在宅オフィスにおけるHIPAA規制と記録保管
1996年に制定された米国の健康保険携帯性・責任法（HIPAA）は、米国保健福祉省の民権局（OCR）が施行しています。大企業と同様に、在宅オフィスでの記録保管も、HIPAAのセキュリティ規則に基づく管理的・物理的・技術的な保護策を遵守しなければなりません。
管理的保護策（Administrative Safeguards）
- OCRは、管理的保護策を「電子（または紙）で保護された健康情報（PHI）を保護するための選択、開発、実装、維持に関する管理上の行動、方針、手順」と定義しています。
- PHIの不正利用を防止・是正するためのポリシーと手順を策定し、定期的に見直すことが求められます。
- セキュリティポリシーの策定・監視を担当する専任者を指名する必要があります。
- PHIへのアクセスは、業務上必要な者に限定し、配偶者や子どもなど不要な者はアクセスできないようにします。
物理的保護策（Physical Safeguards）
- 物理的保護策は「自然災害や環境リスク、無断侵入から電子情報システムと設備を守るための物理的措置、方針、手順」と定義されます。
- PHIが保管されている部屋や作業エリアへの立ち入りを制限するため、ドアロック、施錠式書類キャビネット、パスワード保護された電子アクセスなどを導入します。
- ラップトップやデスクトップなどの作業端末は、ウイルス感染や情報漏洩を防ぐために適切な設定と管理が必要です。
- 使用済みの電子デバイスからPHIを安全に削除・破棄する手順も定めます。
技術的保護策（Technical Safeguards）
- 技術的保護策は「電子PHIを保護し、アクセスを管理するための技術、方針、手順」と定義されます。
- 作業端末へのログイン要件（パスワードや二要素認証）を設定し、誰がPHIにアクセスできるかを厳格に管理します。
- PHIの閲覧・操作履歴を監視・記録するソフトウェアを導入し、不正アクセスの検知と対応を可能にします。