無料HIPAAセキュリティリスクアセスメント

HIPAAセキュリティリスクアセスメントとは、PHI(保護対象保健情報)のプライバシーとセキュリティに対する脅威、脅威が発生する可能性、そして各脅威が及ぼす潜在的な影響を評価するものです。これにより、既存のポリシー、手順、セキュリティ対策がリスクや脆弱性を妥当かつ適切な水準まで低減できているかどうかを判断できます。   

対象事業者(covered entities)およびビジネスアソシエイト(business associates)に対するHIPAAセキュリティリスクアセスメント実施要件は、医療保険の携行性と責任に関する法律(Health Insurance Portability and Accountability Act)の運用簡素化条項の中に2箇所登場します。ただし、組織によってはこれらの要件を超えてリスクアセスメントを実施する必要が生じる場合もあります。

HIPAAセキュリティリスクアセスメントに関する最初の要件は、HIPAAセキュリティルール(45 CFR § 164.308 – セキュリティ管理プロセス)に規定されています。この基準では、対象事業者およびビジネスアソシエイトに対し、「ePHI(電子化された保護対象保健情報)の機密性、完全性、可用性に対する潜在的リスクおよび脆弱性について、正確かつ徹底したアセスメント」を実施するよう求めています。

2つ目の要件は、HIPAA違反通知ルール(45 CFR § 164.402)に規定されています。この基準は、未保護のPHI(形式を問わず)に対する不適切な取得・アクセス・使用・開示が発生した場合にのみ適用され、その事案がHHS(米保健福祉省)および被害を受けた個人に対して通知義務を負うものかどうかを判断するためにHIPAAリスクアセスメントが必要となります。

しかし、HIPAAセキュリティルールおよび違反通知ルールが定めるHIPAAセキュリティリスクアセスメントの要件を超えて、PHIが電子形式でない場合にもその機密性、完全性、可用性に対するリスクは存在します。たとえば、口頭で不正な開示が行われた場合や、印刷された医療報告書が誰でも立ち入れる場所に放置された場合などです。

こうしたリスクがあるため、非電子形式のPHIの機密性、完全性、可用性に対するリスクだけでなく、個人のPHIへのアクセス権、ビジネスアソシエイト契約、その他HIPAAの組織的要件までをカバーするHIPAAプライバシーリスクアセスメントの実施が必要となる場合があります。

HIPAAセキュリティリスクアセスメント

HIPAAセキュリティリスクアセスメントの目的は、HIPAAセキュリティルールの管理的、物理的、技術的セーフガードに先立つ一般規則(CFR 45 § 164.306)に示されています。その目的とは以下のとおりです。

• 対象事業者またはビジネスアソシエイトが作成・受領・維持・送信するすべての電子PHIについて、機密性、完全性、可用性を確保すること。
• 当該情報のセキュリティまたは完全性に対して合理的に予見される脅威や危険から保護すること。
• 本サブパート(HIPAAプライバシールール)の下で許可または要求されていない、当該情報の使用または開示のうち合理的に予見されるものから保護すること。
• 本サブパート(HIPAAセキュリティルール)への職員による遵守を確保すること。なお、これはセキュリティ意識向上トレーニングと制裁ポリシーの施行によって達成されます。

HIPAAセキュリティルールの管理的、物理的、技術的セーフガードに関して、一般規則は各基準の実装方法について「柔軟なアプローチ」を認めています。この柔軟なアプローチの条項があるとはいえ、実装仕様が「妥当かつ適切」でない場合を除き、すべての基準を実装することが重要です。その場合は、代わりに同等の代替措置を実装する必要があります。管理的、物理的、技術的な実装仕様の全一覧は以下のとおりです。

HIPAAセキュリティルールの最終セクションでは、ビジネスアソシエイト契約およびその他の組織的要件を扱っています。このセクションでは、対象事業者に対し、ビジネスアソシエイト契約においてビジネスアソシエイトがHIPAAセキュリティルールを遵守し、(データ侵害だけでなく)あらゆるセキュリティインシデントを対象事業者に報告するよう義務付けることを求めています。組織的要件に関しては、45 CFR § 164.314の基準は団体医療保険プランに適用されますが、ハイブリッド型、系列関係、またはOHCA(組織化された医療サービス提供者)の取り決めに該当するすべての対象事業者も、この基準の内容を確認しておくべきです。

