HIPAA監査チェックリストとは

HIPAA監査チェックリストとは、対象事業者およびビジネスアソシエイトが、自組織の業務に適用されるHIPAA運用簡素化規則の基準への準拠状況を監査する際に使用すべき文書です。

内部向けHIPAA監査チェックリストと外部向けHIPAA監査チェックリストの違いは、外部向けチェックリストがOCRの監査プロトコル、CMSのコンプライアンスレビュープログラム、または第三者機関の認証要件といった特定の基準を満たすように設計されている点にあります。

これに対し、内部向けHIPAA監査チェックリストは、組織のコンプライアンス義務のあらゆる領域を網羅する包括的な文書です。ただし、組織ごとにコンプライアンス義務は異なるため、すべての組織に当てはまる「万能」の内部向けHIPAA監査チェックリストというものは存在しません。

対象事業者およびビジネスアソシエイトは、以下の内容を確認し、HIPAA運用簡素化規則のどの基準が自組織の業務に適用されるかを判断した上で、自社の要件を満たす内部向けHIPAA監査チェックリストを作成する必要があります。作成したチェックリストは、その後HIPAAコンプライアンス監査チェックリストとして活用し、コンプライアンス上の不備を洗い出して是正措置を講じるために使用します。

運用要件監査チェックリスト

HIPAAの運用要件（Part 162）は、固有健康識別子、取引規則、コードセット基準などの分野を対象としています。請求処理や事務作業を自社で行う対象事業者、および対象事業者に代わって請求・クレーム管理サービスを提供するビジネスアソシエイトは、このPartの基準に準拠する必要があります。

一般的に、内部向けHIPAA監査チェックリストに含める必要があるコンプライアンス領域は、運用規則、取引規則、文書化の3つのみです。

• 資格確認、請求状況、電子資金振替／送金通知に関する運用規則の順守を確認
• Administrative Simplification Enforcement and Testing Tool（ASETT）を用いて取引の準拠性をテスト
• コンプライアンスレビュー時に文書提出が求められた場合に備え、ポリシー・手順・テスト結果を文書化

運用要件違反によって民事制裁金が科された例はこれまでのところありませんが、CMSによるHIPAA監査に不合格となり、その後是正措置計画に従わなかった場合、CMSには対象事業者やビジネスアソシエイトにPart 162への非準拠を理由とした罰金を科す権限があります。2023年5月までの1年間では、コンプライアンスレビューに不合格となり是正措置計画を課された組織が51%に上りました（2024年および2025年分のレポートはまだ公表されていません）。

HIPAAプライバシー規則監査チェックリスト

HIPAAプライバシー規則が定める基本的な監査要件は、個人を特定できる医療情報を許可されていない使用・開示から保護することと、個人に自身の保護対象保健情報（PHI）に関する権利を付与することの2つだけです。この2つの要件を満たすため、HIPAAプライバシー規則の対象となる組織は、その業務内容に応じて最大14種類の基準群に準拠する必要があります。

なぜ「最大」14種類なのでしょうか。それは、すべての対象事業者がHIPAAプライバシー規則への準拠を求められる一方で、一部の基準はすべての種類の組織に適用されるわけではないためです。例えば、一部の基準は健康保険プランにのみ適用されます。また、一部のビジネスアソシエイトは、対象事業者のために、あるいは対象事業者に代わって提供するサービスの内容や、対象事業者との間で締結したビジネスアソシエイト契約の条項に応じて、特定のHIPAAプライバシー規則基準への準拠を求められる場合があります。

HIPAAコンプライアンスの対象となるすべての組織は、以下のリストを確認し、自組織の業務に該当する項目を判断した上で、該当する項目をHIPAAコンプライアンス監査チェックリストに追加してください。

1. HIPAAプライバシー責任者の任命

ほとんどの組織はこの要件に馴染みがあるはずですが、患者・プラン加入者、従業員、規制当局にとっての窓口となるプライバシー責任者を、従業員の中から任命することが不可欠です。HIPAAプライバシー責任者には、HIPAAに準拠したポリシーや手順を策定・実施する責任もあります。

