HIPAAセキュリティリスクアセスメントとは、PHI(保護対象保健情報)のプライバシーとセキュリティに対する脅威、脅威が発生する可能性、そして各脅威が及ぼす潜在的な影響を評価するものです。これにより、既存のポリシー、手順、セキュリティ対策がリスクや脆弱性を妥当かつ適切なレベルまで低減できているかどうかを判断できます。
対象事業体(covered entities)およびビジネスアソシエイトにHIPAAセキュリティリスクアセスメントの実施を義務付ける規定は、医療保険の携行性と責任に関する法律(HIPAA)の運用簡素化規定(Administrative Simplification provisions)の中に2箇所登場します。ただし、組織によってはこれらの要件を超えてリスクアセスメントを実施する必要が生じる場合もあります。
HIPAAセキュリティリスクアセスメントに関する最初の要件は、HIPAAセキュリティルール(45 CFR § 164.308 – セキュリティマネジメントプロセス)に規定されています。この基準では、対象事業体およびビジネスアソシエイトに対し、「ePHI(電子化されたPHI)の機密性、完全性、可用性に対する潜在的なリスクと脆弱性について、正確かつ徹底的な評価」を実施することを求めています。
2つ目の要件は、HIPAA違反通知ルール(45 CFR § 164.402)に規定されています。この基準は、未保護のPHI(いかなる形式であっても)に対して許可されていない取得、アクセス、使用、または開示が発生した場合にのみ適用されるもので、そのインシデントがHHS(米国保健福祉省)および影響を受けた個人への通知義務対象となるかどうかを判断するためにHIPAAリスクアセスメントが必要となります。
しかし、HIPAAセキュリティルールおよび違反通知ルールが求めるHIPAAセキュリティリスクアセスメントの範囲を超えて、PHIが電子形式でない場合にもその機密性、完全性、可用性に対するリスクは存在します。例えば、口頭で許可されていない開示が行われた場合や、印刷された医療報告書が誰でもアクセスできる場所に放置されてしまった場合などです。
こうしたリスクがあることから、HIPAAプライバシーリスクアセスメントの実施が必要になる場合があります。これは、非電子的なPHIの機密性、完全性、可用性に対するリスクを考慮するだけでなく、個人の(自身のPHIに対する)アクセス権、ビジネスアソシエイト契約(BAA)、その他HIPAAの組織的要件もカバーするものです。
HIPAAセキュリティリスクアセスメント
HIPAAセキュリティリスクアセスメントの目的は、HIPAAセキュリティルールの管理的、物理的、技術的セーフガードに先立つ一般規則(CFR 45 § 164.306)に明記されています。その目的は以下のとおりです。
- 対象事業体またはビジネスアソシエイトが作成、受信、維持、または送信するすべての電子PHIの機密性、完全性、可用性を確保すること。
- 当該情報のセキュリティまたは完全性に対して合理的に予測される脅威または危険から保護すること。
- この副項(HIPAAプライバシールール)の下で許可または要求されていない、当該情報の合理的に予測される使用または開示から保護すること。
- この副項(HIPAAセキュリティルール)に対する職員のコンプライアンスを確保すること。注: これはセキュリティ意識向上トレーニングおよび制裁ポリシーの適用を通じて達成されます。
HIPAAセキュリティルールの管理的、物理的、技術的セーフガードに関して、一般規則は基準の実施方法について「柔軟なアプローチ」を認めています。この柔軟なアプローチ条項があるとはいえ、実装仕様が「合理的かつ適切」でなく、それに代わる同等の代替措置が実施される場合を除き、すべての基準を実施することが重要です。管理的、物理的、技術的な実装仕様の全リストは以下のとおりです。
| 基準 | 該当条項 | 実装仕様
(R)=必須、(A)=対処が求められる項目 |
実装に関する解説 |
|---|---|---|---|
| セキュリティマネジメントプロセス | 164.308(a)(1) | リスク分析(R)、リスクマネジメント(R)、制裁ポリシー(R)、情報システム活動レビュー(R) | 組織はePHIに対する潜在的な脆弱性を特定するため、包括的なリスク分析を実施する必要があります。改善活動に優先順位を付けたリスクマネジメント戦略を策定し文書化してください。セキュリティポリシーを遵守しない従業員に対する制裁ポリシーを施行し、不正アクセスを検知するためにシステム活動を定期的にレビューするツールを導入してください。 |
