HIPAAセキュリティリスクチェックリスト

HIPAAセキュリティリスクアセスメントとは、PHI(保護対象保健情報)のプライバシーとセキュリティに対する脅威、脅威が発生する可能性、そして各脅威がもたらす潜在的な影響を評価するものです。これにより、既存のポリシー、手順、セキュリティ機構が、リスクと脆弱性を合理的かつ適切なレベルまで低減できているかどうかを判断できます。   

対象事業者およびビジネスアソシエイトにHIPAAセキュリティリスクアセスメントの実施を義務付ける規定は、医療保険の携行性と責任に関する法律(HIPAA)の事務簡素化条項の中に2箇所登場します。ただし、組織によってはこれらの要件を超えてリスクアセスメントを実施する必要が生じる場合もあります。

HIPAAセキュリティリスクアセスメントに関する1つ目の要件は、HIPAAセキュリティルール(45 CFR § 164.308 ― セキュリティ管理プロセス)に定められています。この基準では、対象事業者およびビジネスアソシエイトに対し、「ePHIの機密性、完全性、可用性に対する潜在的なリスクと脆弱性についての正確かつ徹底したアセスメント」の実施を求めています。

2つ目の要件は、HIPAA侵害通知ルール(45 CFR § 164.402)に登場します。この基準は、未保護のPHI(形式を問わない)に対する許可されない取得・アクセス・使用・開示が発生した場合にのみ適用されるもので、当該事案がHHSおよび影響を受けた個人への通知義務に該当するかどうかを判断するためにHIPAAリスクアセスメントが必要となります。

しかし、HIPAAセキュリティルールおよび侵害通知ルールが求めるHIPAAセキュリティリスクアセスメントの範囲を超えて、PHIが電子形式でない場合にもその機密性、完全性、可用性に対するリスクは存在します。例えば、口頭での不正な開示が行われた場合や、印刷された医療報告書が公共のアクセス可能な場所に放置された場合などです。

こうしたリスクがあるため、非電子形式のPHIの機密性、完全性、可用性に対するリスクだけでなく、個人のアクセス権(自身のPHIに対する権利)、ビジネスアソシエイト契約、その他HIPAAの組織要件までをも対象とするHIPAAプライバシーリスクアセスメントの実施が必要になる場合があります。

HIPAAセキュリティリスクアセスメント

HIPAAセキュリティリスクアセスメントの目的は、HIPAAセキュリティルールの管理的・物理的・技術的セーフガードに先立つ一般規則(CFR 45 § 164.306)に定められています。その内容は以下の通りです。

• 対象事業者またはビジネスアソシエイトが作成・受領・維持・送信するすべての電子PHIについて、機密性、完全性、可用性を確保すること。
• 当該情報のセキュリティまたは完全性に対して合理的に予見される脅威や危険から保護すること。
• 本サブパート(HIPAAプライバシールール)の下で許可または要求されていない、当該情報の合理的に予見される使用または開示から保護すること。
• 本サブパート(HIPAAセキュリティルール)への職員の遵守を確保すること。注: これはセキュリティ意識向上トレーニングおよび制裁ポリシーの実施によって達成されます。

HIPAAセキュリティルールの管理的・物理的・技術的セーフガードに関して、一般規則では基準の実装方法に「アプローチの柔軟性」を認めています。この柔軟性条項があるとはいえ、実装仕様が「合理的かつ適切」でなく、代替となる同等の措置が導入される場合を除き、すべての基準を実装することが重要です。管理的・物理的・技術的実装仕様の全リストは以下の通りです。

HIPAAセキュリティルールの最終セクションは、ビジネスアソシエイト契約とその他の組織要件を扱っています。このセクションでは、対象事業者が自社のビジネスアソシエイト契約において、ビジネスアソシエイトにHIPAAセキュリティルールの遵守を求め、(データ侵害に限らず)あらゆるセキュリティインシデントを対象事業者に報告するよう義務付けることを求めています。組織要件に関しては、45 CFR § 164.314の基準は団体健康保険プランに適用されますが、ハイブリッド型、系列組織、OHCA(組織化医療ケア提供体制)における取り決めを持つすべての対象事業者も、この基準の内容を確認しておくべきです。

HIPAA侵害リスクアセスメント

2つ目の「必須」HIPAAセキュリティリスクアセスメントは、実のところ任意とも言えます。というのも、HIPAA侵害通知ルールでは、PHIに対する許可されない取得・アクセス・使用・開示は、少なくとも以下の要素を考慮したリスクアセスメントによって「侵害の可能性が低い」ことが証明されない限り、侵害とみなされると定めているためです。

