HIPAAに基づく機能ネットワークシステムの要件

HIPAAのセキュリティ規則は、患者情報を電子的に送信する医療提供者、保険プラン、クリアリングハウス、メディケア処方薬カードスポンサーに適用されます。EPHI（Electronic Protected Health Information、電子保護医療情報）の機密性、可用性、完全性を確保することが求められます。

一般規則

「Security Standards: General Rules」では、EPHIを作成・受信・送信するネットワークシステムは、機密性、完全性、可用性を保証し、予測される脅威や危険から保護するとともに、プライバシー規則で許可されていない使用や開示を防止することが義務付けられています。

管理的、物理的、技術的保護策

管理的保護策

管理的保護策は、EPHIを保護するためのセキュリティ対策の選定・開発・実装・維持に関する方針・手順・行動を定め、組織の従業員の業務遂行を管理することを要求します。

物理的保護策

物理的保護策は、施設・機器を自然災害や環境リスクから守り、EPHIが保存されている場所や設備の安全を確保するための方針・手順です。

技術的保護策

技術的保護策は、EPHIへのアクセス制御や不正侵入からの防御を実現する技術と、その利用に関する方針・手順を指します。

組織的・文書化要件

セキュリティ規則は、標準・実装仕様・その他要件への適合を示す方針・手順の文書化を義務付けています。

組織的要件としては、ビジネス・アソシエイト契約やその他の取り決めの基準設定、全従業員が規則を認識していることを示すプロセスの文書化が必要です。政府機関同士のビジネス・アソシエイト間や団体健康保険プランに関する覚書も、従業員の承認を含めて記録します。

書面（電子形式可）での方針、手順、実施活動、評価結果などの記録を保持し、保存期間・利用可能性・更新要件を満たすことが求められます。