HIPAA データセキュリティと保存要件

HIPAA とは#

HIPAA は Health Insurance Portability and Accountability Act の略で、1996 年に制定された米国連邦法です。主な目的は:

• 患者の医療情報 (PHI) を守る
• データプライバシーとセキュリティを担保する
• 医療データの流通と保険プロセスを整流化する

HIPAA の主要構成#

1. Privacy Rule (プライバシー規則)

   • 誰が PHI にアクセスし共有できるかの基準を定義
   • 医療提供者、保険者、Business Associate に適用
   • 医療データの大半の開示には患者の同意が必要

2. Security Rule (セキュリティ規則)

   • 電子 PHI (ePHI) を守るための管理的、物理的、技術的セーフガードを要求
   • 例: 暗号化、アクセス制御、監査ログ

3. Breach Notification Rule (侵害通知規則)

   • データ侵害時に、本人、HHS、(該当する場合) メディアへの通知を義務付け

4. Enforcement Rule (執行規則)

   • 不遵守に対するペナルティを規定 — 違反種別ごとに年間最大 150 万ドル

用語集#

誰が遵守すべきか#

Covered Entities (対象事業者): 医療情報を電子的に伝送する健康保険プラン、医療提供者、クリアリングハウス。

Business Associates: Covered Entity に代わって ePHI を扱うサードパーティ:

• クラウド DB サービス事業者
• DB 管理ツールのベンダー
• バックアップ・リカバリのサービス事業者
• DB コンサルタント

Business Associate Agreement (BAA)#

HIPAA は、自社の代わりに ePHI を作成・受領・保持・伝送するすべての組織と Business Associate Agreement を結ぶことを Covered Entity に要求します。BAA は明確に伝える必要があります。

• 扱うシステムとデータの境界
• システムのコミットメントとセキュリティ要件
• 当事者間の条件、責任
• 侵害通知の義務とタイムライン
• 契約終了時のデータ返却または破棄の要件

加えて、Business Associate が ePHI を扱う新しいサブプロセッサーを採用する前に、Covered Entity から書面の許可を得る必要があります。これにより、患者データの完全な保管連鎖が文書化・承認されます。

Electronic Protected Health Information (ePHI): 電子的に保持・伝送される識別可能な医療データ。例:

• 医療記録
• 請求・保険データ
• 予約スケジュール
• 患者識別子を含むメタデータとログ

DB 層でのセキュリティ要件#

アクセス制御#

目的: ePHI へアクセスできるのは認可されたユーザー・アプリだけにする。

アクセス制御は HIPAA の技術的セーフガードの礎です。役割と責務に基づいて、認可された個人・システムだけにデータアクセスを制限します。

ロールベースアクセスと強制

RBAC はユーザーの職務に基づいて権限を割り当てます。機微データの露出を最小化します。

• 臨床ロール: 診断と治療のための患者データへのアクセス
• 管理ロール: 請求とスケジュールデータへのアクセス
• 技術ロール: インフラ管理に限定したアクセス
• 監査ロール: コンプライアンスレビューのための読み取り専用アクセス

追加のセーフガード:

• ビュー/行/カラム単位セキュリティ
• 機微フィールドの動的データマスキング

緊急時アクセスの手順

組織は ePHI システムの緊急時アクセス手順を定義・文書化する必要があります。手順では次を明示します。

• 誰が緊急アクセスを発動できるか (例: セキュリティオフィサー、オンコール DBA)
• どう緊急時資格情報を払い出し、保管し、ローテーションするか
• 何が各使用後のログとレビューに必要か
• いつ緊急アクセスが失効し、通常アクセスへどう戻すか

緊急アクセスは時間制限を設け、必須の事後レビューの対象としてください。

ワークステーションセキュリティ

HIPAA は ePHI にアクセスするワークステーションへの物理的・技術的セーフガードを要求します。

• 非操作時、15 分以内で画面ロックが起動
• ローカル保存データ保護のため、全ワークステーションでハードディスク暗号化
• アンチウイルス/エンドポイント保護を導入し最新に保つ
• 許可される所在と構成を定めたワークステーション利用ポリシー

変更管理:

• 標準化されたアクセス申請・承認プロセス
• 非本番でのテスト
• 文書化された監査証跡
• 四半期ごとのレビューとクリーンアップ

監査統制と監視#

目的: ePHI へのすべてのアクセスと活動を記録・監視する。

ePHI を扱うシステムへのアクセスと変更を記録するために、監査統制は必須です。これらのログは、不正な操作の検知・対応と、規制調査の遂行に不可欠です。

• ユーザークエリ、データ変更、ログイン試行、権限付与を追跡
• スキーマ更新と構成変更を監視
• 異常と違反をアラートで検知
• 中央集約のログ・分析のため SIEM ツールと統合