2. PHIの定義を正しく理解する

PHIについては誤解が多く、そのため一部の組織はデータに対して過剰に保護的になる一方、別の組織は少々無頓着になってしまうことがあります。何がPHIに該当するかを理解することはもちろん重要ですが、セキュリティと効率の観点からは、実務上可能な限り少ない数の指定記録セット内でPHIを保護する手順を整備することも重要です。

3. 許容される使用・開示の範囲

組織の全従業員が、PHIの使用・開示のうち必須のもの、許容されるもの、表明が必要なものの違い、個人に同意または異議申し立ての機会を与えるべき使用・開示、そして個人による書面でのHIPAA同意が必要な使用・開示の違いを理解していることを確認してください。

4. 同意取得のための手順

すべての対象事業者は、同意の取得・管理のための手順を整備し、個人が同意を撤回する権利を行使した場合に遅滞なく撤回処理ができるようにしておく必要があります。また、（例えば）資金調達活動やマーケティング資料に使用された患者に関する情報を撤回するための手順も用意しておく必要があります。

5. プライバシー実務通知

患者やプラン加入者は、医療機関を初めて受診する際、または保険プランに加入する際に、必ずプライバシー実務通知を受け取らなければなりません。この通知には、同意なしにPHIをどのように使用・開示できるか、個人の同意がある場合にのみ使用できる場合はどのようなときか、そして個人がプライバシー保護やPHIの写しを請求する権利について記載されている必要があります。

6. プライバシー保護請求への対応手順

個人には、状況に応じた特定の使用・開示に制限を求める権利、および対象事業者やビジネスアソシエイトからの連絡方法を制限するよう求める権利があります。組織は、プライバシー保護の請求に対応し、請求を管理し、口頭での請求撤回を文書化するための手順を整備しておく必要があります。

7. アクセス・訂正・転送請求への対応手順

医療情報へのアクセス提供、必要に応じた訂正、そして請求に応じた他の医療提供者への転送を怠ることは、HHS公民権局（OCR）への苦情申し立ての主要な原因の一つとなっています。苦情件数の削減を図るため、同局は請求への対応が遅れた組織に対する執行措置を強化しています。

8. 開示記録の維持手順

個人には、請求日から遡って6年間分の自身のPHIに関する開示記録の提供を請求する権利があります。ただし、すべての開示が記録対象となるわけではありません。対象事業者は、どの開示を記録する必要があるかを正しく理解し、各個人について開示記録を維持するための手順を整備することが重要です。

9. 従業員研修

プライバシー規則における研修要件の対象範囲は、HIPAAのポリシーや手順が適用される従業員に限定されています。しかし、知識不足による許容されない開示のリスクを低減し、ヒューマンエラーのリスクを減らすためには、基本的なHIPAA研修をすべての従業員に提供することが望まれます。

10. 文書化

文書化は、HIPAAプライバシー規則のほぼすべての基準で求められる要件です。準拠が求められる組織は、ポリシー・手順、プライバシー実務通知、個人の同意、従業員研修などを文書化する手順を整備し、それらのポリシー・手順を、最後に効力を有していた時点から少なくとも6年間保存する必要があります。

HIPAAプライバシー規則の対象となる組織は、Part 164の一般規定（「規則」の対象外となっているAdministrative Simplification規則の一部分）も確認しておくべきです。これらの規定は主にハイブリッド事業体、関連事業体、および組織化された医療提供体制（OHCA）に適用され、職務上アクセスを許可された者のみにPHIへのアクセスを制限すること、そして組織内の対象外部門からPHIを保護することを対象としています。

HIPAAセキュリティ規則監査チェックリスト

HIPAAプライバシー規則監査チェックリストが持ちうる複雑さと比較すると、HIPAAセキュリティ規則監査チェックリストは比較的シンプルです。HIPAAセキュリティ規則にはHIPAAプライバシー規則よりも基準数がはるかに少ないだけでなく、その内容も解釈の余地が少なくなっています。また、セキュリティ基準の一般規則では、対象事業者やビジネスアソシエイトに基準の実施方法について「アプローチの柔軟性」も認められています。

