ホームオフィスでの記録保管のためのHIPAA規制

1996年の健康保険携帯性および説明責任法（HIPAA）は、米国保健福祉省の下で公民権局（OCR）によって施行されています。大企業と同様に、内務省の記録は、セキュリティルールの下で特定の基準に従って、情報が機密に保たれ、管理、物理、または技術的な保護者によって分類されるようにすることができます。

1. 管理セーフガード

   • OCRのセキュリティルールは、管理セーフガードを「管理

     」と定義しています

     電子的（または書面による）保護された健康情報（PHI）を保護するためのセキュリティ対策の選択、開発、実装、および保守を管理するためのアクション、およびポリシーと手順（PHI）。」PHIの不正使用の違反を防止および修正するには、セキュリティポリシーを開発および監視するために指定された人を監視するためのポリシーと正しい違反が必要です。配偶者または子供は、アクセスできません。

   物理的な保護手段

   • OCRのセキュリティルールは、物理的な保護手段を「自然および環境の危険、および不正な侵入から、対象のエンティティの電子情報システムおよび関連する建物および機器を保護するための物理的措置、ポリシー、および手順」と定義しています。 PHIが保存されている施設へのアクセスを制限するには、ポリシーと手順が必要です。ドアロック、ロックされたファイリングキャビネット、およびパスワードで保護されたレコードへの電子アクセスは、制限された物理的アクセスの例です。ラップトップやデスクトップコンピューターなどのワークステーションには、特定の機能が必要です。ワークステーションの不正使用は、ウイルス攻撃または機密資料の違反を通じてPHIの妥協につながる可能性があります。別の物理的保護は、電子デバイスのPHIがホームオフィスからどのように破壊または削除されるかを判断するためのポリシーを必要とします。

   技術的な保護策

   • OCRのセキュリティルールは、技術的な保護手段を「電子保護された健康情報とそれへの制御アクセスを保護する使用のための技術とポリシーと手順」と定義しています。技術的な保護は、ワークステーションでログイン要件を設定することにより、誰が情報にアクセスできるかを規制することにより達成されます。ワークステーションでPHIを表示する人を監視するソフトウェアも必要です。