HIPAA違反リスクアセスメント

2つ目の「必須」とされるHIPAAセキュリティリスクアセスメントは、実際には任意といえる面があります。というのも、HIPAA違反通知ルールでは、PHIの不適切な取得・アクセス・使用・開示は、リスクアセスメントによって侵害の可能性が低いことを立証できない限り、違反(breach)とみなされると定められているためです。このリスクアセスメントでは、少なくとも以下の要素を考慮する必要があります。

• 侵害されたPHIの性質と範囲(識別子の種類や再識別の可能性を含む)
• 侵害されたPHIを取得・アクセス・使用した、または不適切な開示を受けた不正な人物(判明している場合)
• PHIが実際に取得または閲覧されたかどうか(サイバー攻撃において何をもって「取得または閲覧」とみなすかについては、HHSのランサムウェアに関するガイダンスを参照してください)
• PHIに対するリスクがどの程度軽減されたか

HIPAA違反リスクアセスメントが「任意」とされる理由は、対象事業者およびビジネスアソシエイトが望めばこのHIPAAアセスメントを省略し、PHIの不適切な取得・アクセス・使用・開示すべてについて通知を行うという選択も可能だからです。ただし、この方法には難点があります。HHSの公民権局(OCR)が自組織で平均以上のデータ侵害が発生していると判断した場合、コンプライアンス審査を実施され、業務に支障をきたす可能性があるのです。

また、患者やプラン加入者が頻繁に違反通知を受け取るようになると、組織に対する信頼を損なう恐れもあります。特に、実際には「侵害された」PHIが取得も閲覧もされていないにもかかわらず、不必要に詐欺・盗難・損失への対策を講じるよう助言される場合はなおさらです。「任意」とはいえ、不要な通知を避けるためにHIPAA違反リスクアセスメントを実施することは良い方法だといえます。

HIPAAプライバシーリスクアセスメント

リスクアセスメント実施の要件がHIPAAセキュリティルールに規定されているため、多くの対象事業者やビジネスアソシエイトはHIPAAプライバシーリスクアセスメントの必要性を見落としがちです。HIPAAプライバシーリスクアセスメントはセキュリティリスクアセスメントと同様に重要であり、組織の規模や事業内容によってはより大規模な取り組みとなる場合があります。

HIPAAプライバシーリスクアセスメントを完了させるには、組織はプライバシー責任者を任命すべきです。その最初の任務は、組織のワークフローを特定し、HIPAAプライバシールールの要件が組織運営にどのような影響を及ぼすかについて「全体像」を把握することです。その後、プライバシー責任者は、侵害が発生しうる箇所を特定するギャップ分析を実施するため、PHIの内部および外部での流れをマッピングする必要があります。

HIPAAプライバシーリスクアセスメントの最終段階は、HIPAAプライバシーコンプライアンスプログラムの策定と実施であるべきです。このプログラムには、HIPAAプライバシーアセスメントで特定されたPHIに対するリスクに対応するためのポリシーを盛り込み、新しい業務慣行が導入されたり新技術が展開されたりするたびに見直すべきです。

45 CFR § 164.530で求められているとおり、HIPAAプライバシーリスクアセスメントの結果として策定されたポリシーや手順について従業員を教育すること、そしてポリシーや手順の重要な変更が従業員の業務に影響を及ぼす際にも教育を行うことが不可欠です。対象事業者やビジネスアソシエイトはこの要件を「形式的に」満たすだけで済ませてしまうこともありますが、十分な訓練を受けた職員ほどHIPAA違反を起こしにくくなります。したがってHIPAAポリシーと手順に関するトレーニングは、リスク軽減戦略の一環として積極的に取り入れるべきです。

リスクを特定しないことは高くつく

これまで、HIPAA違反に対する制裁金の重さは、PHI侵害の影響を受けた患者数と過失の程度によって決まってきました。「知らなかった(Did Not Know)」という最も軽い違反カテゴリーで制裁金が科されるケースは、現在ではほとんどありません。PHI保護に関する法的要件の存在を知らなかったという言い訳がほぼ通用しないためです。

近年では、制裁金の大半が「故意の懈怠(Willful Neglect)」という違反カテゴリーの下で科されています。これは、組織がPHIを保護する責任を負っていることを知っていた、あるいは知っているべきだったケースです。Advocate Health Care Networkに科された550万ドルの制裁金(過去最大級のHIPAA和解金)を含む、多くの高額な制裁金は、組織がPHIの完全性に対するリスクの所在を特定できなかったことに起因しています。

