HIPAAの要件と遵守ガイドライン

HIPAA（Health Insurance Portability and Accountability Act）は、1996年に制定された米国の法律で、電子的に保存された患者の健康情報を不正利用から保護するための指針を医療機関に提供します。主な指針は、システムへのアクセス管理、監査制御、データ認証、エンティティ認証です。

アクセス/認可管理

医療機関は、従業員がコンピュータシステムにアクセスできる手順や技術を策定・導入しなければなりません。アクセスは職務や役割に基づいて文書化された手順で管理されます。一般的な手段として、プライベートネットワーク（イントラネット）やファイアウォールによる不正アクセスの遮断があります。

監査制御

医療機関は、情報へのアクセス試行を記録する監査ログを作成できる技術を導入できます。たとえば、連続したログイン失敗などの異常を検知し、管理・ネットワークポリシー、ハードウェア・ソフトウェアを組み合わせて不正アクセスに対応します。

データ認証

暗号化技術を利用して、組織と取引先間のデータ送信を保護します。暗号化により、受信者以外は内容を読めません。臨床データや検査結果、患者への連絡にも活用されます。また、デジタル署名やウイルス対策ソフトを併用し、データの真正性とシステムの安全性を確保します。

エンティティ認証

HIPAAのセキュリティ規則では、全従業員に「固有のユーザーID」を付与し、端末の自動ログオフ機能を実装することが求められます。認証手段はパスワードや PIN から、指紋・虹彩認証、スマートカードなどの生体認証まで多様です。これにより、物理的な場所や端末、データへのアクセス権を持つ者のみが利用できるようになります。