Microsoft 365 は HIPAA に準拠していますか？

Microsoft 365 は HIPAA の準拠 を、内蔵のセキュリティ機能、business associate agreement（BAA）、および Compliance Center ツールによって支援できます。対象となる事業体（covered entities）は、暗号化、アクセス制御、監査ログ（audit logs）、多要素認証（multi-factor authentication）などの機能を有効にしつつ、スタッフが厳格なデータ取り扱い手順に従うよう徹底する必要があります。準拠は自動ではありません。最終的な責任は、Microsoft 365 を使用する医療機関にあります。

Office 365 の HIPAA 準拠 は、ますます多くの医療企業にとって切実な課題です。Microsoft の堅牢なクラウド ソリューションなら、提供者は記録を保管し、スムーズに連絡を取れるようになります——ただし、 それは 本当に簡単なのでしょうか？敏感な情報がクラウドに保存されている場合、本当に保護できるのでしょうか？

クラウドコンピューティングは、ここ数年にわたり医療業界への浸透を続けています。戦略としての利点が多数あり、組織や医療提供者が、テクノロジーを「どこで」「どのように」活用できるかを広げられます。提供者が、外出中でも患者記録を保存し参照しやすくなることで、クラウドコンピューティングは患者体験を向上させ、よりシンプルにします。

クラウドへの移行は医療全体にとって前向きな動きですが、その分、コンプライアンスとセキュリティの専門家に追加の責任が生じます。幸いなことに、市場の需要をより多くのベンダーや開発者が認識するようになってきたことで、HIPAA 準拠のクラウドソフトウェアを見つける作業は以前よりも簡単になっています。現在、多くのソリューション提供者が、医療機関の HIPAA ニーズに対応するように提供内容を適応させています。

おそらく最も広く使われているクラウドサービスの一つである Microsoft 365 は、好例です。これは HIPAA compliance を、 business associate agreement（BAA）を保有し、適切に運用しているすべての医療組織に提供します。この記事では、Microsoft が 365 の各種サービスが HIPAA 要件を満たせるようにするために何を行ったのか、そしてデータ保護のうちどの側面が提供者側の責任として残るのかについて、さらに詳しく学べます。

HIPAA BAA と Microsoft 365

クラウド ソリューションの HIPAA 準拠レベルは、利用組織の BAA に依存します。医療向けクライアントにとって Microsoft 365 の最も便利な機能の 1 つは、サービスの標準要素として BAA を提供していることです。

BAA とは？

A business associate agreement は、HIPAA の適用対象となる事業体（たとえば医師の診療所や病院）と、その関連事業者との間で締結される契約です。保護対象の健康情報（PHI）がクラウドにアップロードされると、両当事者は自動的に HIPAA の規制の対象になります。そのため、患者データに関連するいかなるソリューションを導入する前に、クラウド ベンダーと BAA を締結しておく必要があります。

Microsoft の BAA はどのように機能しますか？

デフォルトでは、Microsoft は HIPAA で定義される「covered entities（対象となる事業体）」または「business associates（ビジネス・アソシエイト）」に該当するユーザーに対して、オンライン サービス規約の一部として自社の BAA を提供しています。BAA は Dynamics 365、Office 365、およびその他のいくつかのクラウド サービスを対象としています。

Microsoft をソリューション プロバイダーとして検討している場合は、the BAAを詳細に確認し、BAA に含まれる対象サービスおよび条項が必要事項を満たしていることを確認してください。Microsoft は顧客の要請により BAA を変更しないため、条項は記載どおりに十分である必要があります。

Microsoft 365 のセキュリティ コントロールと HIPAA の要件

自社のセキュリティ慣行が、HIPAA の公式発行元であるthe U.S. Department of Health and Human Services (HHS)の推奨事項と一致していることを確認するために、Microsoft はISO 27001 standard に基づく情報セキュリティ監査を受けています。この規格では、HHS の推奨事項に従っているかどうかを含め、組織の IT セキュリティの複数の側面を評価します。

その結果により、Office 365 には、準拠（compliance）のために必要なすべての HIPAA のセキュリティおよびプライバシー コントロールが含まれていることが確認されています。これらのコントロールは、Microsoft 365 Compliance Center から参照できます。

Microsoft コンプライアンス センター

Microsoft コンプライアンス センターにより、お客様はコンプライアンスを管理するために必要なツールと情報にアクセスできます。次のような機能が含まれます。

• コンプライアンス スコア、リスクベースの指標で、リスク低減に向けた進捗を測定します
• アクティブなアラート カードには、セキュリティ通知が一覧表示され、より詳細な情報へ誘導されます
• データ分類セクション により、重要なデータを適切に整理できるよう支援します
• レポート セクション （サードパーティ アプリ、共有ファイルなどに関する情報）
• アクセス許可セクション （組織内でのアクセスを管理できます）
• ソリューション セクション （組織のコンプライアンス戦略に関する詳細情報）
• データ損失防止ツール （機密情報を追跡できるようにします）

