HIPAA パスワード要件

医療業界は、数多くの深刻なサイバーセキュリティ上のリスクに直面しています。実際、2021 年には 主要なヘルスデータ侵害（データ漏えい）件数が過去最多 が米国で発生しました。つまり、米国の 侵害通知ポータルには、少なくとも 713 件のインシデントが記載されており、5,700 万人に影響が及んだとされています。

医療保険の携行性と責任に関する法律（HIPAA）は、医療機関が電子的な個人の健康情報（ePHI）のセキュリティとプライバシーに対するリスクを低減できるようにすることを目的としています。とりわけ、HIPAA Security Rule には、組織が データ侵害のリスクを最小化するためのパスワード要件が含まれています。この記事では、それらのパスワード要件を説明し、実装のためのベストプラクティスを提示します。

HIPAA を遵守する必要があるのは誰ですか？

HIPAA は次の 2 種類の組織の両方に適用されます：

• 適用対象の事業体 — このグループには、医療提供者、健康保険（プラン）、医療のクリアリングハウス、そして保険目的で健康情報にアクセスできる雇用主が含まれます
• ビジネス・アソシエイト — このグループには、例えば医療保険や請求（ビリング）会社、医療案件を扱う法律事務所、医療機器メーカー、医療用の運送業者など、物理的な患者記録または ePHI を取り扱ったり保管したりする組織が含まれます。また、ePHI を扱うソフトウェアおよびクラウドサービスの提供者も含まれます。

組織が HIPAA の対象かどうかを確認することは非常に重要です。規則を遵守しなかった場合のペナルティは、違反または記録1件につき 100ドルから 50,000ドルまで幅があり、さらに各違反について年間の最大ペナルティは 150万ドルに達する可能性があります。加えて、HIPAA の規制要件を意図的に違反した場合、最高で 10年の懲役につながることがあります。

なぜ HIPAA にはパスワード要件が含まれているのでしょうか？

HIPAA ではパスワードに関する要件が含まれていますが、それにはしっかりとした理由があります。パスワードは ePHI への鍵であり、HIPAA に準拠した パスワードポリシー は、不正なログインやデータアクセスを防ぐのに役立ちます。実際、攻撃者はパスワードを盗む、または解読するためのさまざまな手法を開発しており、たとえば次のようなものがあります：

• 総当たり攻撃— ハッカーは、正しいものにたどり着くまで、さまざまな可能性のあるユーザーID／パスワードの組み合わせを試すプログラムを実行します。
• 辞書攻撃— 辞書に載っている単語を、あり得るパスワードとして用いて試す総当たり攻撃の一種です。
• パスワードスプレー攻撃 — 単一のアカウントを狙い、複数のパスワードを試してアクセスを得ようとする総当たり攻撃の別の種類です。
• クレデンシャルスタッフィング攻撃 — 複数のシステムやWebサイトで同じパスワードを使い回している人を狙う攻撃です。
• スパイダーリング — ハッカーは個人に関する情報を集め、そのデータを使って作成したパスワードを試します。

HIPAA のパスワード要件は何ですか？

パスワードは、HIPAA Security Rule の管理的な保護措置で扱われています。具体的には §164.308(5D) では、組織は「パスワードの作成、変更、および保護のための手順」を実装しなければならないと定めています。関連する技術的な保護措置（§164.312(d)）では、対象となる事業体は、電子的な保健医療情報へのアクセスを求める人物の身元を確認するためのプロセスを整備しておくことが求められます。

パスワード要件に関するこのような曖昧さは意図的です。HIPAA は技術に中立であることを目指しており、セキュリティのベストプラクティスが時間とともに変化して、既知の攻撃手法に対するレジリエンス（耐性）を高めていくことを認めています。

では、組織はどのようにコンプライアンスを満たせばよいのでしょうか？

HIPAA のパスワード遵守を確実にするための最善の方法は、適切で信頼できるフレームワークを用いてパスワードポリシーと手順を構築することです。おすすめの選択肢として Special Publication 800-63B（米国標準技術研究所 National Institute of Standards and Technology, NIST）があります。NIST が提供するガイドラインは、HIPAA の対象となる事業体やビジネスアソシエイトを含め、サイバーセキュリティを改善したいあらゆる企業にとって役立ちます。

パスワードに関する基本的な NIST ガイドラインでは、次の内容を扱います：

• 長さ — パスワードは 8 文字から 64 文字の範囲にしてください。
• 作り方 — 長めのパスフレーズが推奨されますが、辞書に載っている単語と一致してはいけません。
• 文字種 — 組織は、大文字・小文字の英字、数字、ユニークな記号、さらには絵文字を許可しても構いませんが、異なる文字種の混在を必須として求めるべきではありません。
• 多要素認証 — ePHI のような個人情報へのアクセスには、パスワードに加えて、外部デバイスからの指紋や PIN などの多要素認証が必要です。
• リセット — パスワードは、侵害（漏えい）された、または忘れてしまった場合に限り、リセットを求めるべきです。