| セキュリティ責任の割り当て | 164.308(a)(2) | (R) | 組織全体でセキュリティポリシーと手順の実施・監督に責任を負う上級担当者(CISOやプライバシーオフィサーなど)を任命してください。この人物には、HIPAAコンプライアンスを徹底するための権限とリソースが与えられている必要があります。 |
| 職員のセキュリティ | 164.308(a)(3) | 権限付与および/または監督(A)、職員審査手続き(A)、退職時手続き(A) | ePHIにアクセスする職員を監督するための手順を策定し文書化してください。アクセス権を付与する前に従業員を審査し、退職や役割変更の際にはアカウントとアクセス権を速やかに無効化して不正アクセスを防止してください。 |
| 情報アクセス管理 | 164.308(a)(4) | 医療クリアリングハウス機能の分離(R)、アクセス権限付与(A)、アクセス権の確立と変更(A) | ePHIを管理するシステムを分離する管理策を構築してください。特に医療クリアリングハウスがより大きな組織の一部門である場合は重要です。職務内容に基づいてユーザーアクセスを付与・変更・削除する手順を定めてください。アクセス権は定期的にレビューし、必要に応じて更新すべきです。 |
| セキュリティ意識向上とトレーニング | 164.308(a)(5) | セキュリティリマインダー(A)、悪意あるソフトウェアからの保護(A)、ログイン監視(A)、パスワード管理(A) | 定期的なセキュリティアップデート、フィッシングやマルウェアの脅威に関する啓発、不審な活動を見分けるための指導、パスワード管理のベストプラクティスを含む正式なトレーニングプログラムを策定してください。トレーニングは文書化し、全従業員に対して必須とすべきです。 |
| セキュリティインシデント手続き | 164.308(a)(6) | 対応と報告(R) | セキュリティインシデントの検知、報告、対応方法を定めたインシデント対応計画を書面で策定・維持してください。インシデントの見分け方について職員をトレーニングし、模擬演習を通じて計画をテストし、対応力を高めてください。 |
| コンティンジェンシープラン | 164.308(a)(7) | データバックアップ計画(R)、災害復旧計画(R)、緊急時運用モード計画(R)、テストおよび改訂手続き(A)、アプリケーションおよびデータの重要度分析(A) | 定期的なデータバックアップ、災害復旧手順、診療継続のための緊急時運用を含む強固なコンティンジェンシー計画フレームワークを導入してください。定期的にテストを実施し、結果に基づいて計画を改訂してください。データやアプリケーションの重要度を評価・優先順位付けし、復旧作業を効果的に集中させてください。 |
| 評価 | 164.308(a)(8) | (R) | 監査、リスクアセスメント、ポリシーレビューを通じて、セキュリティプログラムの有効性を定期的に評価してください。評価結果を文書化し、弱点や変化する脅威に対応するために必要な改善を実施してください。 |
| ビジネスアソシエイト契約 | 164.308(b)(1) | 書面による契約その他の取り決め(R) | ePHIを代行して取り扱うすべてのベンダーとビジネスアソシエイト契約(BAA)を締結してください。これらの契約にはセキュリティ上の責任を明記し、ビジネスアソシエイトがHIPAAの規則に従う義務を負うことを明確にしてください。 |
| 施設アクセス管理 | 164.310(a)(1) | コンティンジェンシー時の運用(A)、施設セキュリティ計画(A)、アクセス制御および検証手続き(A)、保守記録(A) | ePHIが保管されている施設への物理的アクセスを制御する手順を導入してください。これにはドアの施錠、IDバッジの使用、緊急時アクセスの計画などが含まれます。保守活動を記録し、来訪者や職員が機密エリアに入る前にどのように検証されるかを管理してください。 |
| ワークステーションの使用 | 164.310(b) | (R) | ePHIにアクセスするワークステーションの適切な使用方法を定めてください。許可されていないソフトウェアの使用やインターネットアクセスを制限し、権限のない人物が画面の内容を見られない安全な場所にワークステーションを設置してください。 |
| ワークステーションのセキュリティ | 164.310(c) | (R) | ケーブルロックの使用、オフィスドアの施錠、ログイン中の端末を放置しないなどの方法により、ワークステーションを物理的に保護してください。これにより不正アクセスや不正操作を防止できます。 |
| デバイスおよびメディア管理 | 164.310(d)(1) | 廃棄(R)、メディアの再利用(R)、責任の所在(A)、データバックアップと保管(A) | ePHIを含むメディアを安全に廃棄するためのポリシーを策定してください。紙媒体の記録をシュレッダーにかける、ハードドライブを消去するなどの方法があります。責任の所在を明確にするためにメディア追跡システムを維持し、バックアップは安全なオフサイトまたはクラウド上に保管してください。 |
