HIPAA リスクアセスメントの実施方法

米国保健福祉省（U.S. Department of Health and Human Services、HHS）は、医療機関に対して 1996 年の「健康保険の携行性と責任に関する法律（Health Insurance Portability and Accountability Act of 1996、HIPAA）」の遵守を求めています。この法律では、医療機関が患者の保護対象ヘルス情報（PHI）のプライバシーとセキュリティを守るための方針と手順を実施することが求められます。

主要な要件の一つはリスクアセスメントを実施することです。この記事では HIPAA リスクアセスメントの要件を説明し、関連する手順についてのガイダンスを提供します。

HIPAA のリスクアセスメントとは？

HIPAA には 2 つの重要な構成要素があります：

• HIPAA Security Rule（45 CFR Part 160 および Part 164 の Subparts A と C）— 対象事業者に対し、適切な管理的・物理的・技術的なセーフガードを用いて ePHI を保護することを求めています。
• Privacy Rule（45 CFR Part 160 および Part 164 の Subparts A と E）— PHI にアクセスできるのは誰か、どのように使用できるのか、そしていつ開示できるのかを規制します。

HIPAA のセキュリティ リスクアセスメントは、これら 2 つのルールの両方を遵守するために非常に重要です。組織が生成、受領、保管、または送信するすべての PHI について、機密性・可用性・完全性に対する潜在的なリスクや脆弱性を特定し、それらのリスクを軽減するための適切な対策を実装するのに役立ちます。

自社組織には HIPAA のリスクアセスメントの実施が義務付けられていますか？

医療センターやヘルスプランなど、PHI（保護対象の健康情報）を生成、受領、保存、または送信するあらゆる対象事業者には、HIPAA のリスクアセスメントの実施が求められます。さらに、いかなる ePHI（電子的な保護対象の健康情報）ともやり取りするビジネスアソシエイト、下請業者、ベンダーも、HIPAA のリスクアセスメントを実施しなければなりません。

少なくとも年に1回は HIPAA のセキュリティ評価を実施し、新しい作業方法、技術、または既存の IT システムへの重要なアップグレードが導入されるたびにも実施する必要があります。

対象となる組織は、HIPAA のリスクアセスメント要件を真剣に受け止める必要があります。米国民権局（Office for Civil Rights：OCR）は、1 件の違反につき100ドルから50,000ドル、または1 件の記録につき（それぞれの違反ごとに）、年間最大150万ドルまでの罰金を科すことができます。

HIPAA リスク評価の手順は何ですか？

HIPAA は、特定のリスク分析手法を定めていません。代わりに、組織は、HIPAA complianceを達成し、維持するために、NIST 800-30 のような標準をガイドラインとして日常的に参照します。NIST SP 800-30 は、情報システムにおけるセキュリティ対策の有効性を評価するための標準的なリスクアセスメント手法を定義しています。

一般に、HIPAA リスク評価を実施するには、次の 9 つのステップが含まれます：

ステップ 1：リスク分析の範囲を決定します。

まず、リスク分析の範囲を特定する必要があります。HIPAA のリスク分析には、ePHI の出どころや場所にかかわらず、またそれを作成・受領・保管・送信するために使用される電子媒体に関係なく、組織の ePHI を含めなければなりません。

さらに、この分析では、当該 ePHI の機密性・完全性・可用性に対する、すべての「合理的」なリスクおよび脆弱性を対象にする必要があります。「合理的」とは、外部の悪意ある行為者、悪意のある内部関係者に加え、知識や訓練の不足による人的ミスなど、予見可能な HIPAA compliance へのあらゆる脅威を意味します。

ステップ 2：データを収集する。

次に、ePHI の利用および開示に関する、完全で正確な情報を収集します。これには、次の方法があります。

• 過去および現在のプロジェクトの棚卸し（インベントリ）を分析する
• インタビューの実施
• ドキュメントの確認
• 必要に応じてその他のデータ収集手法を使用する

ステップ 3：潜在的な脅威と脆弱性を特定する。

次に、規制対象のデータそれぞれについて脅威と脆弱性を分析します。合理的に想定されるすべての脅威を含めてください。

特定された脅威には、あなたのセキュリティ環境に固有の要因を含める必要があります。たとえば、クラウドソリューションとして Amazon Web Services (AWS) を使用している場合は、AWS に関連するセキュリティリスクを特定してください。

ステップ 4：現在のセキュリティ対策を評価してください。

ePHI へのリスクを軽減するために、すでに実施しているセーフガードと対策を文書化してください。次の対策を必ず含めてください：

• 技術的対策 例：アクセス制御、認証、暗号化、オートログオフ、監査、およびその他のハードウェア／ソフトウェアによる管理。
• 非技術的な対策、 つまり、ポリシー、手順、物理的または環境的なセキュリティ対策などの運用および管理上の管理。

