2026年9月17日、民主党の上院議員2名が医療インフラセキュリティ説明責任法(Health Infrastructure Security and Accountability Act)を再提出しました。この法案は、米国の医療制度におけるサイバーセキュリティ基準の向上を目指すとともに、地方や医療資源に乏しい病院が不可欠なサイバーセキュリティ対策に投資できるよう資金を提供するものです。
この法案は、マーク・R・ワーナー上院議員(民主党・バージニア州選出)とロン・ワイデン上院議員(民主党・オレゴン州選出)によって再提出されました。同法案は第118議会第2会期の2024年9月25日に最初に提出されています。法案が最初に提出された当時、保健福祉省公民権局(OCR)には、大規模なハッキングによる医療データ侵害が394件報告されており、4,300万人の米国民の保護対象保健情報(PHI)が関わっていました。
当時、両上院議員は、サイバー攻撃が患者ケアの遅延や中断を引き起こし、患者の健康と国家安全保障を害するとともに、米国民をID盗難や詐欺のリスクにさらしていると説明していました。「これらのハッキングは完全に防止可能なものであり、医療提供者とその事業提携先による甘いサイバーセキュリティ対策が直接の原因です」と両上院議員は説明しています。
法案が最初に提出されてから2年が経過した今、状況はさらに悪化しています。OCRの侵害報告ポータルによると、年初来(1月1日～8月31日)の統計では、ハッキングによる侵害が426件発生しており、7,300万人の米国民の保護対象保健情報が関わっています。これは、ハッキングによるデータ侵害件数が8%増加し、影響を受けた個人の数が70%増加したことを意味します。
2024年1月24日、OCRは医療・公衆衛生(HPH)セクター向けに、任意のサイバーセキュリティパフォーマンス目標(CPG)を「基本(Essential)」と「拡張(Enhanced)」の2種類公表しました。これは、医療機関がサイバーセキュリティプログラムを強化・成熟させるために採用すべき、影響度の高い対策で構成されています。当時OCRが予測していたとおり、任意の目標だけでは、セクター全体で必要とされる行動変容を促すには不十分でした。
これらのCPGに続き、HIPAAセキュリティ規則の改正案が提示され、大幅な追加のサイバーセキュリティ要件が義務付けられることになりました。この改正案は業界団体や医療システムから撤回を求める声が上がるなど、極めて不評となっています。最終規則は2027年7月まで延期されていますが、トランプ政権が最終規則を実際に発表するかどうかについては、いまだ決定が下されていません。特に地方やリソースの乏しい医療提供者にとって問題の一因となっているのが、必要なサイバーセキュリティ強化を行うための資金不足であり、これはまさに医療インフラセキュリティ説明責任法が対処しようとしている課題です。
「サイバー犯罪者が病院や医療提供者への攻撃を強化する中、任意の基準だけでは米国民の健康、安全、プライバシーを守るには不十分であることがますます明らかになっています」とワーナー上院議員は説明しています。「この法案は、医療機関に対して強力かつ常識的なサイバーセキュリティプロトコルを確立すると同時に、地方や医療資源の乏しい病院に資金を提供し、防御力を強化して、それらの病院に頼る患者を守るものです。」
両上院議員が説明するように、米国の医療制度は、その規模、テクノロジーへの依存度、機微な個人情報の収集、そして障害に対する特有の脆弱性から、サイバー攻撃に対して特にリスクが高い状態にあります。医療機関は攻撃しやすい標的とみなされており、攻撃はサイバー犯罪者にとって非常に収益性の高いものとなり得ます。「サイバー攻撃の頻度と巧妙さは、医療制度のあらゆる部分で劇的に増加しており、今後も増え続けるでしょう」とワイデン上院議員は述べています。「私たちの法案は、医療提供者向けの全国的なサイバーセキュリティ基準を策定し、特に地方や医療資源の乏しい地域にリソースを投入することで、すべての米国民の医療情報の安全を確保します。議会は、米国の家庭にとって最も個人的な情報の安全とプライバシーを脅かす、さらなる壊滅的なサイバー攻撃が起きるまで行動を待つわけにはいきません。」
2026年医療インフラセキュリティ説明責任法は、タイムラインが2年先送りされた点を除けば、2024年版から大きくは変更されていません。同法案の主な要件は以下のとおりです。
- HHSが策定・施行・更新する、対象事業体および事業提携先向けの義務的な最低限のサイバーセキュリティ基準。更新は少なくとも2年ごとに実施
- システム上重要な事業体および国家安全保障上重要な事業体に対する、より厳格なサイバーセキュリティ基準
- 技術的障害、破壊的なサイバー事象、自然災害に対する、すべての対象事業体向けの事業継続・復旧計画、および事業体が重要機能を復旧させる能力を備えているかを評価するストレステスト
- 企業が適用されるセキュリティ基準を遵守していることを証明する、最高経営責任者(CEO)および最高情報セキュリティ責任者(CISO)署名による年次の書面声明
- 事業提携先を通じたリスクへの事業体のエクスポージャーの程度に関する具体的な評価を含む、義務的な年次セキュリティリスク分析
- HHSのCPGへの準拠状況を評価するための、対象事業体のセキュリティ対策に関する独立監査
- システム上の重要性に着目した、データセキュリティ対策を評価するためのHIPAA規制対象事業体少なくとも20社に対するHHSの年次監査
- セキュリティ要件を満たさなかった場合のHIPAAに基づく罰金の引き上げ ― 過失の認識がない場合は最低500ドル、正当な理由がある場合は5,000ドル、故意の懈怠(是正済み)は50,000ドル、故意の懈怠(未是正)は250,000ドル
- 病院のサイバーセキュリティ強化を支援するための政府による13億ドルの投資 ― 地方および医療資源の乏しい都市部の病院が基本のサイバーセキュリティ目標を採用するための先行投資として8億ドル、すべての病院が拡張CPGを採用するためのインセンティブとして5億ドル
- サイバーセキュリティインシデントへの対応としてのメディケアの迅速・前払い支払い
翻訳元: https://www.hipaajournal.com/health-infrastructure-security-and-accountability-act-2026/
