最も人気のある HIPAA 準拠クラウド ストレージ サービス

クラウド コンピューティングは、電子健康記録の保存やアクセスにおいて、否定できない利点をもたらします。クラウドに保存されたファイルは、あらゆるデバイスからいつでもどこでもアクセスできるため、医療従事者同士で重要な医療情報を簡単に共有できます。しかし、クラウド ストレージは、機微な個人情報や医療情報を保存・アクセス・転送するのに十分な安全性があるのでしょうか？

クリニック、病院、その他の医療機関にとって、患者の医療情報が非公開のままであることを確保するのは、単なる倫理的な問題ではなく、法的な問題でもあります。Health Insurance Portability and Accountability Act (HIPAA) では、医療データの保存と共有に関する明確なルールが定められています。健康記録を取り扱うあらゆる組織は、これに準拠している必要があります。

そのため、医療機関は健康に関するデータをクラウド ストレージに移行する前に、使用を予定しているソフトウェアが HIPAA compliant。

この記事では、HIPAA に準拠したストレージを取り上げ、クラウド ストレージを準拠させるうえで、あなたが担うべき責任について説明します：

• HIPAA とは？
• HIPAA 準拠とクラウド ストレージ
• HIPAA と HITECH に対応した最も人気のあるクラウドストレージサービス
• HIPAA 準拠に不可欠なセキュリティ機能
• ポイント
• よくある質問

HIPAA とは何ですか？

HIPAAは 一連のルール であり、健康および医療情報の許容される使用と開示を定めています。健康情報に誰が、そしていつアクセスできるかに制限を設けると同時に、閲覧する権限を持たない個人から健康データを保護するための基準も設定しています。

HIPAAの主な規定には以下が含まれます：

• HIPAAプライバシー規則 — 個人の健康情報がどのように開示または使用され得るかを規制する
• HIPAAセキュリティ規則 — 電子的に作成、処理、アクセス、または保存される医療情報を保護し、守るための基準を定める
• HIPAA Breach Notification Rule — 個人の健康情報が漏えい（暴露）された場合に、その個人へ通知することを組織に求め、通知の手順を定めます
• HIPAA Omnibus Rule — 定義、手順、方針を明確化し、Business Associates向けのチェックリストを提供し、Health Education Technology for Economic and Clinical Health (HITECH) Actの要件を実装します
• HIPAA Enforcement Rule — データ侵害 の後に行われる調査を規定し、責任ある当事者に課される罰則を定めます

医療機関は、これらの規則を遵守するために、具体的な安全対策、手順、および方針を策定しなければなりません。

保護される情報の種類

HIPAAは「個人を特定できる健康情報」の保護を求めています。これは、次の情報として定義されます：

• 個人の過去・現在・将来の身体的または精神的な健康
• 個人に対する医療の提供
• 個人に対する医療の提供に関して行われる過去・現在・将来の支払い
• 個人の氏名または、個人を特定するために使用できると合理的に考えられるデータ

セキュリティ上の保護措置の種類

HIPAA のセキュリティ規則では、保護された健康情報（Protected Health Information）に対する3種類の保護措置が定められています：

• 物理的な保護措置 — HIPAA では、ワークステーションの使用と配置に関するポリシー、およびモバイル機器の使用手順を策定し、また必要に応じて施設へのアクセス制御を実装することを求めています。
• 技術的な保護措置 — HIPAA では、活動ログと管理（コントロール）、さらにアクセス制御の手段を実装することが求められます。コンプライアンスのためには、情報を認証する仕組みや暗号化ツールが必要になる場合があります。
• 管理上の保護措置 — HIPAA では、リスク評価の実施、リスク管理ポリシーの導入、事業継続計画（コンティンジェンシープラン）の策定、そして第三者による情報へのアクセスの制限が求められます。