Compliance Center は強力なリソースです。Microsoft のすべてのビジネス顧客が利用できますが、高度な脅威管理などの一部の機能、 データ分類のための感度ラベル や、DLP の一部の機能は、トップレベルのライセンスがないと利用できない場合があります。

HIPAA 向け Microsoft 365 セキュリティ機能

Microsoft は、企業が特定の規制に対するコンプライアンスを維持できるよう、多くのセキュリティ機能を提供しています。特に HIPAA に関連する主な機能は次のとおりです。

• 最小特権アクセス: この機能は、必要な人にだけ昇格したアクセス権を付与することで、データ侵害のリスクと影響を抑えます。
• Privacy Readers: Microsoft は、BAA を締結しているお客様に対して、代表者を HIPAA Privacy Readers として指定することを推奨しています。これにより、電子的な保護対象医療情報（ePHI）に関わる可能性のある侵害についての Message Center 通知にアクセスできるようになります。
• エンドツーエンド暗号化: Microsoft は、データが会社のサーバーにアップロードされたり保存されたりするときに、すべてのデータを暗号化します。また、Microsoft の施設の外部に転送される場合も暗号化されます（転送中の暗号化）。ただし、メールの件名行やアドレス欄に含まれるデータなど、一部の情報は標準的なインターネット プロトコルのため暗号化できません。したがって、Microsoft はすべてのユーザーに対し、担当者が電子的保護対象医療情報（ePHI）をメールの To、From、または Subject 行に決して含めないように教育することを推奨しています。
• データ損失防止: ePHI は、許可されていない閲覧者への共有から保護されます。
• 多要素認証: ログインを許可される前に、ユーザーは別のデバイスまたはアカウントに送信された情報を提示する必要があります。
• 監査ログ: 管理者は、誰がドキュメントを閲覧したか、開いたか、共有したか、または削除したかを確認できます。
• データのバックアップ: この機能は HIPAA の要件であり、必要になったときに ePHI の正確なコピーを復元できるようにするためのものです。
• セキュリティ設定: Microsoft は、BAA の対象となる多くのサービスにおいて、顧客がセキュリティ設定を変更できるようにしています。HIPAA に準拠するためには、可能な限り厳格なパラメータを設定することが最も安全な戦略となる場合があります。詳細な設定手順は Microsoft の HIPAA implementation guide に記載されています。

Microsoft のセキュリティ侵害への対応方法

Microsoft の BAA では、セキュリティ侵害が発生した場合、同社は 30 日以内に、あなたのアカウントのグローバル管理者全員と、Privacy Reader の指定を持つすべてのユーザーに通知するとされています。

Microsoft は、侵害の発生をお客様に通知しません。その責任は HIPAA の下で あなたにあります。HIPAA では、侵害に保護されていない ePHI が含まれる場合、すべての適用対象事業者に対して影響を受ける個人への通知が求められます。さらに、Microsoft は HHS 長官またはメディアに対して必要な通知を提出しません。

潜在的な ePHI リポジトリで侵害が発生した場合、Microsoft は、保存データをスキャンして、実際に ePHI が侵害（compromised）されたものがあるかどうかを判断する責任を負いません。侵害が発生したという通知を受け取ります。その後、どの ePHI が侵害されたか、また（侵害がある場合）影響の度合いがどの程度かを評価する必要があります。

Office 365 HIPAA 準拠の設定：ベストプラクティス

Microsoftは、最終的にHIPAAの準拠（コンプライアンス）に対する責任は顧客にあることを非常に明確にしています。ベンダーは、すべての企業が一連の手順とポリシーを整備し、担当者がコンプライアンスを支援する形で Office 365 を使用できるようにすることを推奨しています。ここでは、セットアップ手順の中で従うべき最も重要なステップをいくつか紹介します。

1. サービスの詳細を確認します。

• 使用予定の製品が Microsoft’s HIPAA Compliance Services の範囲内であることを確認してください。
• BAA を確認し、含まれているセキュリティおよびプライバシーの実施内容が自社の要件を満たしていることを確認してください。

2. アクセス制御の手順を設定します。

• Microsoft 365 のメッセージ センターで、Privacy Readers を指定します。
• 管理者のアクセス追跡を有効にして、管理者がいつユーザー アカウントにアクセスしたかを確認できるようにします。

3. PHI 除外に関するトレーニングを提供します。

• 管理担当者は、いかなるディレクトリ、アドレス帳、または全体アドレス一覧にも ePHI を入力してはなりません。
• いかなる担当者も、Microsoft とのトラブルシューティングまたはサポートの会話で ePHI を共有してはなりません。
• ユーザーは、ファイル名、メールヘッダー、または一般に公開されている SharePoint の場所のいずれにおいても、ePHI を参照してはなりません。
• ユーザーは、明確に許可されたユーザー以外に対しては、ePHI をメールで送信してはなりません。