• 侵害されたPHIの性質と範囲(識別子の種類や再識別の可能性を含む)
• 侵害されたPHIを取得・アクセス・使用した、または許可されない開示を受けた不正な人物(判明している場合)
• PHIが実際に取得または閲覧されたかどうか(サイバー攻撃において何をもって「取得または閲覧」とみなすかについては、ランサムウェアに関するHHSのガイダンスを参照してください)
• PHIに対するリスクがどの程度軽減されたか

HIPAA侵害リスクアセスメントが「任意」とされる理由は、対象事業者およびビジネスアソシエイトが望めば、このHIPAAアセスメントを省略し、PHIに対するあらゆる許可されない取得・アクセス・使用・開示について通知することも可能だからです。ただし、この方法には欠点もあります。HHS公民権局(OCR)が、自組織で平均以上の件数のデータ侵害が発生していると判断すれば、コンプライアンス審査を実施する可能性があり、業務に支障をきたすことがあるためです。

また、患者やプラン加入者が頻繁に侵害通知を受け取るような状況になると、組織へのサービス提供先である個人からの信頼を失う恐れもあります。特に、実際には「侵害された」PHIが取得も閲覧もされていないにもかかわらず、詐欺や盗難、損失を防ぐための対策を取るよう不必要に助言された場合はなおさらです。「任意」とはいえ、避けられる通知を防ぐためにHIPAA侵害リスクアセスメントを実施することは良い方法と言えるでしょう。

HIPAAプライバシーリスクアセスメント

リスクアセスメントの実施義務がHIPAAセキュリティルールに定められているため、多くの対象事業者やビジネスアソシエイトはHIPAAプライバシーリスクアセスメントの必要性を見落としがちです。HIPAAプライバシーリスクアセスメントはセキュリティリスクアセスメントと同様に重要であり、組織の規模や事業の性質によっては、はるかに大規模な取り組みになることもあります。

HIPAAプライバシーリスクアセスメントを完了するには、組織はプライバシー責任者を任命する必要があります。この責任者の最初の任務は、組織のワークフローを特定し、HIPAAプライバシールールの要件が組織の業務にどう影響するかについて「全体像」を把握することです。その後、プライバシー責任者は、侵害が発生しうる箇所を特定するギャップ分析を実施するため、PHIの内部および外部での流れをマッピングする必要があります。

HIPAAプライバシーリスクアセスメントの最終段階は、HIPAAプライバシーコンプライアンスプログラムの策定と実施であるべきです。このプログラムには、HIPAAプライバシーアセスメントで特定されたPHIへのリスクに対応するポリシーを含める必要があり、新しい業務慣行が導入されたり新技術が展開されたりするたびに見直すべきです。

45 CFR § 164.530が求めているように、HIPAAプライバシーリスクアセスメントの結果として策定されたポリシーや手順、およびそれらの重要な変更が従業員の職務に影響を与える場合は、従業員をトレーニングすることが不可欠です。対象事業者やビジネスアソシエイトはこの要件を「形だけ」満たすこともできますが、よくトレーニングされた職員ほどHIPAA違反を犯しにくくなるため、HIPAAポリシーと手順に関するトレーニングはリスク軽減戦略として積極的に取り入れるべきです。

リスクを特定しないことのコスト

HIPAA違反に対する罰金の重さは、これまで、PHI侵害の影響を受けた患者数と関与した過失の程度によって決まってきました。現在、最も軽い「認識していなかった(Did Not Know)」というHIPAA違反区分で罰金が科されるケースはほとんどありません。PHIを保護する法的義務の存在を知らなかったという言い訳がほとんど通用しないためです。

近年では、罰金の大部分が「意図的な怠慢(Willful Neglect)」というHIPAA違反区分に該当しています。これは、組織がPHIを保護する責任を認識していた、あるいは認識しているべきだったケースです。アドボケイト・ヘルスケア・ネットワークに科された550万ドルの罰金を含む、最大級の罰金の多くは、組織がPHIの完全性に対するリスクの所在を特定できなかったことに起因しています。

しかし、第2ラウンドのHIPAA監査が始まって以降、PHI侵害の可能性に対しても罰金が科されるようになりました。これは、HIPAAリスクアセスメントによって組織のセキュリティ上の欠陥が発見されなかった場合や、そもそもアセスメントがまったく実施されていなかった場合です。2016年3月には、ミネソタ州のノース・メモリアル・ヘルスケアが、関連するHIPAA違反容疑の和解金として150万ドル以上を支払いました。