| アクセス制御 | 164.312(a)(1) | 固有のユーザー識別(R)、緊急時アクセス手続き(R)、自動ログオフ(A)、暗号化および復号(A) | ePHIを含むシステムへのアクセスを追跡するため、固有のユーザーIDを割り当ててください。必要な場合に緊急時アクセスが利用できるようにしてください。放置された端末によるリスクを低減するため自動ログオフポリシーを設定し、適切な場合には保管データおよび通信中のデータの両方を暗号化してください。 |
| 監査制御 | 164.312(b) | (R) | ログイン試行、ファイルアクセス、変更を含む、ePHIへのすべてのアクセスを追跡・記録するソフトウェアツールを使用してください。これらのログを定期的に監査し、異常な活動を特定して潜在的な侵害に対応してください。 |
| 完全性 | 164.312(c)(1) | 電子保護対象保健情報を認証するための仕組み(A) | チェックサム、デジタル署名、または類似のツールを使用して、ePHIが不正な方法で改ざんまたは破棄されていないことを確認してください。これらの仕組みの信頼性とセキュリティを確保するため、定期的に検証してください。 |
| 個人または事業体の認証 | 164.312(d) | (R) | 強固なパスワード、生体認証、多要素認証などの安全な方法を用いて、ユーザーがePHIにアクセスする前に本人確認を行うようにしてください。認証ポリシーは定期的に更新・レビューしてください。 |
| 伝送のセキュリティ | 164.312(e)(1) | 完全性の管理(A)、暗号化(A) | 電子メールやAPI経由で送信されるデータなど、データの伝送を暗号化してePHIが傍受されるのを防いでください。メッセージ認証コードなどの完全性管理策を導入し、伝送中にデータが改ざんされないようにしてください。 |
HIPAAセキュリティルールの最終セクションでは、ビジネスアソシエイト契約およびその他の組織的要件について規定されています。このセクションでは、対象事業体に対し、ビジネスアソシエイト契約においてビジネスアソシエイトがHIPAAセキュリティルールを遵守し、(データ侵害だけでなく)あらゆるセキュリティインシデントを対象事業体に報告することを義務付けるよう求めています。組織的要件に関しては、45 CFR § 164.314の基準は団体医療保険プランに適用されますが、ハイブリッド型、提携型、またはOHCA(組織化医療機関)の取り決めに該当するすべての対象事業体も、この基準の内容を確認しておくべきです。
HIPAA違反リスクアセスメント
2つ目の「必須」とされるHIPAAセキュリティリスクアセスメントは、実際には任意のものです。というのも、HIPAA違反通知ルールでは、PHIに対する許可されていない取得、アクセス、使用、または開示は、少なくとも以下の要素を考慮したリスクアセスメントによって侵害の可能性が低いことを示せない限り、違反(breach)とみなされると規定されているためです。
- 侵害されたPHIの性質と範囲(識別子の種類や再識別の可能性を含む)
- 侵害されたPHIを取得、アクセス、使用した、あるいは許可されていない開示を受けた不正な人物(判明している場合)
- PHIが実際に取得または閲覧されたかどうか(サイバー攻撃において何が「取得または閲覧」に該当するかについては、ランサムウェアに関するHHSのガイダンスを参照してください)
- PHIに対するリスクがどの程度軽減されたか
HIPAA違反リスクアセスメントが「任意」とされる理由は、対象事業体およびビジネスアソシエイトが望めばこのHIPAAアセスメントを省略し、許可されていないPHIの取得、アクセス、使用、開示のすべてを通知するという選択肢もあるためです。ただし、このアプローチには、HHSの公民権局(OCR)が「この組織は平均を超える頻度でデータ侵害を起こしている」と判断してコンプライアンスレビューを実施することになり、業務に支障をきたす可能性があるという欠点があります。
また、患者やプラン加入者が頻繁に違反通知を受け取ることになれば、組織が提供するサービスを利用する人々からの信頼を失う可能性もあります。特に、「侵害された」PHIが実際には取得も閲覧もされていないにもかかわらず、不正利用や盗難、損失から身を守るための対策を不必要に取るよう助言されている場合はなおさらです。「任意」とはいえ、避けられる通知を防ぐためにHIPAA違反リスクアセスメントを実施することは良い考えといえます。
HIPAAプライバシーリスクアセスメント
