HIPAAセキュリティリスク評価チェックリスト

HIPAAセキュリティリスク評価とは、PHI（保護対象保健情報）のプライバシーとセキュリティに対する脅威を評価し、その脅威が発生する可能性、そして各脅威が及ぼす潜在的な影響を分析することで、既存のポリシー・手順・セキュリティ対策がリスクと脆弱性を合理的かつ適切なレベルまで低減できているかどうかを判断するためのものです。   

対象事業体（covered entities）とビジネスアソシエイトがHIPAAセキュリティリスク評価を実施する義務は、医療保険の相互運用性と説明責任に関する法律（HIPAA）の運用簡素化規定（Administrative Simplification provisions）の中に2箇所記載されています。ただし、組織によってはこれらの要件を超えてリスク評価を実施する必要がある場合もあります。

HIPAAセキュリティリスク評価に関する最初の要件は、HIPAAセキュリティ規則（45 CFR § 164.308 ― セキュリティ管理プロセス）に記載されています。この基準では、対象事業体とビジネスアソシエイトに対し、「ePHI（電子化されたPHI）の機密性、完全性、可用性に対する潜在的なリスクと脆弱性についての正確かつ徹底した評価」を実施することを義務付けています。

2つ目の要件は、HIPAA違反通知規則（45 CFR § 164.402）に記載されています。この基準は、未保護のPHI（形式を問わず）に対する不適切な取得・アクセス・利用・開示が発生した場合にのみ適用され、その事案がHHS（米国保健福祉省）および影響を受けた個人への通知義務の対象となるかどうかを判断するためにHIPAAリスク評価が必要になります。

しかし、HIPAAセキュリティ規則および違反通知規則が定めるHIPAAセキュリティリスク評価の要件を超えて、電子形式でない場合のPHIにも機密性・完全性・可用性に対するリスクは存在します。例えば、口頭で不適切な開示が行われる場合や、印刷された診療記録が人目につく場所に放置される場合などです。

こうしたリスクがあるため、非電子的なPHIの機密性・完全性・可用性に対するリスクだけでなく、個人の（自身のPHIへの）アクセス権、ビジネスアソシエイト契約、その他のHIPAAの組織的要件もカバーするHIPAAプライバシーリスク評価を実施する必要が生じる場合があります。

HIPAAセキュリティリスク評価

HIPAAセキュリティリスク評価の目的は、HIPAAセキュリティ規則の運用上・物理的・技術的セーフガードに先立つ総則（CFR 45 § 164.306）に示されています。その目的は以下の通りです。

• 対象事業体またはビジネスアソシエイトが作成・受領・維持・送信するすべての電子PHIについて、機密性、完全性、可用性を確保すること。
• 当該情報のセキュリティまたは完全性に対して合理的に予見される脅威や危険から保護すること。
• 本項（HIPAAプライバシー規則）のSubpart Eの下で許可または要求されていない、当該情報の利用・開示が合理的に予見される場合に、それらから保護すること。
• 本項（HIPAAセキュリティ規則）へのコンプライアンスを従業員に徹底させること。注：これはセキュリティ意識向上トレーニングおよび制裁ポリシーの運用によって達成されます。

HIPAAセキュリティ規則の運用上・物理的・技術的セーフガードについては、総則が基準の実施方法に関して「柔軟なアプローチ」を認めています。この柔軟性条項があるとはいえ、実施仕様が「合理的かつ適切」でないと判断され、それに代わる同等の代替措置が導入される場合を除き、すべての基準を実施することが重要です。運用上・物理的・技術的な実施仕様の全リストは以下の通りです。

HIPAAセキュリティ規則の最終セクションでは、ビジネスアソシエイト契約およびその他の組織的要件について定めています。この項では、対象事業体に対し、自らのビジネスアソシエイト契約においてビジネスアソシエイトにHIPAAセキュリティ規則の遵守を義務付け、（データ侵害に限らず）あらゆるセキュリティインシデントを対象事業体に報告するよう定めることを求めています。組織的要件については、45 CFR § 164.314の基準はグループ健康保険プランに適用されますが、ハイブリッド型、系列組織、OHCA（組織化された医療提供機構）体制にあるすべての対象事業体もこの基準の内容を確認しておくべきです。

