アクロニスによる HIPAA コンプライアンスの確保

よくあるご質問（FAQ）

• HIPAA とは何ですか？

  HIPAA（ 医療保険の相互運用性と説明責任に関する法律 ）は、機密性の高い患者データを保護するための基準を定めた米国法です。 この法律は、医療提供者、医療保険制度、医療情報処理機関といった対象事業者に適用されます。また、対象事業者の業務を代行し、保護対象医療情報（PHI）を取り扱う外部委託先にも適用されます。 HIPAA は、PHI の保護に関する国家基準を定めた プライバシールール 、電子的な PHI（ePHI）の保護基準を定めた セキュリティルール 、未保護の PHI の侵害報告を義務付けた 侵害通知ルール といった主要ルールで構成されています。 これらのルールは、PHI を扱う IT プロバイダー、マネージドサービスプロバイダー（MSP）、クラウドベンダーにも適用されます（HIPAA が定める外部委託先と見なされるため）。

• HIPAA を重視すべき理由は何ですか？

  HIPAA は、金銭的にも法的にも大きな影響を及ぼす極めて重要な規制であるため、重視する必要があります。 HIPAA に違反すると、違反カテゴリごとに 年間最大 150 万ドルの罰金 という厳格な罰則が科される可能性があります。 この法律は、電子的に保護された医療情報（ePHI）の保管方法、アクセス方法、送信方法に厳格なルールを課しており、強固なセキュリティ対策を講じる必要性を示しています。 同法は、社内業務だけでなく、提携するサードパーティベンダーにも適用されます。

  さらに、 MSP やその他のベンダーは、HIPAA で定められた外部委託先として責任を負う ため、ベンダーの過失が原因で侵害が発生した場合でも、直接罰金を科される可能性があります。 医療業界は、医療データの機密性と価値の高さから、近年サイバー犯罪者にとって格好の標的となっています。 電子カルテからネットワーク接続された医療機器に至るまで、攻撃対象領域が拡大している現在、事業と患者の双方を守るためには、コンプライアンスの徹底と強固なサイバーセキュリティ対策がこれまで以上に重要になっています。

  HIPAA は、個人の医療情報におけるプライバシーとセキュリティを保護するための国家基準を定めた連邦法です。 同法の遵守は、このような機密データを扱う特定の事業体に義務付けられます。

• 保護対象医療情報（PHI）には何がありますか？

  PHI には、個人の健康状態、医療提供、または特定の個人に紐づけることが可能な医療料金の支払いに関する全情報が該当します。 たとえば、以下の情報が対象となります。

  • 氏名、住所、その他の連絡先情報
  • 社会保障番号および医療記録番号
  • 医療保険情報
  • 患者の画像
  • 個人に関連する日付（生年月日、入院日など）
  • 過去、現在、将来にわたる身体的・精神的な健康状態に関する全データ

• HIPAA を遵守すべき組織の条件は何ですか？

  HIPAA コンプライアンスは、主に次の 2 グループに適用されます。

  • 対象事業体: 医療提供者、医療計画、医療事務処理会社が対象です。 たとえば、医師、診療所、病院、歯科医、医療保険会社などが該当します。
  • 外部委託先: 対象事業体の代理で PHI の取り扱いや開示などのサービスを行うサードパーティ組織が対象です。 これには、請求書発行会社、データストレージプロバイダー、IT サービスなどが該当します。

  組織または個人が上記のいずれかのカテゴリに該当し、PHI を取り扱う場合、HIPAA 規則の遵守が義務付けられます。