HIPAAセキュリティ規則に関するHIPAA監査チェックリストの作成を支援するため、医療IT国家調整官室（ONC）とHHS公民権局は共同でHIPAAセキュリティリスク評価（SRA）ツールを開発しました。組織はこのツールをオンラインで利用するか、Excel文書としてダウンロードして、セキュリティ規則が求めるリスク評価要件を満たすことができます。ただし、このツールがすべての組織に適しているとは限りません。使用前に、以下の質問を検討することをお勧めします。

1. 貴組織はHIPAAセキュリティ責任者を任命していますか？

この役職はHIPAAプライバシー責任者と兼任することも可能ですが、セキュリティポリシーや手順を設計・実施・運用する資格を備えている必要があります。理想的には、IT部門の上級メンバーにこの役割を任命することが望ましいでしょう。

2. ePHIがどこから発生しているかを把握していますか？

ePHIを不正なアクセス、開示、改ざん、削除から保護するためには、ePHIがどこで発生し、どこで保管され、どこへ送信されるのかを把握しておく必要があります。実質的には、組織が保有するすべてのePHIについて監査証跡を作成する必要があります。

3. ユーザーがどのようにePHIにアクセスしているか把握していますか？

ONC/OCRのセキュリティリスク評価ツールを使用する前に、ePHIへのアクセスに使用されるデバイスや、それが保存される媒体の棚卸しを行う必要があります。これにはオンサイトのデバイスやサーバーだけでなく、ePHIへのリモートアクセスに使用されるデバイスも含まれます。

4. 既に導入されているセキュリティソフトウェアは何ですか？

対象事業者またはビジネスアソシエイトとして、マルウェア、ランサムウェア、フィッシングによる脅威を軽減する対策を実施することが求められます。多くの組織では、メールフィルターやウェブフィルターなど、脅威を軽減するためのセキュリティ対策が既に導入されています。

5. 既に導入されているロールベースのアクセス制御は何ですか？

前項と同様に、多くの組織ではユーザーがアクセスできる情報を制御するためのロールベースのアクセス制御を既に活用しています。ゼロから構築するよりも、既存の制御をセキュリティ規則の基準に適合するよう調整する方がはるかに容易です。

6. その他に既に利用しているセキュリティ機構は何ですか？

「アプローチの柔軟性」条項と、一部の実装仕様が「対応が望ましい（addressable）」とされている性質上、PINロック、自動ログオフ、パスワードマネージャーなど、既存のセキュリティ機構の使用を徹底することで、多くのHIPAAセキュリティ規則基準に準拠できる場合があります。

7. セキュリティインシデントを報告するための既存プロセスは何ですか？

ほとんどの組織は、不審なメールやマルウェア、その他の異常を報告するプロセスを既に整備しているはずです。これらは通常、HIPAAセキュリティ規則への内部的な準拠には十分ですが、ビジネスアソシエイトはすべてのセキュリティインシデントを対象事業者に報告する義務があることを忘れてはなりません。

8. 組織には既にセキュリティ意識向上研修プログラムがありますか？

ほとんどの組織には何らかの形のセキュリティ意識向上研修が既にあると考えられ、HIPAAセキュリティ規則の一般要件（§164.406）を満たすために必要なのは、より HIPAA に即した内容に調整し、研修を確実に文書化することだけである可能性が高いでしょう。

9. 組織は段階的な制裁ポリシーを実施していますか？

段階的な制裁ポリシーの実施は、HIPAA準拠に向けた重要なステップです。なぜなら、軽微または繰り返されたHIPAA違反にも結果が伴うことを従業員に再認識させる役割を果たすからです。

10. 組織には緊急時対応計画（コンティンジェンシープラン）がありますか？

ePHIの機密性・完全性・可用性を脅かす可能性がある、予見しうる緊急事態に備えたコンティンジェンシープランを策定することは、HIPAAの要件です。SRAツールを確認し、あらゆる種類の緊急事態を網羅できているか見直す必要があるかもしれません。

このHIPAAセキュリティ規則のHIPAA監査チェックリストは、質問内容としては比較的基本的なものですが、HIPAA準拠への道のりは、SRAツールのように既存の知識レベルを前提とするのではなく、知識ゼロを前提として始めることをお勧めします。さらに、新たな対策を導入する際は、従業員が一度の説明で新しい対策を理解したと決めつけるのではなく、どの程度理解できたかをテストすることがベストプラクティスです。