大規模組織だけが標的ではない

HIPAA違反に関する見出しの多くは大規模な医療機関と多額の罰金に関するものですが、公民権局(OCR)の調査対象やHIPAA監査の対象となる小規模な医療機関も数多く存在します。2003年以降、OCRは30万件以上のHIPAA違反疑いの報告を受けています。このうち、500人以上の個人が関与するデータ侵害に該当するものは2%未満です。

中小規模の医療機関にとって大きな問題は、すべての保険会社がHIPAA侵害のコストをカバーしているわけではないという点です。HIPAA侵害のコストには罰金だけでなく、侵害を調査するITスペシャリストの雇用費用、社会的信用の回復費用、影響を受けた個人向けの信用監視サービスの提供費用も含まれます。保険会社は、HIPAA違反の性質や過失の程度に応じて補償範囲を制限することもあります。

保険による補償がなければ、HIPAA侵害のコストによって小規模医療機関が廃業に追い込まれる可能性もあります。しかし、この事態はHIPAAリスクアセスメントを実施し、発見された問題を解決するための対策を講じることで軽減できます。アセスメントは複雑で時間のかかる作業になり得ますが、それを怠ることは小規模医療機関とそのビジネスアソシエイトにとって致命的な結果を招きかねません。

ビジネスアソシエイトも対象に含める必要がある

PHIを作成・受領・維持・送信するすべての対象事業者は、HIPAAセキュリティルールのセキュリティ管理要件を遵守するため、正確かつ徹底したHIPAAリスクアセスメントを実施する必要があります。このHIPAA遵守の条件は医療機関や健康保険プランだけに適用されるものではありません。ビジネスアソシエイト、下請け業者、ベンダーもHIPAAセキュリティリスクアセスメントを実施しなければなりません。対象事業者と同様に、PHI侵害の可能性に対してOCRからビジネスアソシエイトに罰金が科されることもあります。

OCRはこうしたリスクを重く見ています。2014年12月、同局は500件以上の患者記録の漏えいを伴うHIPAA侵害の40%が、ビジネスアソシエイトの過失に起因すると明らかにしました。2016年6月には、ビジネスアソシエイトに対する初の罰金が科され、フィラデルフィア大司教区のカトリック・ヘルスケア・サービスが450件の記録の漏えいを受けて65万ドルの支払いに同意しました。この非営利団体は2013年以降、HIPAAリスクアセスメントを実施していませんでした。

近年、ビジネスアソシエイトのコンプライアンス不足に起因するデータ侵害の割合は減少しているように見えるかもしれませんが、必ずしもそうとは限りません。HIPAA侵害通知ルール(CFR § 164.410)の下では、未保護PHIの侵害が発生した場合、ビジネスアソシエイトは対象事業者にその旨を通知する義務があります。その後、HHSおよび影響を受けた個人に通知する責任は対象事業者側にあります。そのため、実際にはビジネスアソシエイトに過失があるにもかかわらず、多くのデータ侵害が対象事業者の責任として記録されている可能性があります。

リスクマネジメント計画の策定と新たな手順の導入

HIPAAリスクアセスメントによって、組織のセキュリティ上、注意が必要な領域が明らかになるはずです。組織はその後、アセスメントで発見された弱点や脆弱性に対応するリスクマネジメント計画を策定し、PHI侵害につながる可能性が最も高い脆弱性を解消するために必要な新しい手順やポリシーを導入する必要があります。

各脆弱性に割り当てられたリスクレベルは、組織がそれぞれの脆弱性にどの程度の優先度を与えるべきかを示す指針となります。組織はこれに基づき、最も重大な脆弱性から対処する修復計画を作成できます。修復計画には、必要に応じて新しい手順やポリシー、そして適切な職員向けトレーニングと意識向上プログラムを組み合わせるべきです。

OCRの指摘によれば、対象事業者やビジネスアソシエイトがHIPAA監査に不合格となる最も多い理由は、手順やポリシーの欠如、あるいは不十分な手順やポリシーです。HIPAAリスクアセスメントの結果として導入されたワークフローの変更を徹底するためには、適切な手順とポリシーを導入することが重要です。

