（7）および（8）のみを遵守する義務があります。

HIPAA Security Rule

The HIPAA Security Rule は、電子健康記録（EHR）の完全性を守り、機密性と可用性を維持できるようにするためのガイドラインを定めています。

米国国立標準技術研究所（National Institutes of Standards and Technology：NIST）は、確立された一連のガイドライン を通じて、組織が HIPAA Security Rule に準拠したセキュリティ実践を策定できるよう支援しています。また、CIA Triad も活用できます。ここでの「CIA」は、次の3つの要素を表します。

• Confidentiality：ePHI が、許可されていない人またはプロセスに対して利用可能な状態になったり、開示されたりしないようにします。
• Integrity：ePHI が、許可されていない形で改ざんまたは破壊されないようにします。
• Availability：許可された人が必要に応じて ePHI にアクセスし、使用できる状態にします。

HIPAA Security Rule の要件には、機微データに対する以下の種類の管理策が含まれます。

• 技術的保護策：アクセス制御、監査制御、完全性制御、個人/主体の認証、伝送のセキュリティ
• 物理的保護策：施設へのアクセス制御、ワークステーションの使用、ワークステーションのセキュリティ、デバイスおよび媒体の管理
• 管理的保護策：セキュリティ管理プロセス、割り当てられたセキュリティ責任、従業員のセキュリティ、情報アクセス管理、セキュリティ意識向上およびトレーニング、セキュリティインシデント手順、事業継続（コンティンジェンシー）計画、評価、ビジネスアソシエイトの計画およびその他の手順

組織はしばしば、「required（必須）」と「addressable（適用可能）」の保護策を区別します。

• 必須の セーフガードは字義どおりに遵守する必要があります。解釈の余地はありません。
• 対応可能な 要件により、組織は固有のインフラ面または技術的な制約を考慮しながら、ある程度の柔軟性を持って対応できます。

HIPAA Breach Notification Rule

HIPAA Breach Notification Rule は、PHI（保護健康情報）の侵害を受けた場合に、一定の関係者へ通知することを適用対象事業体（covered entities）に求めています。具体的には、HIPAA Breach Notification Rule は次のことを要求します。

• 個人への通知：適用対象事業体（covered entities）は、PHI の侵害を発見した場合、影響を受ける個人へ通知することが求められます。
• 報道機関への通知：侵害（ブリーチ）が、州または管轄区域の居住者500人を超える者に影響したことが判明した場合、責任を負う対象事業者（covered entities）は、その州または管轄区域にサービスを提供している主要な報道機関に通知しなければなりません。
• Secretary への通知：対象事業者（covered entities）は、PHI の侵害（ブリーチ）を発見した場合、Secretary に通知しなければなりません。

組織は、適切なリスク評価手順に基づいて、デュー・ディリジェンス（due diligence）を行ったことを証明し、PHI の侵害（compromise）の可能性が低いことを示すことができます。

HIPAA 執行規則

HIPAA Enforcement Rule（HIPAA 执行規則）は、データ侵害をどのように調査するかについての基準を定め、責任ある当事者に対する罰則（ペナルティ）の枠組みを示します。

HIPAA Omnibus Rule

HIPAA Omnibus Rule:

• HITECH が求める段階的な罰則（ペナルティ）構造を定めます
• 被害（害）の閾値に変更を導入し、HITECH Act に基づく「保護されていない ePHI」に対する Breach Notification（侵害通知）の最終規則を含みます
• HIPAAを改正し、Genetic Information Nondiscrimination Act (GINA) の規定を含めます。これにより、保険引受（underwriting）目的で遺伝情報を開示することが禁止されます
• PHIおよび個人識別子をマーケティング目的で使用することを防止します

HIPAA Omnibus Rule の要件には、次の事項が含まれます。

• 新しい Business Associate Agreements（BAAs）：ビジネス・アソシエイトのサービスを利用する前に、各組織は新たなHIPAA準拠のBAAに署名しなければなりません
• Business Associate Agreement の更新：既存のBusiness Associate Agreementsは、Omnibus Ruleに準拠するよう更新しなければなりません。
• プライバシーポリシーの更新: プライバシーポリシーは、Omnibus Rule の変更に準拠するために更新する必要があります。
• 更新されたプライバシー慣行の通知（NPP）: NPP は、Omnibus Rule が求める情報を網羅するために更新する必要があります。
• 更新された HIPAA の従業員研修: Omnibus Rule の改正および定義の変更に関する従業員研修を実施し、記録を残す必要があります。

HIPAA チェックリスト

以下のチェックリストを使用して、貴組織が HIPAA に準拠していることを確認するのに役立ててください。

1) 監査と評価

定期的に社内 HIPAA 監査を実施し、セキュリティ評価 とプライバシー監査を行って、データのセキュリティ を支えるようにしてください:

• NIST のガイドラインを使用して、HIPAA Rule SP 800-66, Revision 1 に従い、必須となる年次 HIPAA 監査および評価のうち、貴社に適用可能なものを特定します。
• 必要な監査および評価を実施し、結果を分析して理解し、問題や不備があればそれを文書化します。
• それらの問題や不備に対処するための、十分に検討された是正（改善）計画を作成し、文書化します。
• 計画を実行し、結果を確認します。望んだ結果が達成できていない場合は、計画を更新してください。