HIPAA リスクアセスメント テンプレート

HIPAA のリスクアセスメントとは？

HIPAA のリスクアセスメントは、プライバシー・ルールで求められているとおり、電子的に保護された健康情報（ePHI）のセキュリティに対する脅威（不正な開示の可能性を含む）を、組織が特定して評価するのに役立ちます。

組織が、認証済みの電子健康記録（EHR）システムを使用している場合であっても、ePHIを作成、受領、保管、または送信する場合は、まず セキュリティリスクを評価して、ePHIを保護するために可能な限り最善の対応を取っていることを確認しなければなりません。これらのリスクを特定したら、HIPAA Security Rule（セキュリティ・ルール）への準拠を維持するために、管理的、物理的、および技術的な保護策を実装する必要があります。

医療機関が HIPAA の順守（コンプライアンス）を達成するために取り組む中で、リスク分析やリスク管理ツールは非常に役立ちます。これらのツールは、手作業のプロセスだけで行う場合よりも、ePHI の機密性・完全性・可用性をより効果的かつ効率的に保護できることが多いです。

リスク評価を自社組織に合わせて調整する

HIPAA のリスク評価要件により、組織の環境や状況（以下を含む）に合わせて評価内容を調整できます:

• 貴組織の規模、複雑さ、能力
• 貴組織の技術インフラ、ハードウェア、ならびにセキュリティの能力
• ePHI に対する潜在リスクの発生確率と重大性
• セキュリティ対策のコスト

実装要件：必須と対応可能（アドレサブル）の違い

HIPAA のリスクアセスメントには、多くの実装要件が含まれます。これらは、一定の基準を満たすための詳細な指示です。必須のものもあれば、対応可能（アドレサブル）のものもあります：

• 必須 の実装要件は、各対象事業者とそのビジネスアソシエイトが整備しなければならないポリシーまたは手順を文書化します。例としてリスク分析があります。
• 対応可能（アドレサブル）  の実装要件は任意ではありませんが、組織にはそれを満たすために適切なプロセスまたは管理策を選択できる柔軟性があります。たとえばパスワード管理は対応可能（アドレサブル）です。信頼できる人だけがシステムにアクセスできるようにする方法はいくつかあるためです。その一つの方法は多要素認証を使うことです。

コストだけを理由に、実装仕様の採用を拒否することはできません。

重要な用語

以下はHIPAAで一般的な用語の定義です（NIST 800-30から翻案）：

• ePHI（electronic protected health information）— 患者を特定できる可能性のある、その患者の健康、治療、または請求に関するデータ。ePHI は、電子形式で保管されている PHI です。すべての PHI と同様に機密性の要件は同じですが、ePHI は複製や送信が容易であるため、侵害を防ぐための特別な保護措置が必要です。
• 脆弱性 — セキュリティシステムの手順、設計、内部統制の実装における欠陥または弱点で、偶発的に引き起こされる、または意図的に悪用されることで、セキュリティ侵害やセキュリティポリシー違反につながり得るもの。
• 脅威 — 脅威の発信元が特定の脆弱性を偶発的に引き起こす、または意図的に悪用する可能性を指します。
• リスク — IT に関連するリスクを指します。リスクとは、特定の脅威が特定の脆弱性を引き起こす確率に基づいて、ビジネスへの最終的な影響（ネットの影響）を表すものです。法的責任やミッションの喪失などの要素が含まれます。
• リスク分析（またはリスクアセスメント）— システムのセキュリティに対するすべてのリスクを特定し、それらが損害につながる可能性、ならびにその損害を軽減できるセーフガード（保護策）を明らかにするプロセスです。リスク管理の一部です。
• リスク管理 — 遵守（コンプライアンス）を目的として、セキュリティ対策や運用を実施し、リスクと脆弱性を合理的な範囲で適切に低減するプロセスです。

リスク分析の手順

NIST 800-30 では、HIPAA に準拠したリスク評価のために次の手順を示しています。

ステップ 1. 分析の範囲を決定します。

リスク分析では、データを作成・受信・保守・送信するために使用される電子媒体や、データの保存場所にかかわらず、すべての ePHI を対象とします。ePHI の機密性、完全性、および可用性に対する、すべての合理的なリスクと脆弱性を網羅します。

ステップ 2. ePHI の利用と開示に関する、完全かつ正確な情報を収集します。

このプロセスには以下が含まれます。

• 過去および現在のプロジェクトを見直す
• インタビューを実施する
• ドキュメントを確認する
• 必要に応じて他のデータ収集手法を用いる
• 収集したすべてのデータを文書化する