HIPAA の重要用語

HIPAA で使われる最も重要な用語は次のとおりです：

• PHI: 保護された健康情報
• ePHI: 電子的に保存または送信される保護された健康情報
• 対象（Covered entity） — 医療提供者、健康プラン提供者（例：保険会社または雇用主）または医療情報の取扱機関（healthcare clearinghouse）
• 業務委託先（Business associate） — 対象（covered entity）のためにサービスを提供する、または特定の機能や活動を行う個人または企業
• 業務委託契約（Business Associate Agreement） — 業務委託先（business associate）がアクセスできるPHI（保護対象の健康情報）が何であるか、PHIをどのように使用するのか、必要とされた業務が完了した後にPHIを返却または破棄するための要件を定めた法的契約です。対象（covered entity）は、業務委託先がアクセスできるようにする前に、Business Associate Agreementを取得しなければなりません。

HIPAA のコンプライアンスとクラウドストレージ

クラウドサーバーはどれも、そのままの状態でHIPAAに完全に準拠しているわけではありません。しかし、ITの専門家が介入して、受け入れ対象（covered entities）の要件に合わせてクラウドを準拠させる方法はいくつかあります。

組織は、公式な HIPAA または HITECH の認証が存在せず、また政府や業界がクラウドサービスの HIPAA compliance を認定しているわけではないことを念頭に置くべきです。つまり、法律の要件を遵守していることを確実にするのは、対象となる事業体（covered entity）およびクラウドサービス提供者（cloud service provider）に委ねられます。クラウドサービスは HIPAA の規制を見直し、対象となる事業体の HIPAA compliance の目標を支援するために、製品、ポリシー、手順を更新する必要がある場合があります。

HIPAA はクラウドストレージにどのように適用されますか？

対象となる事業体（covered entity）がクラウドに PHI（保護対象の医療情報）を保存する場合、クラウドストレージサービスは法律上、対象となる事業体の business associate と見なされます。したがって、HIPAA compliant であるためには、Business Associate Agreement（ビジネス・アソシエイト契約）が締結されている必要があります。契約には、クラウドサービス提供者が次を行うことを明記しなければなりません。

• クラウドへ送信されるデータを保護する
• データを安全に保管する
• データアクセスを慎重に制御できるシステムを提供する
• アクセスの成功・失敗を問わず、すべての活動のログを記録する

HIPAA に準拠したクラウドストレージには、ePHI の 機密性、完全性、可用性 を確実にするために必要なすべての管理策が組み込まれています。covered entity は、この情報に対して HIPAA にセキュアなクラウドストレージを使用することを対象とするポリシーおよび手順を作成する責任を負います。

どのクラウドサービスは HIPAA に準拠していると見なされませんか？

一部のクラウドサービスは、さまざまな理由により HIPAA に準拠させることができません。たとえば Apple と iCloud は、covered entity 向けの BAA を提供していないため、HIPAA に準拠することができません。

その他のサービスは、データ分類などの必須の統合セキュリティ機能を提供できないため、ePHI の保存に使用できません。

なぜデータ分類が不可欠なのでしょうか？

データ分類 は、ePHI を棚卸しし、機密性レベルに応じてグループ化するために必要です。これにより、組織は HIPAA Security Rule で求められるとおり、その機密性・完全性・可用性を確保できます。規制対象データと非規制対象データを区別することで、分類によって組織は次のことが可能になります：

• セキュリティ対策の優先順位を付ける
• 重要な資産を保護する
• 改善 リスク管理。データの価値と、データの喪失、悪用、または侵害がもたらす影響を評価するのに役立ちます
• 法的ディスカバリー（証拠開示）を効率化
• ユーザーの生産性を向上

HIPAA によって保護されるデータは、通常、次の3段階のデータ分類スキームに従います。

• 制限付きまたは機密データ— 開示、改ざん、または破壊された場合に重大な損害を引き起こす可能性のある情報です。このデータは、最小特権の原則（the principle of least privilege）に従って、制御されたアクセスを用いて最高レベルのセキュリティを必要とします。
• 内部データ — 開示、改ざん、または破壊によって中程度または低レベルの損害を引き起こし得る情報です。このデータは一般に公開されず、合理的な セキュリティ対策 が必要です。
• 公開データ — 公開データは不正アクセスへの防護は必要ありませんが、不正な改ざんや破壊からは保護が必要です。