リスクアセスメントの実施義務がHIPAAセキュリティルールに規定されていることから、多くの対象事業体やビジネスアソシエイトがHIPAAプライバシーリスクアセスメントの実施の必要性を見過ごしがちです。HIPAAプライバシーリスクアセスメントはセキュリティリスクアセスメントと同様に重要であり、組織の規模や事業内容によっては、はるかに大規模な取り組みになることもあります。
HIPAAプライバシーリスクアセスメントを完了するためには、組織はプライバシーオフィサーを任命する必要があります。その最初の仕事は、組織のワークフローを特定し、HIPAAプライバシールールの要件が組織の業務にどのように影響するかを「大局的に」把握することです。その後、プライバシーオフィサーは、違反が発生し得る箇所を特定するギャップ分析を実施するため、組織内外におけるPHIの流れをマッピングする必要があります。
HIPAAプライバシーリスクアセスメントの最終段階は、HIPAAプライバシーコンプライアンスプログラムの策定と実施であるべきです。このプログラムには、HIPAAプライバシーアセスメントで特定されたPHIに対するリスクに対応するポリシーを盛り込み、新しい業務慣行の導入や新技術の展開に合わせて見直すべきです。
45 CFR § 164.530が求めるとおり、HIPAAプライバシーリスクアセスメントの結果として策定されたポリシーや手順、また従業員の職務に影響を及ぼす重大な変更があった際には、従業員がそれらについてトレーニングを受けることが不可欠です。対象事業体やビジネスアソシエイトは「形だけ」この要件を満たそうとする場合もありますが、よくトレーニングされた職員ほどHIPAA違反のミスは少なくなります。そのため、HIPAAのポリシーと手順に関するトレーニングは、リスク軽減戦略の一環として積極的に取り入れるべきです。
リスクを特定しないことは高くつく
HIPAA違反に対する制裁金の重さは、これまでPHI侵害の影響を受けた患者数と、関与した過失の程度によって決まってきました。現在では、最も軽い「知らなかった(Did Not Know)」というHIPAA違反区分での制裁金が科されるケースはほとんどありません。PHIを保護する法的義務があることを知らなかったという言い訳はほとんど通用しないためです。
近年では、制裁金の大半は「意図的な過失(Willful Neglect)」というHIPAA違反区分に該当しており、これは組織がPHIを保護する責任があることを知っていた、あるいは知っているべきだったケースです。550万ドルの制裁金がAdvocate Health Care Networkに科された事例を含む、最も高額な制裁金の多くは、組織がPHIの完全性に対するリスクの存在箇所を特定できなかったことに起因しています。
しかし、第2ラウンドのHIPAA監査が始まって以降、PHIの侵害の可能性そのものに対しても制裁金が科されるようになりました。これは、組織のセキュリティ上の欠陥がHIPAAリスクアセスメントによって発見されていなかった、あるいはそもそもアセスメントが一切実施されていなかったケースです。2016年3月には、ミネソタ州のNorth Memorial Health Careが150万ドル以上を支払い、関連するHIPAA違反の告発を和解しています。
大企業だけが標的というわけではない
HIPAA違反に関する話題の大半は大規模な医療機関と高額な制裁金に集中していますが、公民権局(OCR)の調査対象やHIPAA監査の対象となっている小規模な医療機関も数多く存在します。2003年以降、OCRはHIPAA違反の疑いに関する報告を30万件以上受理していますが、そのうち500人以上に影響するデータ侵害に関するものは2%未満です。
中小規模の医療機関にとって大きな問題となるのは、すべての保険会社がHIPAA違反による損害を補償してくれるわけではないという点です。HIPAA違反によるコストには、制裁金だけでなく、侵害を調査するITスペシャリストの雇用費用、社会的信頼の回復にかかる費用、影響を受けた個人への信用監視サービス提供費用も含まれます。保険会社は、HIPAA違反の性質や過失の程度によって補償範囲を制限する場合もあります。
保険の補償がなければ、HIPAA違反によるコストは小規模な医療機関を廃業に追い込みかねません。しかし、このシナリオはHIPAAリスクアセスメントを実施し、発見された問題を解決する対策を講じることで軽減できます。アセスメントは複雑で時間のかかる作業になり得ますが、それを行わない場合、小規模医療機関やそのビジネスアソシエイトにとって事業の存続に関わる事態になりかねません。
ビジネスアソシエイトも対象に含めなければならない
