HIPAA コンプライアンスとは：準拠するためのガイドライン

健康保険の携行性と責任に関する法律（HIPAA）は、機微な患者の健康情報および医療記録を維持するための全国的な基準を定めることで、個人のプライバシーを保護することを目的とした米国の法律です。HIPAA のコンプライアンス規則には、公衆衛生サービス法（Public Health Service Act）や、健康情報技術のための経済的・臨床的健康（HITECH）法（Health Information Technology for Economic and Clinical Health Act）など、複数の他の立法の要件が組み込まれています。

本記事では、HIPAA の要件を深く掘り下げ、組織が HIPAA に準拠するために、IT セキュリティの観点から把握しておく必要のあるすべての詳細を提供します。コンプライアンスのベストプラクティスについて詳しくは、HIPAA Compliance Checklistをご覧ください。

HIPAA 準拠とは？

HIPAA 準拠に関する要件は、電子化された患者の健康情報および医療データを保護するための基準を定めています。立法者は、いくつかの中核目標を達成するために HIPAA を制定しました：

• 医療の改善
• 患者のプライバシーを保護します。
• 機関に対し、患者からの要請に応じて医療記録を提供することを求めます。
• 健康保険の可搬性を向上させます。
• 健康 データ侵害 が発生した場合に患者へ通知されることを確実にします。

米国の保健福祉省（HHS）が HIPAA を所管しており、HHS の公民権局（OCR）は順守状況を評価するために、定期的に HIPAA の監査を実施します。

保護対象の医療情報（PHI）とは？

HIPAA に準拠するには、組織は保護対象の医療情報に対して適切な データセキュリティ といった対策（例：HIPPA Compliance Software）を講じておく必要があります。

保護対象の医療情報（PHI）とは、個人を特定できる医療情報であり、電子的に送信または保存される場合、紙の形で保管される場合、または口頭で伝えられる場合を問いません。PHI には、その人の過去・現在・将来の健康に関するあらゆる情報、医療サービスの治療内容の詳細、そしてその個人を特定できる支払い情報が含まれます。PHI の例には次のものがあります：

• 社会保障番号（Social Security number）
• 氏名
• 生年月日、死亡日、治療日、および患者ケアに関連するその他の日付
• 写真
• 連絡先情報
• 医療記録番号

HIPAA を遵守しなければならないのは誰ですか？

HIPAA は、患者の医療データを扱う 2 つのグループに関する情報を規制しています。covered entities と business associates です。

covered entity とは？

A covered entity は、顧客のために PHI を処理し保有する個人または組織です。例として、医師、薬局、介護施設、クリニック、健康保険会社などがあります。

ただし、ヘルスケア情報を扱うすべての組織が covered entity と見なされるわけではありません。たとえば、医療サービスを提供せず、かつ HIPAA の規制で対象となる取引に関連して医療情報を送信しない研究機関などが挙げられます。

business associate とは？

ビジネスアソシエイト は、 医療活動および機能を支援するために、カバード・エンティティにサービスを提供する組織です。カバード・エンティティは、医療機能の支援のためであればビジネスアソシエイトに PHI（保護対象の健康情報）を開示することができますが、ビジネスアソシエイトの独立した目的または使用のために開示することはできません。

一般に、カバード・エンティティとビジネスアソシエイトの間で関係を確立する際には、ビジネスアソシエイト契約（agreement）または契約書が必要です。ただし、場合によっては合意が不要なこともあるため、組織は自ら調査することが必要です。

HIPAAが患者のプライバシーを守る仕組み

HIPAA における患者保護の中心は、その Privacy Rule です。HIPAA の Privacy Rule は、個人の健康情報の利用および開示に関する基準を定めています。また、患者のプライバシー権に関する基準や、健康情報の利用に対する管理（コントロール）も規定しています。

患者が自分の PHI にアクセスする権利

個々の患者は、Privacy Rule（プライバシールール）に基づき、自分自身の健康情報にアクセスする権利を有します。また、患者は書面で作成し署名した文書により、自分の PHI を誰がさらに見ることを許可するかを指定することもできます。

患者が PHI を請求した場合、情報は通常、指定された記録セット（designated record set）として提供され、その内容は次のとおりです。

• 請求および診療記録（例：検査結果、治療記録、X線写真）
• 患者の health plan に関する請求（claims）、登録（enrollment）、および支払い（payment）情報
• 患者に関する判断に使用されるその他の記録

意思決定に使用されなかった情報は、指定された記録セットから除外されます。これには、次に関するデータが含まれます:

• 患者の安全に関する記録
• 品質管理情報
• 法的手続きのために収集された情報

PHI リクエストへの対応

対象となる事業体は、PHI の要求を、書面または電子メールやWebポータルなどの電子的な通信手段を通じて行うことを求める場合があります。対象となる事業体は、要求や本人確認に関して不合理な手段を設けてはならず、また患者がアクセス権を得ることを合理的に遅らせることもできません。