しかし、HIPAA監査の第2ラウンドが始まって以降は、PHIの潜在的な侵害に対しても制裁金が科されるようになりました。これは、HIPAAリスクアセスメントによって組織のセキュリティ上の欠陥が発見されていなかった場合、あるいはそもそもアセスメントが一切実施されていなかった場合です。2016年3月には、ミネソタ州のNorth Memorial Health Careが150万ドル以上を支払い、関連するHIPAA違反容疑について和解しました。

大規模組織だけが標的ではない

HIPAA違反に関する見出しの多くは大規模な医療機関と高額な制裁金に関するものですが、公民権局(OCR)による調査やHIPAA監査の対象となっている小規模な診療所も数多く存在します。2003年以降、OCRはHIPAA違反疑惑に関する報告を30万件以上受け付けています。このうち、500人以上の個人に関わるデータ侵害に該当するものは2%未満です。

中小規模の診療所にとって大きな問題となるのは、すべての保険会社がHIPAA違反にかかる費用を補償するわけではないという点です。HIPAA違反の費用には制裁金だけでなく、侵害を調査するITスペシャリストの雇用費用、社会的信頼を回復するための費用、対象個人への信用監視サービス提供費用も含まれます。保険会社は、HIPAA違反の性質や過失の程度によって補償範囲を制限する場合もあります。

保険による補償がない場合、HIPAA違反にかかる費用によって小規模な診療所が廃業に追い込まれる可能性もあります。しかし、HIPAAリスクアセスメントを実施し、発見された問題を解決するための対策を講じることで、このような事態は回避できます。アセスメントは複雑で時間のかかる作業ですが、それを怠れば小規模な診療所やそのビジネスアソシエイトにとって致命的な結果を招きかねません。

ビジネスアソシエイトも対象に含める必要がある

PHIを作成・受領・維持・送信するすべての対象事業者は、HIPAAセキュリティルールのセキュリティ管理要件を遵守するため、正確かつ徹底したHIPAAリスクアセスメントを実施しなければなりません。このHIPAA準拠の条件は、医療施設や医療保険プランだけに適用されるものではありません。ビジネスアソシエイト、下請け業者、ベンダーもHIPAAセキュリティリスクアセスメントを実施する必要があります。対象事業者と同様に、PHIの潜在的な侵害についてはビジネスアソシエイトに対してもOCRから制裁金が科される場合があります。

OCRはこうしたリスクを深刻に受け止めています。2014年12月、同局は500人以上の患者記録の漏えいを伴うHIPAA侵害の40%がビジネスアソシエイトの過失に起因すると明らかにしました。2016年6月には、ビジネスアソシエイトに対する初の制裁金として、フィラデルフィア大司教区のCatholic Health Care Servicesが450件の記録漏えいを受けて65万ドルの支払いに同意しました。この非営利団体は2013年以降、HIPAAリスクアセスメントを実施していませんでした。

近年、ビジネスアソシエイトのコンプライアンス不足に起因するデータ侵害の割合は減少しているように見えるかもしれませんが、必ずしもそうとは限りません。HIPAA違反通知ルール(CFR § 164.410)では、未保護のPHIの侵害が発生した場合、ビジネスアソシエイトは対象事業者に通知することが義務付けられています。そのうえで、HHSおよび被害を受けた個人への通知は対象事業者の責任となります。そのため、実際にはビジネスアソシエイトに過失があるにもかかわらず、多くのデータ侵害が対象事業者の責任として記録されている可能性があります。

リスクマネジメント計画の策定と新たな手順の導入

HIPAAリスクアセスメントによって、組織のセキュリティ体制のうち対応が必要な領域が明らかになるはずです。組織はその後、アセスメントで発見された弱点や脆弱性に対処するためのリスクマネジメント計画を策定し、PHI侵害につながりやすい脆弱性を解消するため必要に応じて新たな手順やポリシーを導入する必要があります。

各脆弱性に割り当てられたリスクレベルは、組織がそれぞれの脆弱性にどの程度の優先順位を与えるべきかの指針となります。組織はこれをもとに、最も重大な脆弱性から着手する是正計画を策定できます。この是正計画には、必要に応じて新たな手順やポリシー、適切な職員教育・意識向上プログラムを組み合わせるべきです。

OCRの指摘によれば、対象事業者やビジネスアソシエイトがHIPAA監査に不合格となる最も多い理由は、手順やポリシーの欠如、あるいは不十分な手順・ポリシーにあります。HIPAAリスクアセスメントの結果として導入されたワークフローの変更を確実に実行するためには、適切な手順とポリシーを整備することが重要です。