HIPAAセキュリティリスクアセスメントを支援するツール

組織のあらゆる業務についてHIPAAリスクアセスメントを実施することは、規模の大小にかかわらず複雑な作業になり得ます。特に、リソースが限られ、HIPAA規制への対応経験がない小規模医療機関にとってはなおさらです。HIPAAリスクアセスメントの実施の複雑さを軽減するため、OCRは2014年、中小規模の医療機関がHIPAAリスクアセスメントを作成する際に役立つ、ダウンロード可能なセキュリティリスクアセスメント(SRA)ツールを公開しました。

このSRAツールは、弱点や脆弱性が存在しうる箇所を組織が特定するのに非常に役立ちますが、すべてを網羅しているわけではありません。このソフトウェアに付属するユーザーガイドの冒頭には、「SRAツールはHIPAA遵守を保証するものではない」と明記されています。これは、このツールがすべてのPHIの機密性、可用性、完全性に関する156の質問で構成されている一方、リスクレベルの割り当て方や導入すべきポリシー・手順についての提案が含まれていないためです。

これは、インターネット上で見つかる他のサードパーティ製ツールについても同様です。それらも組織がいくつかの弱点や脆弱性を特定するのに役立つ可能性はありますが、完全にHIPAAに準拠したリスクアセスメントを提供するものではありません。実際、多くのサードパーティベンダーは、SRAツールのユーザーガイド冒頭にあるものと同様の免責事項を、利用規約の細部に記載しています。結論として、HIPAAリスクアセスメントを支援するツールは問題の特定には役立ちますが、すべての問題に対する解決策を提供するには適していません。

HIPAAリスクアセスメントに関するFAQ

リスクが最も多く特定されるのはどこですか?

リスクが最も多く特定される箇所は、組織ごと、また活動の性質ごとに異なります。例えば、小規模な医療機関では対人的なやり取りを通じた許可されない開示のリスクが高くなる一方、大規模なヘルスケアグループではクラウドサーバーの設定ミスによるデータ侵害のリスクが高くなる可能性があります。

「合理的に予見される脅威」とは何ですか?

合理的に予見される脅威とは、個人を特定できる健康情報のプライバシー、あるいはPHIの機密性・完全性・可用性に対する、予見可能なあらゆる脅威を指します。これには外部の悪意ある行為者による脅威だけでなく、ヒューマンエラーやトレーニング不足による知識の欠如に起因する脅威も含まれます。だからこそ、組織のワークフローの「全体像」を把握することが、合理的に予見される脅威を特定するうえで不可欠なのです。

リスクアセスメントとリスク分析の違いは何ですか?

リスクアセスメントとリスク分析の違いは、リスクアセスメントがHIPAA遵守に対するリスクを特定するのに対し、リスク分析は脆弱性と影響の組み合わせにリスクレベルを割り当てるという点です。各リスクにリスクレベルを割り当てる目的は、最も大きな被害をもたらす可能性のあるリスクを優先的に対処できるようにするためです。ほとんどのHIPAAリスク分析は、定性的リスクマトリクスを用いて実施されます。

HIPAAセキュリティリスクアセスメントの実施責任は誰にありますか?

HIPAAセキュリティリスクアセスメントを実施する責任は、通常HIPAAコンプライアンス責任者にあります。HIPAA遵守の責任がHIPAAプライバシー責任者とHIPAAセキュリティ責任者の間で分担されている場合は、特定されたリスクの性質に応じて、HIPAAセキュリティ責任者が同僚の支援を受けながらリスクアセスメントと分析を実施すべきです。

対象事業者とビジネスアソシエイトで、リスクアセスメントの種類は異なりますか?

対象事業者とビジネスアソシエイトで異なる種類のリスクアセスメントが存在するわけではありません。対象事業者とビジネスアソシエイトの双方が、作成・使用・保管するあらゆる保護対象保健情報について、「A-to-Z」のリスクアセスメントを実施する必要があります。ビジネスアソシエイトが扱うPHIの量は対象事業者より少ない場合もありますが、リスクアセスメントは同じように徹底しており、同じように文書化されている必要があります。

HIPAAリスクアセスメントとは何ですか?

HIPAAリスクアセスメントとは、医療保険の携行性と責任に関する法律の事務簡素化条項の対象となる組織が、「セキュリティ管理プロセス」要件を遵守するために完了しなければならないリスクアセスメントです。このHIPAA要件を遵守していない組織は、これまでにも摘発されています。

HIPAAリスクアセスメントとHIPAAコンプライアンスアセスメントの違いは何ですか?