要求する情報の内容に応じて、要求は紙または電子形式で対応できます。対象となる事業体は、要求があった日から30日（暦日）以内に、要求された情報を提供しなければなりません。

対象となる事業体は、次により発生した費用を回収するために手数料を請求できます。

• 複製の作成
• 依頼に必要な備品の購入
• 郵送料
• 本人が同意した場合の PHI 要約の作成

場合によっては、対象となる事業者が PHI の請求を拒否することがあります。こうした状況には、次のようなものが含まれます：

• 心理療法の記録
• 進行中の研究調査の一部である PHI
• 誰かに危害を与える可能性が合理的に高い状況

EHR のセキュリティとプライバシー

2013年9月、立法者は HITECH Act を Omnibus Rule により HIPAA に組み込みました。HITECH Act は、医療提供者に電子健康記録（EHRs）の使用を促すことを目的に設計されており、電子保護対象の健康情報（ePHI）としても知られています。さらに、HITECH Act では、HIPAA に準拠していないことが判明した事業体は、重大な罰金の対象となり得るとも定めています。

HIPAA 標準取引

HITECH は、Transaction and Code Set Rule（TCS）における標準的な取引を扱っています。TCS 規則は、医療データを医療提供者、健康保険会社、健康保険の顧客の間で電子的に送受信するための標準を採用しています。

HIPAA のセキュリティ管理

HIPAA Security Rule（HIPAA セキュリティ規則）

EHR のデータセキュリティを確保するために、HIPAA Security Rule は、対象事業者およびビジネスアソシエイトのための安全基準を定めました。規則によれば、対象事業者は次のことを行わなければなりません：

• すべての e-PHI について、confidentiality, integrity and availability（それらを作成、受領、保管、または送信する場合）を確保すること。
• 情報のセキュリティまたは完全性に対する、合理的に予測される脅威を特定し、防御します。
• 合理的に予測される、許可されない使用または開示から防御します。
• 自社の従業員（労働力）が遵守することを確実にします。

HIPAA Security Rule に準拠するために、組織は 米国国立標準技術研究所（NIST）が定めたガイドライン に従うことができます。このガイドラインには、HIPAA 準拠のために組織が実施できる管理策および方針に関する推奨事項が含まれています。

HIPAA Safeguards

NISTは、EHRの保護措置を3つのカテゴリに整理して説明しています:

• 管理上の保護措置
• 技術的な保護措置
• 物理的な保護措置

これらの保護措置は、必須（実装が必要）か、実施対象（環境に照らして合理的かつ適切であれば実装すべき）である場合があります。

管理上の保護措置

• セキュリティ管理プロセス：システムを使用して、セキュリティ違反を検知し、予防し、封じ込め、是正します。
• セキュリティ責任の割り当て：ポリシーおよび手順の実施と開発を担当する公的責任者を指定します。
• 従業員のセキュリティ：ePHI へのアクセスは必要な従業員のみに付与し、未許可のユーザーがアクセスできないようにします。
• 情報アクセス管理：ePHI へのアクセスを許可するためにセキュリティシステムを使用します。
• セキュリティ意識向上とトレーニング: すべての従業員に、データセキュリティの実践と意識についてトレーニングします。
• セキュリティインシデント手順: セキュリティインシデントに関するプロトコルを確立します。
• コンティンジェンシープラン: システムの損傷に備えた緊急時の管理計画を策定します。
• 評価: データのセキュリティと信頼性を把握するため、定期的にシステム評価を実施します。

技術的保護策

• アクセス制御：アクセス権が付与されている個人またはソフトウェアプログラムにのみアクセスを許可します。
• 監査コントロール：ePHI に関する活動を記録し、確認できるシステムを使用します。
• 完全性：不適切な取り扱いを防ぐ方法を確立します。
• 個人または組織の認証：強力な検証手段を備えたセキュリティシステムを使用します。
• 伝送のセキュリティ：電子的な伝送中に未承認の ePHI へのアクセスが行われないよう、安全対策を実装します。

物理的セーフガード

• 施設へのアクセス制御：ePHI への物理的なアクセスを制限します。
• ワークステーションの使用：ePHI にアクセスするワークステーションのワークフローおよび構成要件を確立します。
• ワークステーションのセキュリティ：ワークステーションの利用を許可されたユーザーに制限します。
• デバイスおよび媒体の管理：ePHI を含むハードウェアおよび媒体の受領と取り外し（撤去）を管理します。

データリスク分析

セキュリティ管理プロセスのガイドラインに基づき、セキュリティルールでは リスク分析、または リスク評価と管理 が求められます。

データリスク分析に関するNISTのガイダンス には複数のステップがあり、次を含みます：

1. 脆弱性と脅威を特定します。
2. 現在のデータセキュリティを評価します。
3. 脅威の可能性と潜在的な影響を特定すること。

HIPAA違反のコスト

違反通知

違反（breach）とは、プライバシー・ルール（Privacy Rule）に基づく PHI の、あらゆる無許可の使用または開示を指します。場合によっては、リスク分析（risk analysis）に基づいて、侵害された PHI が生じる確率が低いことを組織が示すことができます。