このステップは直接は求められていないとしても、HIPAA Privacy Rule に準拠するために、すでにこの手順を完了している可能性があります。

ステップ 3：潜在的な脅威と脆弱性を特定します。

収集したデータを確認し、各情報についてどのような種類の脅威や脆弱性が存在するかを考えてください。

ステップ 4：現在のセキュリティ対策を評価します。

ePHI に対するリスクを軽減するために、すでに実装した対策を文書化してください。これらの対策は技術的な場合もあれば、非技術的な場合もあります：

• 技術的 措置には、アクセス制御、認証、暗号化、自動ログオフ、監査（audit）制御など、情報システムのハードウェアおよびソフトウェアが含まれます。
• 非技術的 措置には、ポリシーや手順のような運用・管理上の統制、ならびに物理的または環境上のセキュリティ対策が含まれます。

次に、それらのセキュリティ対策の設定と運用が適切かどうかを分析します。

ステップ5：脅威の発生可能性を判断します。

脅威が特定の脆弱性を引き起こす、または悪用する可能性を評価します。考えられる脅威と脆弱性の組み合わせごとに検討し、インシデントが起こる可能性に応じて評価（レーティング）してください。一般的な評価方法としては、各リスクを High（高）、Medium（中）、Low（低）としてラベル付けする方法、または発生確率を数値の重みとして示す方法があります。

ステップ 6. 脅威の発生による潜在的な影響を判断します。

各データ脅威の考えられる結果として、たとえば次のようなものを検討します。

• 不正なアクセスまたは開示
• 永続的な喪失または破損
• 一時的な喪失または利用不能
• キャッシュ・フローの損失
• 物理的資産の損失

各結果の影響を見積もります。対策は定性的または定量的である場合があります。各結果に関連する、考えられるすべての合理的な影響と評価（レーティング）を文書化してください。

ステップ 7：リスクのレベルを決定します。

各脅威が発生する確率と影響に割り当てられた値を分析します。割り当てられた確率と影響レベルの平均に基づいて、リスクレベルを割り当てます。

ステップ 8. 適切なセキュリティ対策を特定し、ドキュメントを完成させます。

各リスクを合理的なレベルまで低減するために使用できる可能性のあるセキュリティ対策を特定します。各対策について、次を考慮してください：

• その対策の有効性
• 導入のための立法または規制上の要件
• 組織のポリシーおよび手順の要件

すべての調査結果を文書化して、リスク評価を完了してください。

HIPAA リスク評価テンプレート

以下は、各セクションに説明と例が付いた HIPAA リスク評価テンプレートです。これは一般的なテンプレートなので、組織の具体的なニーズに合わせて調整する必要があります。このテンプレートで使用している会社名および個人名はすべて架空のものであり、例としてのみ使用されています。

1. はじめに

この文書を作成する理由を説明してください。

本書は、Allied Health 4 U, Inc.（以下、Allied Health 4 U といいます）のリスクアセスメントに関する範囲とアプローチを概説するものです。組織のデータインベントリ、脅威および脆弱性の特定、セキュリティ対策、ならびにリスクアセスメント結果が含まれます。

1.1 目的

なぜリスクアセスメントが必要なのかを述べてください。

リスクアセスメントの目的は、潜在的なリスク領域を特定し、責任を割り当て、リスク低減の活動およびシステムを特定・整理し、HIPAA Security Standard の遵守に向けた是正措置手順を導くことにあります。

1.2 対象範囲

組織内における患者データの流れを文書化してください。すべてのシステム構成要素、要素、フィールドサイトの所在地、ユーザー（リモートワークフォースの利用を含む）、および EHR システムに関する追加の詳細情報を説明してください。

取り外し可能な媒体および携帯用コンピューティングデバイスを含め、IT システム、構成要素、情報を文書化し、定義してください。

本書の範囲には、Allied Health 4 U が受領、作成、維持、または送信するすべての ePHI を統制する技術的・物理的・管理的プロセスが含まれます。

目的は、電子健康記録（EHR）システムに対する内部および外部の脅威による脆弱性の悪用を、排除・軽減・または管理するために、計画されているおよび実装されている資源と統制の利用を評価し分析することです。

Allied Health 4 U は、IL 州 Regency Park にある Medical City において、患者および実務従事者のニーズに対応しています。関連する医療センターは、当該施設に対する主要なインターネット ファイアウォールと基本的な物理的セキュリティを提供します。組織は、Allied Health 4 U, Inc. のその他すべての技術的およびセキュリティ上のニーズを提供します。

