HIPAAのロギング要件と実務ガイド

プロバイダーの柔軟性

HIPAA監査制御規則では「各組織はリスク分析に基づき、標準を自社のニーズに合わせて実装できる」と定められています。そのため、コンピュータのログイン・ログアウト手順などのITプロセスは、組織ごとに判断する余地があります。多数の医療機関や企業が連邦政府と協働して遵守しているため、業界全体で共通のベストプラクティスが徐々に形成されています。

一般的なイベント

情報システムのサーバーは、長期保存が可能な形でログデータを取得・記録できなければなりません。特に記録すべきイベントは、成功・失敗を問わないログイン試行、ログアウト、ユーザーアカウントの変更、権限レベルの変更、特権アカウントやユーティリティの使用、タイムアウト、連続失敗ログイン、あるユーザーがログアウトした直後に別ユーザーがログインしたケースなどです。

モニタリング活動

システム管理者は、ログ遵守を確保する特別な責任があります。複数回の失敗ログインやログイン攻撃といった疑わしいイベントは、必ず調査し対応すべきです。ユーザーには強力で複雑なパスワードを要求し、疑わしいイベントは管理層と共有してレビューします。また、システムやファイルの変更は、実施したユーザーと紐付けて追跡できるようにします。

一般的な管理

組織は、どのシステムがどの情報をログできるかを詳細に把握し、誰がどのシステムでどの作業を行ったかを正確に記録する必要があります。ログイン情報は、システム管理者や組織マネージャーに対して、全ユーザーの操作履歴を示す監査証跡として機能します。