データの侵害（data breach）が発生した場合、組織は、郵送または電子メールで影響を受けた個人に通知し、メディアに警告し、 オンラインフォーム を通じて HHS 長官（HHS Secretary）に報告書を提出しなければなりません。— すべて 60 日以内。

HIPAA の罰則と罰金

違反が HIPAA 違反につながる場合、HIPAA Enforcement Rule が調査、審理、罰則を定めます。HIPAA の罰則のよくある原因には、暗号化されていない端末の紛失や盗難、従業員のトレーニング不足、データベースの侵害、患者情報に関する職場でのうわさ話などがあります。

HITECH Act では、違反に対する罰金を 4 つの段階として定めています：

• Tier A：本人または組織が、自分が違反を行ったことを知らなかった場合の違反。
• Tier B：合理的な原因による違反であり、故意の怠慢（willful neglect）ではない場合。
• Tier C: 故意の怠慢による違反ですが、本人または組織が状況を是正できる場合。
• Tier D: Tier Cの違反で、30日以内に状況が是正されない場合。

HHS OCRは、自社の「Wall of Shame」Webサイトに違反を掲載しています。 他のサイト では、罰金の公表や和解（settlements）へのリンクを掲載しています。最近の例には以下が含まれます：

• 2020年9月、Premera Blue Crossは、600万人超の個人に影響したデータ侵害を解決するため、6,850,000ドルの罰金を科されました。
• 2020年7月、Lifespan Health Systemは、暗号化されていなかった盗難ノートパソコンに関して、100万ドル超の罰金を科されました。

2019年10月、Elite Dental Associates は、ソーシャルメディアを通じて患者情報を開示したとして 10,000ドルの罰金を科されました。

よくある質問

HIPAA の研修はどれくらいの頻度で必要ですか？

HIPAA の研修は、保護対象の健康情報（PHI）を取り扱うすべての従業員を対象に、少なくとも年1回は実施する必要があります。ただし、医療機関は年に1度チェックを入れるだけでは不十分です。新入社員が開始するとき、ポリシーが変更されたとき、セキュリティインシデントの後、そして新しいテクノロジーが導入されたときには、追加の研修セッションを用意したいところです。HIPAA 遵守の鍵は最低要件を満たすことではなく、患者データを守ることが自然に身につくような、セキュリティ意識のある文化を築くことにあります。

HIPAA のセキュリティルール（HIPAA Security Rule）を最もよく表しているのはどれですか？

HIPAA Security Rule は、電子 PHI（ePHI）を保護するための技術的なロードマップです。「誰がデータにアクセスできるか」に焦点を当てる Privacy Rule と異なり、Security Rule は、そのデータを電子的にどのように守るかという実務の要点に踏み込みます。これは、対象となる事業体に対し、ePHI の機密性・完全性・可用性を確保するための、管理的、物理的、技術的なセーフガードの実装を求めるものです。プライバシーの原則を、実際に機能する現場レベルのセキュリティ対策へ落とし込むための「手引き」です。

HIPAA 準拠の鍵は何ですか？

HIPAA 準拠の鍵は、データセキュリティが Identity から始まるということを理解することです。見えていないものは守れず、管理していないものは制御できません。成功する HIPAA 準拠には、次の3つの基礎的要素が必要です。PHI へのアクセス権を持つのが誰かを把握すること、そのアクセス権で何をしているのかを監視すること、そしてすべての活動について詳細な監査ログ（監査証跡）を維持することです。完璧なセキュリティを目指すのではなく、実証可能なデューデリジェンスを行い、脅威が侵害（ブリーチ）になる前に検知して対応できることが重要です。

HIPAA では暗号化が必要ですか？

HIPAA は暗号化を明確に義務付けてはいませんが、Security Rule の技術的セーフガードのもとで「addressable（適用可能）」とみなされます。現実的な話として、暗号化せずに ePHI を保存または送信していて侵害が発生した場合、より重い罰則や通知要件に直面します。実務としては、暗号化を“任意”ではなく“必須”として扱うのが得策です。可能な限り、保存中（at rest）、転送中（in transit）、そして使用中（even in use）のデータを暗号化してください。適切に実装すれば、暗号化によって侵害時の通知義務を軽減できるだけでなく、患者のプライバシーを守る姿勢を示すことにもつながります。

HIPAA 準拠を確実にするには？

HIPAA 準拠を確実にするには、ポリシーや手順だけでは不十分で、より体系的なアプローチが必要です。まずは包括的なリスク評価を行い、環境内の脆弱性を特定してください。 最小特権の原則を実装する——必要な職務に応じて、必要な PHI のみにアクセスできるようにします。継続的なモニタリングを導入し、誰がいつどのデータにアクセスしているかを追跡してください。明確なインシデント対応手順を整備し、定期的に訓練します。最も重要なのは、準拠は到達点ではなく、継続的なプロセスだということです。組織や脅威の状況が変化するのに合わせて、常に注意を払い、定期的に更新する必要があります。