HIPAA Privacy Ruleはクラウドサービスにどのような影響を与えますか？

HIPAA Privacy Ruleでは、対象となる事業体およびビジネス・アソシエイトに対し、ePHI の完全性を確立し、ePHI を不正な破壊または改ざんから保護することが求められます。組織は、ePHI が保存、受領、保管、送信のどこで扱われるのかを特定する必要があります。クラウド ストレージ サービスの場合は、この作業に特別な注意が必要です。

ePHI に対してクラウド ストレージを利用する場合、最も安全なのは、HIPAA および HITECH の要件に互換性があることが知られているサービスを使用することです。

HIPAA と HITECH に対応している最も人気のクラウドストレージサービス

HIPAA と HITECH Act に対応している人気のクラウドストレージサービスはいくつかあります。

これらのサービスのすべてのバージョンが準拠（コンプライアンス）しているわけではない点に注意してください。通常、HIPAA に準拠した使用をサポートするのは特定のバージョンまたはライセンスだけです。ただし、以下の各プラットフォームはいずれも、準拠を実現するための適切なセキュリティ機能を備えたバージョンを少なくとも 1 つ提供しており、すべて Business Associate Agreement に署名する用意があります。

1. Dropbox Business

Dropbox Business は、対象となる組織（covered entities）向けに BAA を提供し、HIPAA に準拠したクラウドストレージを提供するように設定できます。このサービスでは、ユーザーアクセスのレビューや ユーザーのアクティビティレポート など、さまざまな管理上のコントロール機能が提供されます。さらに、リンクされたデバイスのレビューと削除が可能で、追加のセキュリティとして二段階認証も有効にできます。

2. G Suite および Google Drive

Google は、標準の G Suite 契約への追補（addendum）として BAA を提供しています。すべての G Suite 製品を HIPAA に準拠させることはできませんが、ePHI の保存と共有に関する法的要件を満たす、有用な Google アプリは多数あります。

Google Drive と、Docs、Sheets、Slide、Forms のような関連アプリはすべて HIPAA に準拠するように設定できます。Gmail や Calendar のようなサービスも同様です。 ただし、Google Contacts や、YouTube や Blogger のような非コアの Google サイトは HIPAA に準拠させることができないため、BAA に含めることはできません。

3. Microsoft OneDrive と E5

Microsoft のオンライン サービス条項には、Business Associate Agreement が自動的に含まれます。この契約は OneDrive for Business、Azure、Azure Government、Cloud App Security、Office 365 などで利用できます。対象となるサービスには、メール、ファイル ストレージ、カレンダーが含まれます。Microsoft はまた data loss prevention ツールも提供しています。

Microsoft の Enterprise E5 ライセンスは、同社が提供している中で最も強力なセキュリティ機能を提供します。このパッケージには、リスクを評価するための高度なセキュリティ管理も含まれています。

4. Box Enterprise および Elite

Box Enterprise および Elite のアカウントには、ユーザーとコンテンツに対するアクセス監視、レポート、および監査ログが含まれます。また、このサービスはきめ細かな権限または認可も提供します。Box は、ダイレクトメッセージングプロトコルを通じてデータを安全に共有でき、X 線、CT スキャン、超音波を含む DICOM ファイルの安全な閲覧も可能にします。

HIPAA 準拠のための必須セキュリティ機能

HIPAA では、適用対象組織（covered entities）と連携するサービスに対して、複数のセキュリティ機能が求められます。ここで挙げたクラウド ストレージ サービスはいずれも、以下のセキュリティ設定の組み合わせを可能にしています：

