HHSがセキュリティリスク評価ツールを更新

HHS(米国保健福祉省)は、セキュリティリスク評価(SRA)ツールの更新版(v3.7)を公開しました。このツールは、中小規模の事業体がリスク分析プロセスを進める際に最適で、電子保護対象保健情報(ePHI)に関するリスクや脆弱性の特定を支援し、HIPAAセキュリティ規則のセキュリティ管理プロセス基準におけるリスク分析実施仕様への準拠を後押しします。

SRAツールは、米国保健福祉省の国家医療情報技術調整官室(ONC)が公民権局(OCR)と共同で開発したものです。このダウンロード可能なツールは2014年3月に初めて公開され、HIPAA規制対象の中小事業体がHIPAAセキュリティ規則のリスク分析要件に対応できるよう支援してきました。

このツールは、規制対象事業体がリスク分析を実施し文書化するプロセスを導くものであり、その目的はセキュリティポリシー上の潜在的な弱点やギャップ、そしてePHIに対するあらゆるリスクと脆弱性を特定することにあります。包括的かつ正確なリスク分析を実施して初めて、HIPAA規制対象事業体はePHIに対するすべてのリスクと脆弱性を特定できます。リスクと脆弱性が特定されないままであれば、規制対象事業体はそれらを低く許容可能な水準まで低減するために必要な対策を講じることができず、HIPAAセキュリティ規則のリスク管理基準への準拠も果たせません。

SRAツールはこれまで、使いやすさの向上とコンプライアンス機能の追加を目的として、数多くのアップグレードを重ねてきました。2026年9月の最新版では、質問項目・回答・解説内容が改善され、ツールがより包括的なものへと拡張されているほか、変化し続けるサイバーセキュリティ環境においても引き続き有用であり続けるよう工夫が施されています。

主な更新内容としては、規制対象事業体が採用している新しい技術の追加、ePHIを作成・受信・保持・送信するすべての拠点をリスク評価が確実に網羅できるようにする新たな評価範囲に関する質問項目の追加、リモートアクセスおよびテレワークに関する新しい質問項目、各事業所が現在利用している技術を反映した資産目録の刷新、規制対象事業体が利用する多様なシステムを反映したシステム活動ログに関する質問項目の更新などが挙げられます。また今回の新バージョンでは、ソフトウェアライブラリの更新、バグ修正、そしてアプリケーションおよびExcelワークブックをより使いやすくするためのフィードバックに基づく細かな調整も行われています。

OCRはリスク分析・リスク管理の遵守状況を積極的に取り締まり

HIPAA規制対象事業体は長年にわたりリスク分析の実施に苦慮してきました。ツールが初めて公開されてから12年が経過した今もなお、OCRはこの分野における不備をしばしば発見しています。OCRが確認するのは、リスク分析が一度も実施されていないケース、実施されていても不完全または不正確なケース、あるいはリスク分析のプロセスや手順に関する文書化が欠けているケースです。

この重要なセキュリティ規則の実施仕様に対する広範な不遵守を受け、OCRは2026年、遵守状況の奨励と改善を目的とした新たなリスク分析執行イニシアチブを開始しました。これまでにOCRは、このイニシアチブのもとで14件の制裁金を科しており、これは現在もOCRにとって重要な執行優先事項であり続けています。さらに、HIPAAセキュリティ規則の改定作業も進行中で、現時点では2027年7月に公開予定とされていますが、この改定によりリスク分析要件はさらに強化される見通しです。

リスク分析はリスク管理プロセスの第一歩にすぎません。HIPAA規制対象事業体は、特定されたリスクと脆弱性が効果的に管理され、低く許容可能な水準まで低減されるようにしなければなりません。2026年のNIST/OCR会議「Safeguarding Health Information: Building Assurance through HIPAA Security 2026」において、OCR局長のポーラ・スタンナード氏は、多くの規制対象事業体が、リスク管理と、OCRが2024年1月に発表したサイバーセキュリティパフォーマンス目標(CPG)とを混同しているように見受けられると説明しました。

CPGは規制対象事業体がセキュリティ態勢を改善し、サイバー攻撃やデータ侵害を防ぐために採用できるものですが、これらの対策を実施するだけではHIPAAセキュリティ規則のリスク管理要件を満たしたことにはなりません。リスク管理基準では、リスク分析によって特定されたリスクと脆弱性に対応するため、具体的なリスク管理策を実施することが求められています。

OCRは、リスク分析執行イニシアチブの対象範囲がリスク管理にも拡大されたことを確認しています。正確かつ包括的なリスク分析が実施されたことを示す証拠に加え、OCRは特定されたリスクに対してHIPAA準拠のリスク管理プロセスが適用されたことを示す証拠の提出も求めています。OCRは、規制対象事業体がリスク分析の結果に基づいて実際に行動し、ePHIに対するリスクと脆弱性を低減するための適切な対応を講じているかどうかを確認したい考えです。