HIPAA違反リスク評価

2つ目の「必須」とされるHIPAAセキュリティリスク評価は、実は厳密には任意です。というのも、HIPAA違反通知規則では、PHIの不適切な取得・アクセス・利用・開示があった場合、少なくとも以下の要因を考慮したリスク評価によって侵害の可能性が低いことを証明できない限り、その事案は違反と推定されるとされているためです。

• 侵害されたPHIの性質と範囲（識別子の種類や再識別の可能性を含む）
• 侵害されたPHIを取得・アクセス・利用した、あるいは不適切な開示先となった権限のない人物（判明している場合）
• PHIが実際に取得または閲覧されたかどうか（サイバー攻撃において何をもって「取得または閲覧」とみなすかについては、ランサムウェアに関するHHSのガイダンスを参照してください）
• PHIへのリスクがどの程度軽減されたか

HIPAA違反リスク評価が「任意」とされる理由は、対象事業体とビジネスアソシエイトが望めばこのHIPAA評価を省略し、PHIへのあらゆる不適切な取得・アクセス・利用・開示について一律に通知するという選択も可能だからです。ただし、この方法には欠点があります。HHSの公民権局（OCR）が、自組織で平均を上回る件数のデータ侵害が発生していると判断した場合、コンプライアンス審査が実施され、業務に支障をきたす可能性があります。

また、患者やプラン加入者が頻繁に違反通知を受け取ることになれば、組織が提供するサービスへの信頼が損なわれる可能性もあります。特に、実際には「侵害された」PHIが取得・閲覧されていないにもかかわらず、不必要に詐欺・盗難・損失への対策を講じるよう助言される場合はなおさらです。「任意」とはいえ、不要な通知を避けるためにHIPAA違反リスク評価を実施することは有効な手段と言えます。

HIPAAプライバシーリスク評価

リスク評価の実施義務がHIPAAセキュリティ規則に記載されているため、多くの対象事業体やビジネスアソシエイトはHIPAAプライバシーリスク評価を実施する必要性を見落としがちです。HIPAAプライバシーリスク評価はセキュリティリスク評価と同じくらい重要ですが、組織の規模や事業内容によってはより大規模な取り組みが必要になる場合があります。

HIPAAプライバシーリスク評価を完了させるには、組織はプライバシー責任者を任命すべきです。プライバシー責任者の最初の仕事は、組織のワークフローを特定し、HIPAAプライバシー規則の要件が組織の業務にどう影響するかについて「全体像」を把握することです。その後、プライバシー責任者は、侵害が発生しうる箇所を特定するギャップ分析を行うため、組織内外におけるPHIの流れをマッピングする必要があります。

HIPAAプライバシーリスク評価の最終段階は、HIPAAプライバシーコンプライアンスプログラムの策定と実施です。このプログラムには、HIPAAプライバシー評価で特定されたPHIへのリスクに対処するポリシーを含める必要があり、新たな業務慣行の導入や新技術の展開に伴い見直すべきです。

45 CFR § 164.530が求める通り、HIPAAプライバシーリスク評価の結果として策定されたポリシーや手順、また従業員の職務に影響する重要な変更が生じた際には、従業員へのトレーニングが不可欠です。対象事業体やビジネスアソシエイトが「形だけ」この要件を満たそうとする場合もありますが、十分にトレーニングされた職員はHIPAA違反を犯しにくくなるため、HIPAAポリシーと手順に関するトレーニングはリスク軽減戦略として積極的に取り入れるべきです。

リスクを特定しないことのコスト

これまでHIPAA違反に対する罰金の重さは、PHIの侵害によって影響を受けた患者数と、関与した過失の程度によって決まってきました。「知らなかった」という最も軽いHIPAA違反カテゴリーで罰金が科されるケースは、現在ではほとんどありません。PHIを保護すべき法的義務があることを知らなかったという言い訳はほぼ通用しないためです。

近年では、罰金の大半は「重大な過失（Willful Neglect）」というHIPAA違反カテゴリーに該当しています。これは、組織がPHIを保護する責任を認識していた、あるいは認識すべきであった場合です。550万ドルの罰金がAdvocate Health Care Networkに科された事例を含め、最大級の罰金の多くは、組織がPHIの完全性に対するリスクの所在を特定できなかったことに起因しています。