HIPAAセキュリティリスクアセスメントを支援するツール

組織の規模を問わず、事業運営のあらゆる側面についてHIPAAリスクアセスメントを実施することは複雑な作業になり得ます。これは特に、リソースが限られ、HIPAA規制への準拠経験がない小規模な診療所にとって当てはまります。HIPAAリスクアセスメント実施の複雑さを軽減するため、OCRは2014年、中小規模の診療所がHIPAAリスクアセスメントを作成する際に役立つ、ダウンロード可能なセキュリティリスクアセスメント(SRA)ツールをリリースしました。

このSRAツールは、組織が弱点や脆弱性が存在しうる箇所の一部を特定するのに非常に役立ちますが、すべてを網羅しているわけではありません。このソフトウェアに付属するユーザーガイドの冒頭では、「SRAツールはHIPAA準拠を保証するものではない」と明記されています。これは、このツールがすべてのPHIの機密性、可用性、完全性に関する156の設問で構成されている一方で、リスクレベルの割り当て方法や導入すべきポリシー・手順についての提案は含まれていないためです。

これは、インターネット上で見つかる他のサードパーティ製ツールについてもほぼ同様に当てはまります。これらのツールも組織が一部の弱点や脆弱性を特定する助けにはなりますが、完全に準拠したHIPAAリスクアセスメントを提供するわけではありません。実際、多くのサードパーティベンダーは、SRAツールのユーザーガイド冒頭にあるものと同様の免責事項を、利用規約の細部に記載しています。結論として、HIPAAリスクアセスメントを支援するツールは問題の特定には役立つものの、すべての問題に対する解決策を提供するには適していないといえます。

HIPAAリスクアセスメントに関するよくある質問

リスクが最もよく見つかるのはどこか

リスクが最もよく見つかる箇所は、組織ごと、また活動内容によって異なります。たとえば、小規模な診療所では対人でのやり取りによる不適切な開示のリスクが高い一方、大規模な医療グループではクラウドサーバーの設定ミスによるデータ侵害のリスクが高い場合があります。

「合理的に予見される脅威」とは何か

合理的に予見される脅威とは、個人を特定可能な健康情報のプライバシー、またはPHIの機密性、完全性、可用性に対する予見可能なあらゆる脅威を指します。これには外部の悪意ある行為者による脅威だけでなく、人為的ミスやトレーニング不足による知識の欠如に起因する脅威も含まれます。だからこそ、合理的に予見される脅威を特定するには、組織のワークフローに対する「全体像」の把握が不可欠なのです。

リスクアセスメントとリスク分析の違いは何か

リスクアセスメントとリスク分析の違いは、リスクアセスメントがHIPAA準拠に対するリスクを特定するものであるのに対し、リスク分析は脆弱性と影響の組み合わせに対してリスクレベルを割り当てるものである点です。各リスクにリスクレベルを割り当てる目的は、最も損害の大きい可能性があるリスクを優先的に対処できるようにするためです。ほとんどのHIPAAリスク分析は、定性的リスクマトリクスを用いて実施されます。

HIPAAセキュリティリスクアセスメントの実施責任は誰にあるか

HIPAAセキュリティリスクアセスメントの実施責任は通常、HIPAAコンプライアンス責任者にあります。あるいは、HIPAA準拠の責任がHIPAAプライバシー責任者とHIPAAセキュリティ責任者の間で分担されている場合は、特定されたリスクの性質に応じて、HIPAAセキュリティ責任者が同僚の支援を受けながらリスクアセスメントと分析を実施すべきです。

対象事業者とビジネスアソシエイトで異なる種類のリスクアセスメントがあるのか

対象事業者とビジネスアソシエイトとで異なる種類のリスクアセスメントが存在するわけではありません。対象事業者とビジネスアソシエイトは、いずれも作成・使用・保存する保護対象保健情報について「A-to-Z」の(すなわち網羅的な)リスクアセスメントを実施する必要があります。ビジネスアソシエイトが取り扱うPHIの量は対象事業者より少ない場合もありますが、リスクアセスメントは同様に徹底的かつ十分に文書化されたものでなければなりません。

HIPAAリスクアセスメントとは何か

HIPAAリスクアセスメントとは、医療保険の携行性と責任に関する法律の運用簡素化条項の対象となる組織が、「セキュリティ管理プロセス」の要件を遵守するために完了しなければならないリスクアセスメントです。このHIPAA要件を遵守しなかった組織は、これまでに摘発されています。