PHIを作成、受信、維持、または送信するすべての対象事業体は、HIPAAセキュリティルールのセキュリティマネジメント要件を遵守するために、正確かつ徹底的なHIPAAリスクアセスメントを実施しなければなりません。このHIPAAコンプライアンスの要件は、医療機関や医療保険プランだけに適用されるものではありません。ビジネスアソシエイト、下請け業者、ベンダーもまた、HIPAAセキュリティリスクアセスメントを実施する必要があります。対象事業体と同様、PHI侵害の可能性についてOCRからビジネスアソシエイトに対して制裁金が科されることもあります。
OCRはこうしたリスクを重大なものとして扱っています。2014年12月、同局は500件を超える患者記録の漏えいを伴うHIPAA違反の40%がビジネスアソシエイトの過失に起因すると明らかにしました。2016年6月には、フィラデルフィア大司教区のカトリック・ヘルスケア・サービス(Catholic Health Care Services of the Archdiocese of Philadelphia)が450件の記録の侵害を受け、65万ドルの支払いに合意し、ビジネスアソシエイトに対する初の制裁金が科されました。この非営利団体は、2013年以降HIPAAリスクアセスメントを実施していませんでした。
近年では、ビジネスアソシエイトのコンプライアンス不足に起因するデータ侵害の割合が減少しているように見えるかもしれませんが、必ずしもそうとは限りません。HIPAA違反通知ルール(CFR § 164.410)の下では、ビジネスアソシエイトは未保護のPHIの侵害が発生した場合、対象事業体に通知することが義務付けられています。その後、HHSおよび影響を受けた個人に通知する責任は対象事業体側にあります。そのため、実際にはビジネスアソシエイトに過失があるにもかかわらず、多くのデータ侵害が対象事業体に起因するものとして記録されている可能性があります。
リスクマネジメント計画の策定と新たな手順の導入
HIPAAリスクアセスメントでは、組織のセキュリティ体制のうち対応が必要な箇所が明らかになるはずです。組織は、アセスメントで発見された弱点や脆弱性に対処するリスクマネジメント計画を策定し、PHI侵害につながる可能性が最も高い脆弱性を解消するために必要な新しい手順やポリシーを導入する必要があります。
各脆弱性に割り当てられたリスクレベルによって、組織はそれぞれの脆弱性にどの程度の優先順位を与えるべきかの指針を得られます。組織はそれをもとに、最も重大な脆弱性から取り組む改善計画を策定できます。この改善計画には、必要に応じて新しい手順やポリシー、そして適切な職員向けのトレーニングや意識向上プログラムを組み合わせるべきです。
OCRの指摘によれば、対象事業体やビジネスアソシエイトがHIPAA監査に不合格となる最も多い理由は、手順やポリシーの欠如、あるいは不十分な手順・ポリシーにあります。HIPAAリスクアセスメントの結果として導入されたワークフローの変更を徹底させるためには、適切な手順とポリシーを実施することが重要です。
HIPAAセキュリティリスクアセスメントを支援するツール
組織の規模を問わず、業務のあらゆる側面についてHIPAAリスクアセスメントを実施するのは複雑な作業になり得ます。特にリソースが限られ、HIPAA規制への準拠の経験がない小規模な医療機関にとっては顕著です。HIPAAリスクアセスメントの実施における複雑さを軽減するため、OCRは2014年に、中小規模の医療機関がHIPAAリスクアセスメントをまとめる際に役立つダウンロード可能なセキュリティリスクアセスメント(SRA)ツールを公開しました。
SRAツールは、組織が弱点や脆弱性の存在し得る一部の箇所を特定するのに非常に役立ちますが、すべてを網羅しているわけではありません。このソフトウェアに付属するユーザーガイドの冒頭には「SRAツールはHIPAAコンプライアンスを保証するものではない」と明記されています。というのも、このツールはすべてのPHIの機密性、可用性、完全性に関する156の質問で構成されているものの、リスクレベルの割り当て方法や導入すべきポリシー・手順についての提案は含まれていないためです。
これは、インターネット上で見つかる他のサードパーティ製ツールにもほぼ当てはまります。これらのツールも組織が一部の弱点や脆弱性を特定するのに役立つ場合はありますが、完全に準拠したHIPAAリスクアセスメントを提供するものではありません。実際、多くのサードパーティベンダーは、SRAツールのユーザーガイド冒頭にあるものと同様の免責事項を、利用規約の細かい文字で公開しています。結論として、HIPAAリスクアセスメントを支援するツールは、問題の特定には役立つものの、すべての問題に対する解決策を提供するには適していないといえます。
HIPAAリスクアセスメントに関するよくある質問
リスクが最も多く特定されるのはどこか?