ただし、HIPAA監査の第2ラウンドが始まって以降は、PHIの潜在的な侵害に対しても罰金が科されるようになっています。これは、組織のセキュリティ上の欠陥がHIPAAリスク評価によって発見されなかった場合や、そもそも評価自体が実施されていなかった場合です。2016年3月には、ミネソタ州のNorth Memorial Health Careが150万ドル超を支払い、関連するHIPAA違反の申し立てを和解しました。

標的になるのは大規模組織だけではない

HIPAA違反に関する報道の多くは大規模な医療機関や高額な罰金に関するものですが、公民権局（OCR）の調査対象やHIPAA監査の対象となる小規模な医療機関も数多く存在します。2003年以降、OCRはHIPAA違反の疑いに関する報告を30万件以上受け付けています。このうち、500人以上に影響するデータ侵害に該当するものは2%未満です。

中小規模の医療機関にとって大きな問題となるのは、すべての保険会社がHIPAA違反発生時の費用をカバーしているわけではないという点です。HIPAA違反にかかる費用には、罰金だけでなく、侵害調査のためのITスペシャリスト雇用費用、公衆の信頼回復にかかる費用、影響を受けた個人に対する信用監視サービス提供費用も含まれます。保険会社は、HIPAA違反の性質や過失の程度によって補償範囲を制限する場合もあります。

保険による補償がない場合、HIPAA違反にかかる費用によって小規模な医療機関が廃業に追い込まれる可能性もあります。しかし、HIPAAリスク評価を実施し、判明した問題を解消する対策を講じることで、こうした事態は軽減できます。評価作業は複雑で時間もかかりますが、それを怠ることは小規模な医療機関とそのビジネスアソシエイトにとって致命的な結果を招きかねません。

ビジネスアソシエイトも対象に含める必要

PHIを作成・受領・維持・送信するすべての対象事業体は、HIPAAセキュリティ規則のセキュリティ管理要件を遵守するため、正確かつ徹底したHIPAAリスク評価を実施する必要があります。このHIPAAコンプライアンス上の条件は、医療機関や健康保険プランだけに適用されるものではありません。ビジネスアソシエイト、下請け業者、ベンダーもHIPAAセキュリティリスク評価を実施する必要があります。対象事業体と同様、PHIの潜在的な侵害についてOCRからビジネスアソシエイトに罰金が科されることもあります。

OCRはこうしたリスクを重く見ています。2014年12月、同局は500件を超える患者記録の流出を伴うHIPAA違反の40%がビジネスアソシエイトの過失に起因すると発表しました。2016年6月には、ビジネスアソシエイトに対する初の罰金として、フィラデルフィア大司教区のCatholic Health Care Servicesが450件の記録流出を受けて65万ドルの支払いに同意しました。この非営利団体は2013年以降HIPAAリスク評価を実施していませんでした。

近年では、ビジネスアソシエイトのコンプライアンス不足に起因するデータ侵害の割合は減少しているように見えるかもしれませんが、必ずしもそうとは限りません。HIPAA違反通知規則（CFR § 164.410）の下では、未保護PHIの侵害が発生した場合、ビジネスアソシエイトは対象事業体に通知する義務があります。その後、HHSと影響を受けた個人への通知は対象事業体の責任となるため、実際にはビジネスアソシエイトに過失があるにもかかわらず、対象事業体に起因する侵害として記録されているケースも多い可能性があります。

リスク管理計画の策定と新たな手順の導入

HIPAAリスク評価では、組織のセキュリティ上、対応が必要な領域が明らかになるはずです。組織はその後、評価によって判明した弱点や脆弱性に対処するためのリスク管理計画を策定し、PHIの侵害につながる可能性が最も高い脆弱性を解消するために必要な新たな手順やポリシーを導入する必要があります。

各脆弱性に割り当てられたリスクレベルは、組織がどの脆弱性を優先的に対応すべきかの指針となります。組織はこれに基づき、最も重大な脆弱性から優先的に対処する是正計画を策定できます。この是正計画には、必要に応じた新しい手順・ポリシーの導入、そして適切な従業員トレーニングや意識向上プログラムを組み合わせるべきです。

OCRの指摘によれば、対象事業体やビジネスアソシエイトがHIPAA監査に不合格となる最も多い理由は、手順やポリシーの欠如、あるいは手順やポリシーの不備です。HIPAAリスク評価の結果として必要になったワークフローの変更を徹底するためには、適切な手順とポリシーを導入することが重要です。