自動アラート

HIPAA はデータ処理の問題への迅速な特定と対応を要求します。組織は次を実装すべきです。

• バックアップ失敗アラート: バックアップジョブが失敗したらバックアップ管理者へ自動通知し、即座に調査・解消できるようにする
• データ処理エラーアラート: データ処理エラーを自動監視し、責任者へタイムリーに通知する
• アクセス異常アラート: 異常なアクセスパターン、ログイン失敗、権限昇格への通知

侵害ログ

すべてのデータ侵害とセキュリティインシデントは、中央リポジトリにログする必要があります。これにより:

• 侵害報告と通知要件を満たせる
• インシデントの特定、評価、Covered Entity への報告がタイムリーに行える
• 影響を受けるデータ主体と当局に、HIPAA Breach Notification Rule のタイムラインに沿って通知できる
• 過去の侵害データがトレンド分析と規制監査に利用可能になる

データ完全性と変更管理#

目的: 不正なデータ改変・損失を防ぐ。

HIPAA は不適切な改変からデータを守ることを求めます。DB では次を含みます。

• チェックサムや RAID によるストレージレベルの完全性
• 参照整合性のような DB レベルの制約
• アプリケーションレベルの検証とビジネスロジック強制

正式な変更管理により、更新がレビュー、テスト、文書化されることを担保します。

• リスク評価とロールバック計画が必要

暗号化とデータ保護#

目的: 保存・通信中の ePHI を保護する。

暗号化は HIPAA Security Rule の必須セーフガードです。

保存時:

• Transparent Data Encryption (TDE) はアプリケーションを変えずに DB 全体を暗号化
• SSN や診断のようなフィールドにはカラム単位の暗号化を使用
• 暗号鍵はエンタープライズ級の鍵管理システムに、ローテーションポリシー付きで保管

通信時:

• すべての接続に TLS/SSL
• サービス間は VPN や内部証明書ベースの通信

変更管理:

• 鍵ローテーションのスケジュール
• アルゴリズム更新と段階的ロールアウト
• 暗号化構成変更の安全な扱い

認証と認可#

目的: ユーザー ID を確認し、権限を強制する。

HIPAA は ePHI にアクセスできるのが承認された個人だけであることを担保するため、強力な認証を要求します。

• MFA: パスワードをトークンや生体認証と組み合わせる
• SSO 統合: アクセスを整流化し、ID 制御を中央化
• LDAP/AD 対応: プラットフォーム横断でアカウントを同期
• 特権アクセス: Admin アカウントを分離・監視
• 定期的な再認証: 定期的なアクセスレビュー

ポリシーガバナンスとプライバシー監督#

年次ポリシーレビュー#

HIPAA は、情報セキュリティポリシーを少なくとも年 1 回マネジメントがレビューし、必要に応じて更新することを要求します。含まれるもの:

• セキュリティポリシーと手順
• 利用ポリシー
• インシデント対応計画
• アクセス制御ポリシー

各レビューは、レビュー日、レビュワー、変更点を文書化してください。

プライバシー監視の責務#

組織はプライバシー要件の監視と強制の責務を正式に定義し、伝える必要があります。含まれるもの:

• HIPAA プライバシー準拠を担当する Privacy Officer の指名
• HIPAA セキュリティ準拠を担当する Security Officer の指名
• ポリシー違反に対する強制手順の文書化
• アクセス可能なポリシー文書を通じて、全従業員がプライバシー義務を理解できるようにする

ポリシーへのアクセス#

組織と情報セキュリティのすべてのポリシーと手順は、通常イントラネットや文書管理システムを通じて、従業員が利用可能である必要があります。従業員はいつでも、関連するすべてのポリシーの現行版にアクセスできるべきです。

HIPAA 保存要件#

HIPAA は、コンプライアンス文書を、作成日または最後に有効だった日のいずれか遅い方から最低 6 年保存することを義務付けます。対象:

• ポリシーと手順 (プライバシー、セキュリティ、利用、開示ポリシー)
• 監査ログとシステムアクセス記録
• システム構成と変更履歴
• リスク評価と是正計画
• Business Associate Agreement
• 訓練記録

医療記録の保存は州法によって異なり、より長期間が必要なこともあります。

データライフサイクル管理戦略がこれらの義務遂行を助けます。

実装のヒント:

• 種別、用途、法的要件でデータを分類
• 適切なストレージ階層を割り当て
• アーカイブと削除のワークフローを自動化
• 訴訟・調査向けにリーガルホールド機能を有効化

安全な廃棄#

ePHI のライフサイクルが終わったら、永続的かつ安全に削除する必要があります。

• 論理削除: アクティブシステムからデータを削除し、検証
• 物理破壊: ドライブのシュレッディング、テープの消磁
• 暗号消去: 暗号鍵を破壊し、データを読めなくする
• すべての廃棄活動の監査ログを維持

結論#

強力なセキュリティ統制、正式な変更管理、Bytebase のような自動化ツールを統合することで、ヘルスケア組織は機微データを守りつつ、コンプライアンスを保ったまま効率的に運用できます。