医療機関向けHIPAA準拠クラウドストレージ：信頼できるコンプライアンスソリューション

病院、クリニック、その他の医療機関は、過去数年間、クラウド導入への道のりで紆余曲折を経験してきました。パブリッククラウドの利用やサードパーティサービスプロバイダーとの連携に伴う暗黙のセキュリティリスクが、医療業界のクラウド導入を大幅に遅らせました。

現在でも、医療機関の84%がクラウドサービスを利用している中、適切なHIPAA準拠クラウドプロバイダーを選ぶことは頭の痛い問題です。

米国でクライアントデータを保存するすべての医療提供者は、HIPAAコンプライアンスとして知られる一連の規制の対象となります。

今日、機密患者データを取り扱うあらゆる組織は、HIPAAストレージ要件を遵守する必要があります。

HIPAAコンプライアンスとは

HIPAA基準は、医療データの保護を規定しています。医療機関と連携するベンダーや、医療ファイルを取り扱うビジネスは、HIPAAプライバシールールを遵守しなければなりません。医療データや患者データにアクセスする多くの関連業界も、ガイドラインの遵守が求められます。ここでHIPAA準拠クラウドストレージが重要な役割を果たします。

1996年、「米国保健福祉省（HHS）」は、1996年の医療保険の携帯性と責任に関する法律（HIPAA）の要件を実施するため、プライバシールールを公布しました。プライバシールールは、患者の「電子保護対象健康情報（ePHI）」と、プライバシールールの対象となる組織または「HIPAA対象事業体」がどのように準拠すべきかを定めています。

ほとんどの医療機関は、医療提供のために何らかの電子デバイスを使用しています。これは、情報がもはや紙のカルテではなく、コンピューターやクラウド上に存在することを意味します。一般企業や大多数の商業事業体とは異なり、医療機関は法的に、最も信頼性の高いデータバックアップ実践を採用することが義務付けられています。

これはクラウドプロバイダーの選択にどう影響するのでしょうか？

クラウドコンピューティングへの移行を計画する際、医療機関はベンダーが特定のセキュリティ基準を満たしていることを確認する必要があります。

これらの基準は、企業がHIPAA対応となるために満たし、維持しなければならない要件と閾値に変換されます。これらは、認証セット、SOC監査とレポーティング、暗号化レベル、物理セキュリティ機能に帰着します。

HIPAAクラウドストレージソリューションは、コンプライアンス達成をシンプルかつ明確にするよう機能すべきです。これにより、医療機関は心配事を1つ減らし、重要なプロセスの改善に集中できます。

医療機関向けHIPAA準拠クラウドストレージ：信頼できるコンプライアンスソリューション — 管理的・物理的・技術的セーフガードの3要素

HIPAAクラウドストレージとデータバックアップ要件

HIPAA-HITECH法のルール下で事業を展開する企業と取引するクラウドサービスプロバイダーは、ビジネスアソシエイトと見なされます。したがって、クラウドコンプライアンス基準内にあり、関連する基準に従っていることを示さなければなりません。ベンダーが直接患者情報を扱わないとしても、保護対象医療情報（PHI）を受信、管理、保存します。この事実だけで、HIPAA-HITECH法のガイドラインに従ってそれを保護する責任が生じます。

HIPAA準拠とは、法が提案するすべてのルールと規制を実装することを意味します。法の対象となるサービスを提供するベンダーは、準拠の証明として文書を提供しなければなりません。この文書は、クライアントだけでなく、市民権事務局（OCR）にも提出する必要があります。OCRは、米国教育省の下部機関で、医療と福祉サービスプログラムへの平等なアクセスを推進しています。

HIPAA準拠クラウドストレージプロバイダーと連携を検討している医療業界の組織は、自分たちを守るためにコンプライアンスの証明を要求すべきです。プロバイダーがすべての基準に従っていれば、適切な文書を共有することに躊躇はないはずです。

クラウドホスティング組織に対するHIPAA要件は、ビジネスアソシエイトに対する要件と同じです。これらは、管理的、物理的、技術的セーフガードの3つの明確なカテゴリーに分類されます。

管理的セーフガード： 運用の観点からビジネスがどのようにコンプライアンスを遵守するかを示す透明性のあるポリシーです。運用には、セキュリティリスクアセスメントの管理、適切な手順、災害と緊急時の対応、パスワード管理などが含まれます。
物理的セーフガード： 通常、顧客データを保護するために設置されているシステムです。データセンターでの適切な保存、データバックアップ、メディアの適切な廃棄などが含まれます。ハードウェアやソフトウェアストレージデバイスが設置されている施設における重要なセキュリティ予防措置もこのカテゴリーに含まれます。
技術的セーフガード： データリスクを最小化し、保護を最大化するために実装される技術的機能を指します。固有のログイン情報の要求、自動ログオフポリシー、PHIアクセスのための認証などが、導入すべき技術的セーフガードの一部です。

何がHIPAA認定クラウドプロバイダーをコンプライアンス対応にするか？

HIPAA準拠のファイルストレージハードウェアやソフトウェアを提供することは、スイッチを入れるほど簡単ではありません。企業がコンプライアンス対応になるには、膨大な時間と労力が必要です。

HIPAA認定クラウドストレージプロバイダーで見極めるべき重要な要素は、ビジネスアソシエイト契約（BAA）を締結する意思があるかどうかです。BAAと呼ばれるこの契約は、PHIの送信、処理、受信を計画する2当事者間で締結されます。その主な目的は、保護対象医療情報の誤用から生じる法的責任から両当事者を保護することです。