• HIPAAに準拠したクラウドストレージは 2段階認証 または シングルサインオン と、転送される ePHI の暗号化を提供しなければなりません。
• ePHI にアクセスしたり送信したりするために使用するすべてのデバイスは 暗号化 して、ファイアウォールの外部へ送信するメッセージを保護し、復号化 して受信したメッセージを処理できる必要があります。すべての暗号化は NIST の基準を満たさなければなりません。
• ファイル共有の権限の設定 により、対象となる事業者は、許可されていないユーザーのアクセスを制限する権限ベースのシステムを導入できます。これらの統制は、有効に機能するように正しく設定されている必要があり、たとえば2段階認証、 安全なパスワード および 安全なファイル共有手順 によって データを不正アクセスから保護することが含まれます。
• アカウント活動の監視 では、不適切な活動を速やかに見つけられるよう、アクセスログを定期的に確認する必要があります。Netwrix Auditor のようなソリューションは、クラウド上での業務活動を可視化するのに役立ちます。Netwrix Auditor は、アクセスイベントと 変更 について、コンテンツの変更、セキュリティ設定、メールボックス設定の変更を含めてレポートします。
• データ分類 は、機密性レベルに基づいて情報を分類し、保護するために不可欠です。Netwrix Data Classification は、カスタマイズしやすい事前定義の分類体系を提供し、データを正確に分類し、重要なワークフローを自動化して データセキュリティ を向上させます。
• クラウドドライブは、セキュリティコントロールを適切に設定し、 アクティビティを監視 システムに保存されているデータの周囲で監視しない限り、HIPAAに準拠することはできません。組織のクラウドストレージサービスが引き続き準拠状態を維持できるようにするには、定期的に リスクアセスメント を実施し、厳格なサイバーセキュリティのポリシーと手順を策定してください。

要点

信頼できるクラウドプロバイダーを利用することは重要ですが、準拠したクラウドストレージが保証されるわけではありません。クラウドサービスが Business Associate Agreement（BAA）に署名し、管理上のセキュリティコントロールを提供していても、暗号化やその他の セキュリティツール があるだけでは、組織が自動的に HIPAA に準拠することにはなりません。

クラウドストレージサービスが HIPAA に準拠していることを確認するために、以下を必ず行ってください。

• 設定を適切に構成する
• サードパーティ製アプリのクラウドへのアクセスを確認する
• ログ監査には専用ツールを使用し、ファイルのセキュリティとプライバシーを確保する

医療機関も患者さんも、ePHI を損傷、破壊、改ざん、ならびに不正アクセスから守るために、強固なサイバーセキュリティ手順に頼っています。これらのサービスのいずれかを利用することで、データの安全を保ち、医療機関が法律に準拠している状態を維持するのに役立ちます。

よくある質問

クラウド ストレージを HIPAA に準拠させるセキュリティ機能はどれですか？

HIPAA 準拠のクラウドストレージサービスはすべて、次を提供します。

• データの分類
• アクセスおよびファイル共有に対する権限の制限
• データの暗号化と復号
• 2段階認証またはシングルサインオン（SSO）
• 試みられたアクセスを記録し、アクセス後にデータに対して行われたことを記録するためのアクティビティログおよび監査コントロール

Business Associate Agreement (BAA) の目的は何ですか？

対象となる事業体（covered entity）がクラウドストレージサービスを利用する前に、そのサービスと BAA 契約に署名する必要があります。この契約は：

• 業務提携先（business associate）がアクセスできる PHI（保護対象の健康情報）を指定します
• PHI がどのように使用され得るかを定めます
• 必要になったタスクが完了したら、PHI をどのように返却または破棄するかを定めます

BAA を持っていれば、組織の HIPAA および HITECH Act の順守が確実になりますか？

いいえ。医療機関である貴社（あなた）には、適切な設定を確立し、必要なポリシーを作成し、デューデリジェンスを実施して HIPAA compliance を達成し、維持する責任があります。