4. アクセスレビューの手順を確立します。

• すべての ePHI 格納リポジトリに対するユーザーのアクセスを定期的に確認します。
• 共有リソースへのユーザーのアクセス許可、パスワードの変更、追加を定期的に確認します。
• 人事異動が発生した場合にアクセス権を更新するためのプロトコルを作成してください。

Netwrix は Microsoft 365 のお客様をどのように支援するのか

HIPAA の遵守は簡単なことではなく、クラウド サービスに関連するコンプライアンス要件を追加すると、最も堅牢な組織でさえリソースに負担がかかり得ます。Netwrix は HIPAA 準拠のためのソリューション により、その負担を大きく軽減します。

ePHI をどこに保存しているかを正確に把握する

Netwrix のソリューションは、お客様のアカウント内にある ePHI を含む特定の OneDrive for Business リポジトリ、Exchange Online メールボックス、SharePoint Online サイトを特定できます。これは、その ePHI を内外の脅威から保護するための最初のステップです。

権限を最小化して攻撃対象領域を減らす

Netwrix ソリューションは、正しい権限が適切に設定されていることを確認するのにも役立ちます。機密データに対する過剰な権限を自動で特定し、削除することができます。また、アクセスレビューと権限の証明（アテステーション）プロセスも簡素化するため、 コンプライアンス監査を初回で通過できる可能性 が高まります。

脅威を特定して対応する

システム横断の詳細な可視化により、Netwrix ソリューションは 内部不正の可能性を示すレッドフラグ たとえば失敗したアクセス試行、 権限の昇格（privilege escalation） そして異常に多い読み取り（read）回数などを検知し、 進行中のランサムウェアの兆候も検出できます。疑わしいアクティビティを簡単に深掘りして調査できるため、大きな被害が起きる前に脅威を阻止できます。

侵害（ブリーチ）が発生した場合、その原因が何であれ、Netwrix はインシデントの重大度を判断するのを支援し、当局および影響を受けるユーザーへの通知に関するすべての要件を満たせるようにします。

Microsoft 365 と HIPAA 準拠に関する FAQ

Office 365 を使用する際に HIPAA に関する懸念はありますか？

Microsoft の BAA を慎重に確認し、そのセキュリティおよびコンプライアンス保護の範囲を理解したうえで、そうした保護が自社の HIPAA 遵守ニーズを満たしていることを確認し、さらに自社側で必要なすべてのセキュリティ管理策を備えている限り、HIPAA に関するコンプライアンス上の懸念はほとんど、もしくはまったくないはずです。

Office 365 の HIPAA 保護は堅牢ですが、最終的には、HIPAA covered entity としてのコンプライアンス責任はあなた（自組織）にあります。

Microsoft Office 365 のどのプランが HIPAA に準拠していますか？

Microsoft は、Office 365 Business、Office 365 US Government、および Office 365 US Government Defense を利用するユーザーに、HIPAA 準拠の BAA を提供しています。 ただし、これらのサービスの下位ライセンス（たとえば Business Basic、Business Standard、Business Premium など）では、準拠を維持するために利用したい高度なセキュリティ機能がすべて利用できない場合があります。

Microsoft は、HIPAA 準拠を目指すユーザーに対し、最上位のセキュリティ保護を有効にすることを推奨しています。これらの保護の一部（フィッシング対策の脅威エクスプローラーやデータ損失防止など）は、上位ティアの Enterprise ライセンスを保有するユーザーにのみ提供されます。

Microsoft と BAA を締結すれば、HIPAA および HITECH Act への準拠が保証されますか？

いいえ、BAA は準拠を保証しません。BAA の目的は、HIPAA のビジネス・アソシエイトが責任を負う準拠要件が何であるかを明確にすることです。たとえば、Microsoft Office 365 アカウントに侵害（ブリーチ）が発生した場合、Microsoft はその発生を通知します。

最も堅牢な BAA であっても、クラウド サービスの顧客であるあなたには、コンプライアンスを維持するための責任がなおあります。HIPAA の対象となる組織として求められるすべてを扱う社内コンプライアンス プログラムを確立し、維持する必要があります。たとえば、従業員が HIPAA の規制に違反しない形で行動するように、社内の方針、手順、およびプロセスを整備しておく必要があります。

Microsoft の BAA は、同社のサービスを利用する際に HIPAA の原則を遵守するのに役立ちますが、すべてを代わりに行ってくれるわけではありません。あなたのチームが Office 365 を HIPAA および HITECH Act の各ルールに沿った形で使用していることを、引き続き確認する必要があります。