HIPAAリスクアセスメントとHIPAAコンプライアンスアセスメントの違いは、HIPAAリスクアセスメントが潜在的な脅威と脆弱性を特定し、その発生可能性を軽減するための対策を実施できるようにするものであるのに対し、HIPAAコンプライアンスアセスメントは通常、HIPAAプライバシールール、セキュリティルール、侵害通知ルールに対する組織の遵守状況を評価するために第三者が実施するアセスメントである点です。

なぜインターネット上でHIPAAリスクアセスメントのテンプレートが見つからないのですか?

インターネット上でHIPAAリスクアセスメントのテンプレートが見つからない理由は、対象事業者やビジネスアソシエイトの規模、複雑さ、対応能力が大きく異なり、「万能」なHIPAAリスクアセスメントというものが存在しないためです。変数の数が多いため、HIPAAリスクアセスメントのテンプレートというものは本質的に存在しません。もしインターネット上でテンプレートを見つけたとしても、自組織が保持するPHIに対するあらゆる潜在的リスクを網羅していない可能性があるため、注意して扱うべきです。

HIPAAリスクアセスメントはいつ必要になりますか?

HIPAAリスクアセスメントが必要になるのは、2つのケースです。1つ目はHIPAAセキュリティルール(45 CFR § 164.308 ― セキュリティ管理プロセス)に定められています。2つ目はHIPAA侵害通知ルール(45 CFR § 164.402)の下で発生するもので、未保護のPHIに対する許可されない取得・アクセス・使用・開示があった場合に適用されます。ただし、組織はこれらの要件よりも頻繁にリスクアセスメントを実施すべきであり、特に非電子PHIや組織要件に関連する部分ではその重要性が高まります。

HIPAAセキュリティリスクアセスメントの目的は何ですか?

HIPAAセキュリティリスクアセスメントの目的は、対象事業者またはビジネスアソシエイトが作成・受領・維持・送信するすべての電子PHIの機密性、完全性、可用性に対するリスクを特定することです。このリスクアセスメントは外部からの脅威だけでなく、悪意あるインサイダーやセキュリティ意識向上トレーニングの不足に起因する組織内部の脅威にも焦点を当てるべきです。

HIPAA侵害リスクアセスメントではどのような要素が考慮されますか?

HIPAA侵害リスクアセスメントで考慮される要素には、侵害されたPHIの性質と範囲、識別子の種類と再識別の可能性、侵害されたPHIにアクセスまたは使用した不正な人物、PHIが実際に取得または閲覧されたかどうか、そしてPHIに対するリスクがどの程度軽減されたかが含まれます。

リスクアセスメントでPHIに対するリスクを特定できなかった場合、どのような結果が生じますか?

リスクアセスメントでPHIに対するリスクを特定できなかった場合の結果としては、データ侵害や許可されない開示が発生する可能性の増加、そしてそのような事案が発生した場合に、徹底したリスクアセスメントを実施しなかったことに対してHHS公民権局から制裁が科されることが挙げられます。対象事業者やビジネスアソシエイトは、PHIを保護する責任を「知っている、あるいは知っているべき」立場にあるため、徹底したリスクアセスメントを実施しなかったことに対する言い訳は通用しない点に注意が必要です。

HIPAAリスクアセスメントの要件はビジネスアソシエイトにも適用されますか?

HIPAAリスクアセスメントの要件はビジネスアソシエイトにも適用されます。ビジネスアソシエイトはHIPAAセキュリティルールおよび侵害通知ルールを遵守する義務があり、HIPAAリスクアセスメントに関する2つの基準はこれらのルールの中に定められているためです。また、対象事業者のために行う活動の性質が個人を特定できる健康情報のプライバシーを侵害する可能性がある場合、ビジネスアソシエイトはHIPAAプライバシールールに基づくリスクアセスメントも実施することが推奨されます。

組織がHIPAAリスクアセスメントを実施する際に役立つツールにはどのようなものがありますか?

組織がHIPAAリスクアセスメントを実施する際に役立つツールには、中小規模の医療機関がHIPAAリスクアセスメントを作成するのを支援するため、HHS公民権局が2014年に公開したダウンロード可能なセキュリティリスクアセスメント(SRA)ツールがあります。また、サードパーティのコンプライアンス専門家が提供する多くのツールも存在し、これらはセキュリティリスクアセスメントツールでカバーされていない状況(HIPAAプライバシールールの遵守など)における問題の特定に最も適しています。