HIPAA監査ログ要件

HIPAAセキュリティ規則監査チェックリストを使用する場合でもSRAツールを使用する場合でも、HIPAA監査ログ要件を見落とさないことが重要です。HIPAAセキュリティ規則は、対象事業者およびビジネスアソシエイトに対し、電子保護対象保健情報を含む、または使用する情報システム内の活動を記録・検査するハードウェア、ソフトウェア、および／または手続き上の仕組みを実装することを求めています。

監査ログにより、対象事業者やビジネスアソシエイトは、不正アクセス、許容されない開示、アプリケーションの不具合、不審な活動といった事象に関連するリスクを特定できます。また、セキュリティインシデントやデータ侵害発生後のフォレンジック証拠としても活用でき、再発防止策の策定にも役立ちます。

HIPAAセキュリティ規則では、監査ログで収集すべきデータの内容や、ログをレビューする頻度については具体的に定められていません。HHSも、ソフトウェアやアプリケーションによってシステム活動の記録・検査方法が異なることを認めています。このため、対象事業者やビジネスアソシエイトにとっては、システム全体の活動を監視し、問題があればさらなる調査のためにフラグを立てられるHIPAAコンプライアンスソフトウェアを導入することが有益な場合があります。

侵害通知規則監査チェックリスト

ビジネスアソシエイトは、（保護されていないePHIの侵害に至ったものだけでなく）すべてのセキュリティインシデントを対象事業者に通知する義務があるため、ビジネスアソシエイトは対象事業者とは異なる侵害通知規則監査チェックリストを使用する必要があります。一方、対象事業者はHIPAA侵害通知ツールを使い、あるセキュリティインシデントが報告対象に当たるかどうかを判断できます。とはいえ、両者の侵害通知規則監査チェックリストには、以下のようないくつかの共通項目があります。

• 侵害・セキュリティインシデントはどのように発生したか
• 侵害・セキュリティインシデントの影響はどのように軽減されたか
• 同様の侵害・セキュリティインシデントの再発を防ぐために何をすべきか

また、セキュリティインシデントを対象事業者に通知するための手順、あるいは保護されていないePHIの侵害についてHHS公民権局と影響を受けた個人に通知するための手順を整備し、責任者を明確にしておく必要もあります。HIPAAコンプライアンスの他のすべての領域と同様に、手順、すべての侵害・セキュリティインシデント、およびその結果は文書化し、その文書を最低6年間保存しなければなりません。

HIPAA監査チェックリストの作成・運用に関するアドバイス

HIPAAコンプライアンスのあらゆる要素を単一のHIPAA監査チェックリストに統合するのは容易ではなく、チェックリストが包括的であるがゆえに、かえって抜け漏れが生じてコンプライアンス違反につながる可能性もあります。この課題を克服する方法は2つあります。HIPAA監査チェックリストをより小さく管理しやすい単位に分割するか、コンプライアンス専門家のサービスを利用してチェックリストの作成・運用の両方を支援してもらうかです。

後者を選択する利点の一つは、コンプライアンス専門家であれば既存のチェックリストを評価し、どの程度の支援が必要かを判断した上で、正確かつ包括的なチェックリストを作成するために必要な支援を提供できる経験を有している点です。このアプローチには、自組織に適用されない基準の中に存在しない脅威を探し回るという事態を防ぎ、時間とコストの両方を節約できるという利点があります。

FAQ

HIPAA運用簡素化規則とは何ですか？

HIPAA運用簡素化規則とは、HIPAAの成立（連邦規則集Title 45, Subtitle A, Subchapter C）を受けて策定された「運用データ基準およびその他の要件」を指します。

この規則には、運用要件の基準や、HIPAAプライバシー規則、セキュリティ規則、侵害通知規則の基準だけでなく、一般運用規定、一般セキュリティ・プライバシー規定、および執行規則も含まれています。