各セキュリティ対策の構成と利用方法を分析し、その適切性と有効性を判断します。これにより、各セキュリティ対策に関連するリスクを低減することができます。

ステップ 5：脅威が発生する可能性を判断します。

脅威が特定の脆弱性を引き起こす、または悪用する可能性を評価し、考えられる各「脅威×脆弱性」組み合わせをそれぞれ検討します。発生可能性を表す一般的な方法としては、High、Medium、Low といったカテゴリを用いる方法や、特定の数値的な重みを割り当てる方法などがあります。

ステップ 6：各脅威の発生がもたらし得る影響を判断します。

各データの脅威について、起こり得る結果を次のように詳しく示します。

• 不正アクセスまたは情報の開示
• 永続的な損失または破損
• 一時的な損失または利用不能
• 資金（キャッシュフロー）の喪失
• 物理的資産の損失

各結果の影響を見積もり、文書化します。対策は定性的または定量的である場合があります。

ステップ 7：リスクのレベルを特定します。

各脅威に割り当てた「発生可能性」と「影響」の値を分析します。次に、割り当てられた確率と影響レベルに基づいてリスクのレベルを決定します。

ステップ 8：適切なセキュリティ対策を決定し、文書を完成させます。

各リスクを合理的なレベルまで低減するために使用できる潜在的なセキュリティ対策を特定します。対策の有効性、導入に関する規制要件、ならびに組織のポリシーおよび手順要件を考慮してください。すべての調査結果を文書化することを忘れないでください。

ステップ9：リスク評価を定期的に見直し、更新します。

最後に、リスク評価を実施する頻度を定める方針を作成します。少なくとも年に1回は実施してください。さらに、組織のセキュリティシステム、権限およびリスクレベル、またはポリシーなど、何かが変わった場合は評価を更新する必要があります。評価の末尾にある改訂履歴で、各変更を追跡してください。

HIPAA のリスク評価を成功させるためのヒント

HIPAA のリスク評価は、特に小規模なチームで限られたリソースしかない場合には実施が難しいことがあります。HIPAA のリスク評価を導入する際は、次のヒントを参考にしてください：

• 評価を担当する窓口担当者（ポイントパーソン）を決めます。
• 評価は社内で実施することも、HIPAA の専門家に外注することもできる点を理解してください。評価を外注すると、分析や計画のタスクをより早く完了できる可能性があります。
• HIPAA のリスク評価の目的を忘れないでください。これは監査ではありません。リスクを特定し、優先順位を付け、そしてリスクを軽減することを目的としています。
• 文書が HIPAA の基準を満たしていることを確認してください。すべての手順とポリシーを記録し、それらが正確であることを確認したうえで、中央の場所から利用できるようにします。
• 評価プロセスは少なくとも年に1回は繰り返す必要があることを忘れないでください。
• HIPAA の通知要件（たとえば breach notification rule）を念頭に置いてください。この規則では、侵害が 500 人以上に影響する場合、組織は HHS 長官に通知することが求められます。
• すべてのスタッフに対して、HIPAA のコンプライアンス実践および通知要件に関するトレーニングを提供してください。

Netwrix はどのように役立ちますか？

Netwrix の HIPAA 準拠ソフトウェア は、HIPAA 準拠を達成し、かつそれを証明することを支援します。特に、サイバーセキュリティ上の脅威から守るために HIPAA が求めるリスク評価を実施できるようにします。たとえば HIPAA では、組織が情報システムに対するリスクを評価し、その調査結果に基づいて行動することが求められています。さらに Netwrix ソリューションにより、情報システムの設定を確認し、アカウント管理におけるリスク、 データガバナンス およびセキュリティ権限のリスクを特定できます。

さらに、Netwrix ソリューションの HIPAA 機能 はリスク評価をはるかに超えた対応を可能にします。重要なのは、セキュリティインシデント、侵害、そして業務の中断を防ぐために、アクティブな脅威を適切なタイミングで見つけられることです。加えて、多くの他の監査ツールとは異なり、Netwrix ソリューションには HIPAA やその他の一般的な要件に合わせてあらかじめ用意されたコンプライアンスレポートが含まれているため、コンプライアンス準備の際に大幅な時間と手間を節約できます。

よくある質問

HIPAA のセキュリティリスク分析と、HIPAA のコンプライアンス評価の違いは何ですか？

定期的なリスク評価は HIPAA の要求事項の 1 つです。HIPAA のコンプライアンス評価では、すべての HIPAA の要件への準拠状況を評価します。

HIPAA のリスク評価はいつ必要ですか？

HIPAA のリスク評価は、健康プランや医療センターなど、保護対象の健康情報（PHI）を作成、受信、送信、または保存するあらゆる事業体に対して必要です。

HIPAA のリスク評価はどれくらいの頻度で見直すべきですか？

HIPAA では、HIPAA のリスク評価をどのくらいの頻度で実施すべきかは明記されていませんが、少なくとも年1回は HIPAA の評価を実施する必要があります。さらに、新しい作業方法を導入する場合、既存の IT システムをアップグレードする場合、または新しいテクノロジーを追加する場合にも、評価を実施してください。