リスクが最も多く特定される箇所は、組織ごと、また事業内容によって異なります。例えば、小規模な医療機関では対人的なやり取りを通じた許可されていない開示のリスクが高い一方、大規模な医療機関グループではクラウドサーバーの設定ミスによるデータ侵害のリスクが高い傾向にあります。
「合理的に予測される脅威」とは何か?
合理的に予測される脅威とは、個人を特定できる医療情報のプライバシー、あるいはPHIの機密性、完全性、可用性に対する、予見可能なあらゆる脅威を指します。これには外部の悪意ある行為者による脅威だけでなく、人的ミスやトレーニング不足による知識不足に起因する脅威も含まれます。だからこそ、合理的に予測される脅威を特定するには、組織のワークフローを「大局的に」把握することが不可欠なのです。
リスクアセスメントとリスク分析の違いは何か?
リスクアセスメントとリスク分析の違いは、リスクアセスメントがHIPAAコンプライアンスに対するリスクを特定するものであるのに対し、リスク分析は脆弱性と影響の組み合わせに応じてリスクレベルを割り当てるものである点です。各リスクにリスクレベルを割り当てる目的は、最も深刻な被害をもたらす可能性のあるリスクを優先的に対処できるようにするためです。ほとんどのHIPAAリスク分析は、定性的なリスクマトリクスを用いて実施されます。
HIPAAセキュリティリスクアセスメントの実施責任者は誰か?
HIPAAセキュリティリスクアセスメントを実施する責任は、通常HIPAAコンプライアンスオフィサーにあります。あるいは、HIPAAコンプライアンスの責任がHIPAAプライバシーオフィサーとHIPAAセキュリティオフィサーの間で分担されている場合は、特定されたリスクの性質に応じて、HIPAAセキュリティオフィサーが同僚の支援を受けながらリスクアセスメントと分析を実施すべきです。
対象事業体とビジネスアソシエイトで異なる種類のリスクアセスメントがあるのか?
対象事業体とビジネスアソシエイトで異なる種類のリスクアセスメントが存在するわけではありません。対象事業体もビジネスアソシエイトも、作成、使用、または保管される保護対象保健情報について「A(始まり)からZ(終わり)まで」の網羅的なリスクアセスメントを実施する必要があります。ビジネスアソシエイトが扱うPHIの量は対象事業体より少ない場合がありますが、リスクアセスメントは同じように徹底的かつ十分に文書化されている必要があります。
HIPAAリスクアセスメントとは何か?
HIPAAリスクアセスメントとは、医療保険の携行性と責任に関する法律の運用簡素化規定の対象となる組織が、「セキュリティマネジメントプロセス」要件を遵守するために完了しなければならないリスクアセスメントです。この要件に違反した非準拠の組織は、実際に告発を受けています。
HIPAAリスクアセスメントとHIPAAコンプライアンスアセスメントの違いは何か?
HIPAAリスクアセスメントとHIPAAコンプライアンスアセスメントの違いは、HIPAAリスクアセスメントが潜在的な脅威や脆弱性を特定し、それらの発生可能性を軽減するための対策を導入できるようにするものであるのに対し、HIPAAコンプライアンスアセスメントは通常、HIPAAプライバシールール、セキュリティルール、違反通知ルールへの組織のコンプライアンス状況を評価するために第三者が実施する評価である点です。
なぜインターネット上でHIPAAリスクアセスメントのテンプレートが見つからないのか?