HIPAAセキュリティリスク評価を支援するツール

組織の規模を問わず、あらゆる業務側面についてHIPAAリスク評価を実施することは複雑な作業になり得ます。特にリソースが限られ、HIPAA規制への対応経験がない小規模な医療機関にとってはなおさらです。こうしたHIPAAリスク評価の複雑さを軽減するため、OCRは2014年、中小規模の医療機関がHIPAAリスク評価をまとめる際に役立つ、ダウンロード可能なセキュリティリスク評価（SRA）ツールを公開しました。

このSRAツールは、組織が弱点や脆弱性の所在を特定する上で非常に役立ちますが、すべてを網羅しているわけではありません。同ソフトウェアに付属するユーザーガイドの冒頭には、「SRAツールはHIPAAコンプライアンスを保証するものではない」と明記されています。このツールはすべてのPHIの機密性・可用性・完全性に関する156の質問で構成されていますが、リスクレベルの割り当て方法や導入すべきポリシー・手順についての提案は含まれていないためです。

これは、インターネット上で見つかる他のサードパーティ製ツールについてもほぼ同様です。これらのツールも組織がいくつかの弱点や脆弱性を特定する助けにはなりますが、完全にコンプライアンスに適合したHIPAAリスク評価を提供するものではありません。実際、多くのサードパーティベンダーは、SRAツールのユーザーガイド冒頭にあるものと同様の免責事項を、利用規約の細部に記載しています。結論として、HIPAAリスク評価を支援するツールは問題の特定には役立ちますが、すべての問題に対する解決策を提供するものとしては適していません。

HIPAAリスク評価に関するFAQ

リスクが最も多く見つかるのはどこか

リスクが最も多く見つかる箇所は、組織ごと、また業務内容によって異なります。例えば、小規模な医療機関では対人でのやり取りを通じた不適切な開示のリスクが高い一方、大規模な医療グループではクラウドサーバーの設定不備によるデータ侵害のリスクが高い場合があります。

「合理的に予見される脅威」とは何か

合理的に予見される脅威とは、個人を特定できる健康情報のプライバシー、あるいはPHIの機密性・完全性・可用性に対する、予見可能なあらゆる脅威を指します。これには外部の悪意ある行為者による脅威だけでなく、人的ミスやトレーニング不足による知識の欠如に起因する脅威も含まれます。だからこそ、組織のワークフローの「全体像」を把握することが、合理的に予見される脅威を特定する上で不可欠なのです。

リスク評価とリスク分析の違いは何か

リスク評価とリスク分析の違いは、リスク評価がHIPAAコンプライアンスに対するリスクを特定するものであるのに対し、リスク分析は脆弱性と影響の組み合わせに対してリスクレベルを割り当てるものであるという点です。各リスクにリスクレベルを割り当てる目的は、最も大きな被害をもたらす可能性のあるリスクを優先的に対処できるようにするためです。ほとんどのHIPAAリスク分析は定性的なリスクマトリクスを用いて実施されます。

HIPAAセキュリティリスク評価の実施責任者は誰か

HIPAAセキュリティリスク評価の実施責任は、通常HIPAAコンプライアンス責任者にあります。HIPAAコンプライアンスの責任がHIPAAプライバシー責任者とHIPAAセキュリティ責任者の間で分担されている場合は、特定されたリスクの性質に応じて、HIPAAセキュリティ責任者が同僚の支援を受けながらリスク評価・分析を実施すべきです。

対象事業体とビジネスアソシエイトでリスク評価の種類は異なるのか

対象事業体とビジネスアソシエイトとでリスク評価の種類が異なることはありません。対象事業体・ビジネスアソシエイトともに、作成・利用・保管される保護対象保健情報について「A-to-Z」の網羅的なリスク評価を実施する必要があります。ビジネスアソシエイトが扱うPHIの量は対象事業体より少ない場合がありますが、リスク評価は同様に徹底的かつ十分に文書化されたものでなければなりません。

HIPAAリスク評価とは何か

HIPAAリスク評価とは、医療保険の相互運用性と説明責任に関する法律の運用簡素化規定の対象となる組織が、「セキュリティ管理プロセス」要件を遵守するために完了しなければならないリスク評価のことです。この要件を遵守していない組織は、これまでも摘発されてきています。

