HIPAAの技術的要件

テクノロジーが進化し続ける中、患者情報の保護はますます重要になっています。1996年に制定された医療保険の携帯性と責任に関する法（HIPAA）は、患者の個人医療情報へのアクセス、取扱い、電子的保存に関する手続きを定めています。本法の技術的保護策は、アクセス制御、監査制御、完全性制御、送信セキュリティの4つに分類されます。

アクセス制御

• HIPAAは、認可されたユーザーのみが患者の個人医療情報にアクセスできるよう、電子的なアクセス制御を定めています。アクセス制御に関する4つの実装仕様は以下の通りです。
• 各ユーザーに固有の識別子（ユーザーID）を付与し、操作の責任追跡と可視化を実現します。
• 緊急時に患者情報へアクセスする手順を事前に文書化し、どのような状況で従業員がシステムにアクセスできるかを定めます。
• 一定時間操作がない場合に自動的にログオフする機能や、パスワード保護されたスクリーンセーバーを導入し、無許可のアクセスを防止します。
• 暗号化・復号化機能により、画面上のテキストを暗号化し、復号キーを持つ受信者のみが情報を閲覧できるようにします。

監査制御

• システム活動を記録・検査するための監査ログを設定し、セキュリティ違反の有無を確認できるようにします。

完全性制御

• HIPAAは、電子患者情報の完全性を保護することを目的としています。データの改ざんや不適切な破壊は患者安全に重大な影響を与えるため、ヒューマンエラーや媒体故障に起因するリスクを防止するポリシーと手順を定めています。

送信セキュリティ

• 電子メール、インターネット、社内イントラネットを介して送信される患者情報は、HIPAAの要件に従い機密性を保持しなければなりません。データの暗号化とアクセス制御により、安全な情報送信が確保されます。