HIPAAリスクアセスメントとHIPAAコンプライアンスアセスメントの違いは何か

HIPAAリスクアセスメントとHIPAAコンプライアンスアセスメントの違いは、HIPAAリスクアセスメントが潜在的な脅威と脆弱性を特定し、その発生可能性を軽減するための対策を実施できるようにするものであるのに対し、HIPAAコンプライアンスアセスメントは通常、HIPAAプライバシールール、セキュリティルール、違反通知ルールに対する組織の準拠状況を評価するために第三者が実施するアセスメントである点です。

インターネット上でHIPAAリスクアセスメントのテンプレートが見つからないのはなぜか

インターネット上でHIPAAリスクアセスメントのテンプレートが見つからないのは、対象事業者やビジネスアソシエイトが規模、複雑さ、対応能力の面で大きく異なり、「万能」なHIPAAリスクアセスメントというものが存在しないためです。変数の数が多いため、HIPAAリスクアセスメントのテンプレートというもの自体が本来存在しません。仮にインターネット上でテンプレートを見つけたとしても、自組織が保有するPHIに対するすべての潜在的リスクを網羅していない可能性があるため、注意して扱うべきです。

HIPAAリスクアセスメントが必要になるのはどのような場合か

HIPAAリスクアセスメントが必要になる場面は2つあります。1つ目はHIPAAセキュリティルール(45 CFR § 164.308 – セキュリティ管理プロセス)に規定されています。2つ目はHIPAA違反通知ルール(45 CFR § 164.402)の下で発生するもので、未保護のPHIに対する不適切な取得・アクセス・使用・開示があった場合に適用されます。ただし、組織はこれらの要件よりも頻繁にリスクアセスメントを実施すべきであり、特に非電子形式のPHIや組織的要件に関連するものについてはなおさらです。

HIPAAセキュリティリスクアセスメントの目的は何か

HIPAAセキュリティリスクアセスメントの目的は、対象事業者またはビジネスアソシエイトが作成・受領・維持・送信するすべての電子PHIの機密性、完全性、可用性に対するリスクを特定することです。このリスクアセスメントは、外部の脅威だけでなく、悪意あるインサイダーやセキュリティ意識向上トレーニングの不足に起因する組織内部の脅威にも焦点を当てるべきです。

HIPAA違反リスクアセスメントではどのような要素が考慮されるか

HIPAA違反リスクアセスメントで考慮される要素には、侵害されたPHIの性質と範囲、識別子の種類と再識別の可能性、侵害されたPHIにアクセスまたは使用した不正な人物、PHIが実際に取得または閲覧されたかどうか、そしてPHIに対するリスクがどの程度軽減されたかが含まれます。

リスクアセスメントでPHIに対するリスクを特定できなかった場合、どのような結果を招く可能性があるか

リスクアセスメントでPHIに対するリスクを特定できなかった場合の結果として、データ侵害や不適切な開示が発生する可能性が高まり、そのような事態が起きた際にはHHSの公民権局から、徹底したリスクアセスメントを怠ったことに対する制裁が科される可能性があります。対象事業者とビジネスアソシエイトはPHIを保護する責任を「知っている、あるいは知っているべき」立場にあるため、徹底したリスクアセスメントを怠ったことへの言い訳は一切通用しない点に注意が必要です。

HIPAAリスクアセスメントの要件はビジネスアソシエイトにも適用されるか

HIPAAリスクアセスメントの要件はビジネスアソシエイトにも適用されます。ビジネスアソシエイトはHIPAAセキュリティルールおよび違反通知ルールを遵守する義務があり、HIPAAリスクアセスメントに関する2つの基準はこれらのルールの中に規定されているためです。また、対象事業者のために行う活動の性質上、個人を特定可能な健康情報のプライバシーを侵害する可能性がある場合は、ビジネスアソシエイトもHIPAAプライバシールールに基づくリスクアセスメントを実施することが推奨されます。

HIPAAリスクアセスメントを支援するツールにはどのようなものがあるか

HIPAAリスクアセスメントを支援するツールとしては、中小規模の診療所がHIPAAリスクアセスメントを作成する際に役立つよう、HHSの公民権局が2014年にリリースした、ダウンロード可能なセキュリティリスクアセスメント(SRA)ツールがあります。また、サードパーティのコンプライアンス専門家が提供する多くのツールもあり、これらはセキュリティリスクアセスメントツールでは対応できない状況(すなわちHIPAAプライバシールールへの準拠など)における問題特定に最適です。