パスワードの安全性を保つのに役立つベストプラクティスは何ですか？

ここでは、パスワードのセキュリティにおいて測定可能な効果をもたらし得る 5 つの戦略を紹介します：

• パスワードの長さを増やしましょう。短いパスワードは解読されやすい一方で、非常に長いパスワードは覚えにくくなります。NIST によると、最適な範囲は 8 文字から 64 文字です。
• 暗号化されたパスワード管理サービスから、ユーザーが自分のパスワードをコピー＆ペーストできるようにしてください。そうすることで、入力の手間や、忘れてしまう不安なしに、より強力で長いパスワードを選べます。このベストプラクティスは、従業員がパスワードを使い回したり、他人に見られうる場所に書き残したりして生じるセキュリティ上の抜け穴の防止にも役立ちます。
• パスワードのヒントを許可しないでください。ヒントは、ユーザーのパスワードを特定することを驚くほど簡単にしてしまうことがよくあります。場合によっては、従業員が実際にパスワードそのものをヒントとして使ってしまうことさえあります！
• パスワードにスペース、その他の特殊文字、さらには絵文字（emoji）を含めることを許可してください。これにより、一般的なパスワード攻撃に対抗するための追加の複雑性の層が生まれます。
• 一般的なパスワードや、過去に侵害（漏えい）されたことのあるパスワードのリストを使って、提案されたパスワードをスクリーニングします。この作業はセキュリティに関する専門業者に外注することもできます。

Netwrixはどのように支援できますか？

Netwrix では、パスワード管理を合理化し強化するために特別に設計された複数のソリューションを提供しています。:

• Netwrix Password Policy Enforcer により、ユーザーの生産性を損なうことなく、ヘルプデスクや IT チームに負担をかけることもなく、セキュリティを高める強力でありながら柔軟なパスワードポリシーを簡単に作成できます。
• Netwrix Password Reset により、ユーザーはWebブラウザから直接、自分のアカウントを安全にロック解除し、パスワードのリセットまたは変更を行えます。このセルフサービス機能は、ユーザーの不満や生産性の損失を大幅に減らしつつ、ヘルプデスクへの問い合わせ件数も削減します。

Netwrix は、さらに包括的な HIPAA 準拠のソリューション も提供しています。これにより、次のことが可能になります：

• 定期的に IT リスク評価を実施し、攻撃対象領域を減らします。
• 機密データがどこにあるのかを正確に把握し、保護の取り組みを優先順位付けできるようにしましょう。
• オンプレミスおよびクラウドベースのシステム全体で活動を監査し、データ漏えいを prevent data breachするために、脅威を適時に発見して調査します。
• HIPAA compliance のチェックに向けた準備に必要な時間と手間を大幅に削減し、現場で監査人の質問にもすぐに答えられます。

FAQ

What are the HIPAA minimum password requirements?

The HIPAA password requirements state that covered organizations must implement “procedures for creating, changing and safeguarding passwords.” There are no specific requirements concerning password length, complexity or encryption. To ensure compliance, consider creating a strong password policy using an established security framework like NIST.

What are the best recommendations for HIPAA passwords?

Current password best practices are detailed in NIST Special Publication 800-63B. This free publication includes guidance on password length, composition, character types, reset requirements and multifactor authentication.

How often does HIPAA require passwords to be changed?

There are no specific HIPAA password change requirements. NIST guidelines recommend requiring passwords to be changed only if they are compromised. Today, experts recognize that requiring frequent password changes often actually increases security issues because users resort to strategies like writing their passwords down or simply incrementing a number at the end of the password, leaving their account vulnerable to cyberattacks.

Does HIPAA require multifactor authentication (MFA)?

HIPAA does not provide that level of detail. However, best practices frameworks like NIST recommend multifactor authentication to protect sensitive and regulated data in email, databases and other systems. Implementing MFA as outlined by NIST can dramatically reduce an organization’s risk of fines for failure to comply with HIPAA.

Are there any account lockout requirements in HIPAA?

HIPAA does not provide that level of detail. However, a HIPAA-compliant password policy would involve lockout after a certain number of failed logon attempts to thwart password-guessing attacks. Enabling users to unlock their own accounts using a secure self-service password management solution can enable you to set a low threshold for failed logon attempts to strengthen security without driving up helpdesk call volume.