CMSは非準拠に対して民事制裁金を科すことができますか？

メディケア・メディケイドサービスセンター（CMS）は、HHS公民権局と同様に、非準拠の組織に制裁を科す権限を有しています。理論上、CMSは故意の懈怠により運用要件への非準拠を繰り返した対象事業者やビジネスアソシエイトに対し、最大2,134,831ドルの罰金を科すことができます。

なぜビジネスアソシエイトもプライバシー規則への準拠が求められるのですか？

HIPAAプライバシー規則の適用基準（§164.104）は、2013年の最終オムニバス規則により改正され、「本Part（HIPAAプライバシー規則）に基づき採用された基準、要件、実装仕様は、規定がある場合、ビジネスアソシエイトにも適用される」と規定されるようになりました。

これは、対象事業者とは別の指定記録セットに個人のePHIが保管されている場合、ビジネスアソシエイトは許容される使用・開示、およびアクセス請求の管理に関するポリシーや手順を策定する必要が生じる可能性があることを意味します。

ビジネスアソシエイトはプライバシー責任者を任命する必要がありますか？

これは、ビジネスアソシエイトの業務内容や、一般市民・規制当局との接点がどの程度発生しうるかによって異なります。接点が最小限にとどまる可能性が高い場合は、セキュリティ責任者にプライバシー責任者の役割を兼務させることも考えられます。

HIPAAにおいてPHIとは何とみなされますか？

これはおそらく、HIPAAコンプライアンスに関して最も頻繁に尋ねられる質問です。というのも、HIPAAにおいて何がPHIとみなされるかは非常に複雑であり、この問いに答えるために専用の記事1本を割いているほどです。

なぜONC/OCRのセキュリティリスク評価ツールはすべての組織に適しているわけではないのですか？

OCRのウェブサイトによれば、「このツールの機能は、中小規模の医療機関やビジネスアソシエイトの支援に有用」とされています。これは、健康保険プラン、医療クリアリングハウス、大規模組織には適さないことを示唆しています。

さらに、このツールは一定の知識レベルがあることや、HIPAAセキュリティ規則の基準に準拠するための対策がすでにいくつか実施済みであることを前提としています。貴組織がHIPAA準拠に向けた最初の一歩を踏み出したばかりであれば、このツールは自組織のニーズに対して高度すぎると感じるかもしれません。

組織にはどのようにロールベースのアクセス制御が既に導入されていることがありますか？

多くの組織では、Microsoft AD、Okta Lifecycle Management、Open LDAPといったID・アクセス管理サービスを利用し、組織内の誰がシステムやデータベースにアクセスできるかを制御しています。これらのサービスは、HIPAAセキュリティ規則のアクセス要件への準拠にそのまま活用できることがよくあります。

HIPAAコンプライアンス監査チェックリストとヘルスケアコンプライアンス監査チェックリストの違いは何ですか？

HIPAAコンプライアンス監査チェックリストとヘルスケアコンプライアンス監査チェックリストの違いは、前者が組織のHIPAA準拠状況を監査するためのものであるのに対し、後者はCMSのメディケア規則、OSHAの職場規則、州の免許要件など、医療活動に関連する連邦・州・地方のあらゆる適用規則への準拠状況を監査するためのものである、という点です。

HIPAAセキュリティ監査における3つの重要な構成要素は何ですか？

HIPAAセキュリティ監査を構成する要素はすべて重要ですが、ほとんどの組織が特に重視すべき3つの要素は以下のとおりです。

• ePHIの棚卸しと監査証跡。ePHIがどこから発生し、どこに保管され、どのように使用・開示されているかを把握していなければ、医療情報の機密性・完全性・可用性を保護するための対策を実施することは不可能です。
• ソフトウェアの実装と設定。「HIPAA準拠」と謳われたソフトウェアを導入するだけでは、HIPAAセキュリティ規則への準拠として不十分な場合が少なくありません。ソフトウェアは、医療情報への脅威を軽減できるよう適切に設定されている必要もあります。
• 従業員研修とコンプライアンス監視。ePHIへのアクセス権を持たない従業員も含め、すべての従業員がセキュリティ意識向上研修を受ける必要があります。また、セキュリティ意識向上研修の順守状況を監視することも重要です。