ビジネスアソシエイト契約（BAA）は、HIPAAの全体基準を追加、削除、矛盾させてはなりません。ただし、両当事者が合意すれば、特定の用語の補足は許容されます。また、法的に拘束力のある契約と見なされるために維持されなければならない、いくつかの核心条項がBAAの基礎を構成します。

クラウドプロバイダーが有効にする暗号化レベルには適切な注意が必要です。企業はファイルを転送中だけでなく、保存時（at rest）も暗号化すべきです。Advanced Encryption Standard（AES）は、ファイルストレージと共有に使用すべき最低限の暗号化レベルです。AESはData Encryption Standard（DES）の後継として、1997年に米国立標準技術研究所（NIST）によって開発された高度な暗号化アルゴリズムで、さまざまなセキュリティインシデントに対する防御力が向上しています。

コンプライアンス対応クラウドストレージベンダーの選定

HIPAA準拠プロバイダーを選ぶ際は、前節で概説した基準を満たすHIPAAウェブホスティングを探してください。PHIデータがどれほど安全になるか、データストレージセキュリティの実践について確実に質問してください。

候補ベンダーはサービスレベル契約（SLA）を提供していますか？

SLA契約は、通常24時間以内の脅威への保証応答時間を示します。PHIを送信する企業として、インシデント発生時にプロバイダーがどれだけ迅速に通知してくれるかを知る必要があります。侵害通知を早く受け取れば、より効率的に対応できます。

電子クラウドベース医療記録の保存が、セキュアなデータセンターで行われることを忘れないでください。

インシデント発生時のセキュリティ対策は？施設へのアクセスはどう決定される？物理セキュリティの実装と運用の詳細な概要を要求してください。データ侵害発生時の対応を確認してください。データをリスクにさらす前に、すべての関連詳細を入手してください。

選定したベンダーは、災害復旧と継続性計画も備えているべきです。

継続性計画は、自然災害、データ侵害、その他の予期せぬインシデントによる損失を予測し、それらが発生した場合の必要なプロセスと手順を提供します。データ消失防止のベストプラクティスの観点からも、提案手法がどの程度の頻度で厳格なテストを受けているかを判断することが重要です。

医療記録のセキュリティ - どうすれば確実か？

コンプライアンスを真剣に受け止めるクラウドプロバイダーは、認証が最新であることを保証します。基準と関連規制への準拠を確認する方法はいくつかあります。

1つは、独立したサードパーティを使って候補プロバイダーを監査することです。監査は潜在的リスクを明らかにし、ベンダーのセキュリティ戦術を暴きます。医療記録向けクラウドストレージプロバイダーは、脅威を防ぐためにシステムと環境を定期的に監査しなければなりません。「定期的」は法で定義されていないため、少なくとも四半期ごとの文書と情報の請求が不可欠です。最新の監査報告書と文書への常時アクセスも確保すべきです。

もう1つの方法は、従業員の資格を評価することです。すべてのスタッフは最新の基準について教育を受け、特定のセーフガードに精通している必要があります。これらが整って初めて、組織はコンプライアンスを達成できます。

候補ベンダーに厳しい質問を投げかけてください。PHIにアクセスするすべての人は、安全なデータ送信方法について適切なトレーニングを受ける必要があります。トレーニングには、データがどこに保存されていても、患者情報を安全に暗号化する能力が含まれるべきです。

HIPAA準拠企業は、あなたのデータにアクセスするためのバックドアや、アクセス管理プロトコルのバイパス許可を求めることはありません。こうしたベンダーは、追加の認証やアクセスポイントを要求するリスクを認識しています。認証プロトコルとパスワード要件の妥協は重大な違反であり、決して起こってはなりません。

クラウドバックアップ＆ストレージよくある質問

候補クラウドベンダーに、あなたのHIPAAコンプライアンスを評価するためにどの方法を使用するか質問してください。

HIPAAポリシーテンプレートは利用可能か？プロバイダーはコンプライアンスに関するガイダンスとフィードバックを提供するか？セキュリティルールと規制の最新情報をどう把握させているか？HIPAA準拠メールは提供しているか？

常駐のフルタイム従業員がいるか？

オンサイトでの常駐と24時間365日の対応は、高度なセキュリティを確保するメカニズムです。利用可能な担当者がいれば、PHIセキュリティがより信頼性高くなり、必要に応じた迅速な対応が保証されます。また、データ保護を担当する企業が必要な基準を徹底的に理解していることを知り、安心できます。

適切なプロバイダーは、変更に素早く適応し、あなたのPHIやアクセスに直接影響する事項を通知すべきです。

データ削除は、適切なHIPAAビジネスアソシエイトを選ぶ上で重要な要素です。情報がパージされるまでどの期間保持されるか？サーバーが廃棄または消去される際、データ漏洩をどう防ぐか？削除前にデータが提供されるか？法は必要な保持期間についてガイドラインを示していませんが、あなたとプロバイダーの間で合意すべき事項です。

あなたの知識に加え、候補プロバイダーがHIPAA規制にどれだけ精通しているかを判断してください。クラウド企業はしばしば最新の規制変更に追従できず、一貫した献身を持つ企業を探す必要があります。

複数のベンダーを比較検討してください。最初の見積もりで満足しないでください。

多くの企業がHIPAAセキュリティを謳いながら、実際には基準に達していません。調査し、質問し、自社のニーズに最も適したベンダーを決定してください。