HIPAAリスク評価とHIPAAコンプライアンス評価の違いは何か

HIPAAリスク評価とHIPAAコンプライアンス評価の違いは、HIPAAリスク評価が潜在的な脅威と脆弱性を特定し、その発生可能性を軽減するための対策を講じられるようにするものであるのに対し、HIPAAコンプライアンス評価は通常、組織のコンプライアンス状況がHIPAAプライバシー規則・セキュリティ規則・違反通知規則に適合しているかを第三者が評価するものである、という点です。

なぜインターネット上でHIPAAリスク評価のテンプレートが見つからないのか

インターネット上でHIPAAリスク評価のテンプレートが見つからないのは、対象事業体やビジネスアソシエイトの規模・複雑さ・能力が大きく異なり、「一つですべてに対応できる」HIPAAリスク評価というものが存在しないためです。変数が非常に多いため、HIPAAリスク評価テンプレートというもの自体が実質的に存在しません。仮にインターネット上でテンプレートを見つけたとしても、自組織が保有するPHIに対するあらゆる潜在的リスクを網羅していない可能性があるため、注意して扱う必要があります。

HIPAAリスク評価が必要になるのはどのような場合か

HIPAAリスク評価が必要になるのは2つの場合です。1つ目はHIPAAセキュリティ規則（45 CFR § 164.308 ― セキュリティ管理プロセス）に記載されているケースです。2つ目はHIPAA違反通知規則（45 CFR § 164.402）に基づくもので、未保護のPHIに対する不適切な取得・アクセス・利用・開示があった場合に適用されます。ただし組織は、特に非電子的なPHIや組織的要件に関連して、これらの要件よりも頻繁にリスク評価を実施すべきです。

HIPAAセキュリティリスク評価の目的は何か

HIPAAセキュリティリスク評価の目的は、対象事業体またはビジネスアソシエイトが作成・受領・維持・送信するすべての電子PHIの機密性・完全性・可用性に対するリスクを特定することです。このリスク評価は外部からの脅威だけでなく、悪意のある内部者やセキュリティ意識向上トレーニングの不足に起因する組織内部の脅威にも焦点を当てるべきです。

HIPAA違反リスク評価ではどのような要因が考慮されるのか

HIPAA違反リスク評価で考慮される要因には、侵害されたPHIの性質と範囲、識別子の種類や再識別の可能性、侵害されたPHIにアクセス・利用した権限のない人物、PHIが実際に取得または閲覧されたかどうか、そしてPHIへのリスクがどの程度軽減されたかが含まれます。

リスク評価でPHIに対するリスクを特定できなかった場合、どのような結果を招く可能性があるか

リスク評価でPHIに対するリスクを特定できなかった場合、データ侵害や不適切な開示が発生する可能性が高まり、そうした事態が実際に起きた際にはHHSの公民権局から、徹底したリスク評価を実施していなかったことに対する制裁が科される可能性があります。対象事業体とビジネスアソシエイトは、PHIを保護する責任を「知っている、あるいは知っているべき」立場にあるため、徹底したリスク評価を怠ったことへの言い訳は通用しない点に留意する必要があります。

HIPAAリスク評価の要件はビジネスアソシエイトにも適用されるか

HIPAAリスク評価の要件はビジネスアソシエイトにも適用されます。ビジネスアソシエイトはHIPAAセキュリティ規則および違反通知規則を遵守する義務があり、HIPAAリスク評価に関する2つの基準はこれらの規則の中に規定されているためです。ビジネスアソシエイトは、対象事業体のために行う業務の性質上、個人を特定できる健康情報のプライバシーを侵害する可能性がある場合、HIPAAプライバシー規則に基づくリスク評価も実施することが推奨されます。

組織のHIPAAリスク評価を支援するツールにはどのようなものがあるか

組織のHIPAAリスク評価を支援するツールとしては、HHSの公民権局が2014年に公開した、中小規模の医療機関がHIPAAリスク評価をまとめる際に役立つダウンロード可能なセキュリティリスク評価（SRA）ツールが挙げられます。また、サードパーティのコンプライアンス専門家が提供する多くのツールも存在し、これらはセキュリティリスク評価ツールでは網羅されていない状況（すなわちHIPAAプライバシー規則へのコンプライアンスなど）における問題特定に活用するのが最適です。