インターネット上でHIPAAリスクアセスメントのテンプレートが見つからないのは、対象事業体やビジネスアソシエイトの規模、複雑さ、対応能力が大きく異なり、「画一的な」HIPAAリスクアセスメントというものが存在しないためです。変数が多岐にわたるため、HIPAAリスクアセスメントの標準テンプレートというものは存在しません。もしインターネット上でテンプレートを見つけたとしても、それが自組織の保有するPHIに対するすべての潜在的リスクを網羅しているとは限らないため、注意して扱うべきです。
HIPAAリスクアセスメントが必要になるのはどのような場合か?
HIPAAリスクアセスメントが必要になる場面は2つあります。1つ目はHIPAAセキュリティルール(45 CFR § 164.308 – セキュリティマネジメントプロセス)に規定されているケースです。2つ目は、未保護のPHIに対して許可されていない取得、アクセス、使用、または開示が発生した場合に適用される、HIPAA違反通知ルール(45 CFR § 164.402)に基づくケースです。ただし、特に非電子的なPHIや組織的要件に関しては、組織はこれらの要件が定める頻度よりも高い頻度でリスクアセスメントを実施すべきです。
HIPAAセキュリティリスクアセスメントの目的は何か?
HIPAAセキュリティリスクアセスメントの目的は、対象事業体またはビジネスアソシエイトが作成、受信、維持、または送信するすべての電子PHIの機密性、完全性、可用性に対するリスクを特定することです。このリスクアセスメントは外部からの脅威だけでなく、悪意ある内部関係者やセキュリティ意識向上トレーニングの不足に起因する組織内部の脅威にも焦点を当てるべきです。
HIPAA違反リスクアセスメントではどのような要素が考慮されるか?
HIPAA違反リスクアセスメントで考慮される要素には、侵害されたPHIの性質と範囲、識別子の種類と再識別の可能性、侵害されたPHIにアクセスまたは使用した不正な人物、PHIが実際に取得または閲覧されたかどうか、そしてPHIに対するリスクがどの程度軽減されたかが含まれます。
リスクアセスメントでPHIに対するリスクを特定しなかった場合、どのような結果につながり得るか?
リスクアセスメントでPHIに対するリスクを特定しなかった場合の結果としては、データ侵害や許可されていない開示が発生する可能性の増大、そしてそのような事態が発生した際に、徹底したリスクアセスメントを実施しなかったことに対してHHSの公民権局から制裁を受けることが挙げられます。対象事業体やビジネスアソシエイトは、PHIを保護する責任があることを「知っている、あるいは知っているべき」立場にあるため、徹底したリスクアセスメントを怠ることに言い訳は通用しないという点に留意することが重要です。
HIPAAリスクアセスメントの要件はビジネスアソシエイトにも適用されるか?
HIPAAリスクアセスメントの要件はビジネスアソシエイトにも適用されます。ビジネスアソシエイトはHIPAAセキュリティルールおよび違反通知ルールを遵守する義務があり、HIPAAリスクアセスメントに関する2つのHIPAA基準はこれらのルールの中に規定されているためです。また、対象事業体のために行う活動の性質によっては、個人を特定できる医療情報のプライバシーを侵害する可能性がある場合、ビジネスアソシエイトもHIPAAプライバシールールに関するリスクアセスメントを実施することが推奨されます。
組織のHIPAAリスクアセスメントを支援するツールにはどのようなものがあるか?
組織のHIPAAリスクアセスメントを支援するツールとしては、中小規模の医療機関がHIPAAリスクアセスメントをまとめる際の助けとなるよう、HHSの公民権局が2014年に公開したダウンロード可能なセキュリティリスクアセスメント(SRA)ツールが挙げられます。また、サードパーティのコンプライアンス専門家が提供する多数のツールもあり、これらはセキュリティリスクアセスメントツールでカバーされていない状況(すなわちHIPAAプライバシールールへの準拠など)における問題特定に活用するのが最適です。
翻訳元: https://www.hipaajournal.com/is-your-organization-ready-for-a-hipaa-security-incident/