Allied Health 4 U は、患者の ePHI にアクセスするために、ノートパソコン、タブレット、デスクトップ PC を使用しています。Allied Health 4 U の外部からのリモートアクセスは厳しく禁止されています。サーバーは3台あり、ビデオ監視が有効になった施錠済みのサーバールームに設置されています。

2. リスク評価のアプローチ

リスク評価を実施するために使用する方法を定義します。

Allied Health 4 U は、組織によって作成・受領・維持・送信されるすべての物理デバイスおよび電子データを棚卸しすることにより、リスク評価を実施します。また、EHR システムの利用者および管理者にインタビューを行い、さらにシステムデータを分析して、システムに対する潜在的な脆弱性と脅威を特定します。

2.1 参加者

EHR を担当する、または EHR とやり取りする責任を持つ参加者（例：すべての IT スタッフおよび経営陣）を特定します。参加者の氏名と役割（例：最高情報責任者（Chief Information Officer）や資産所有者（Asset Owner））の一覧を含めてください。

ePHI のセキュリティ担当者とリスク管理チームは、Allied Health 4 U における ePHI のセキュリティリスク分析およびリスク管理プロセスを維持し、実行する責任を負います。

1. 最高情報責任者（Chief Information Officer）: Bradley Gray, MD
2. コンプライアンス責任者（Compliance Officer）: Jean Parker, MD
3. リスク評価チーム（Risk Assessment Team）: William Brown, Takisha Lutrelle, and Lili Obrador

2.2 情報収集に使用する手法

ePHI データ、物理デバイス、プロセスおよび手順を特定し、棚卸しするために使用する方法を列挙してください。

リスク評価のために情報を収集する際に、次の手法が用いられます。

• 最高情報責任者（CIO）、リスク管理チーム、利用者へのインタビュー
• ドキュメントの確認 — IT ポリシーとプロセス、脅威および脆弱性レポート、インシデントレポート、情報分類文書。
• 現地訪問 — Regency Park の所在地、将来の所在地すべて

2.3 リスク尺度の開発と説明

リスク評価を実施するタイミング、使用しているリスクレベルのマトリクス、リスクの判断方法、ならびに少なくとも3つのレベルを含むリスク分類について説明してください。

Allied Health 4 U は、次のタイミングでリスク評価を実施します。

• EHR のソフトウェア更新後
• 新しいハードウェア、ソフトウェア、またはファームウェアを導入した後
• データ侵害が報告された後

次のリスクマトリクスを使用して、リスクの規模を判断してください：

リスクの規模：

• 高：25超〜50
• 中程度: >5〜25
• 低: >0.5〜5

3. システムの特性化

対象とする IT システムの境界、およびシステムを構成するリソースと情報を特定します。特性化は、リスク評価の範囲に関する作業量を確立し、認可または認定の手順を示し、連続性（コネクティビティ）、責任、およびサポートに関する情報を提供します。

Allied Health 4 U EHR システムは、そこに含まれるすべてのラップトップ、デスクトップ、タブレット、サーバー、および ePHI で構成されます。

3.1 システムに関する情報

関連情報と、処理環境についての簡潔な説明を示してください。

3.2 システム利用者

ユーザーの所在地やアクセスレベルの詳細を含めて、誰がシステムを利用するのかを説明してください。

4. 脅威と脆弱性

評価対象のシステムに対して、信頼できる脅威と脆弱性をすべて列挙してください。多くの場合、ここには簡単な説明を記載し、詳細な結果は付録または別のスプレッドシートに提示できます。

4.1 脅威の特定

合理的に予測できる脅威のカタログを作成してください。最も重要な懸念は、元従業員、犯罪者、ベンダー、患者など、動機・アクセス権・システムに関する知識を持つ人による脅威です。

4.2 脆弱性の特定

潜在的な脅威が引き起こしたり悪用したりできる、技術的および非技術的なシステムの脆弱性をすべて列挙してください。不完全、または矛盾しているポリシーや手順、十分でない防御策（物理的および電子的の両方）、ならびにシステムのあらゆる部分に存在するその他の欠陥や弱点を含めます。

Allied Health 4 U は、以下の脆弱性を特定します：

4.3 セキュリティ対策

リスクを低減するために、現在または今後導入するすべての技術的および非技術的な統制の有効性を文書化し、評価します。

5. リスク評価の結果

観察結果（それらを引き起こし得る脆弱性と脅威）を説明し、各リスクを測定し、統制の導入または是正措置に関する推奨事項を提示します。詳細な結果は、付録または別のスプレッドシートで示すほうが望ましいことがよくあります。

6. 変更履歴

HIPAA リスク評価に対するすべての変更を追跡します。