PHI（保護された健康情報）を安全に保存・破棄するための対策は？

概要

保護された健康情報（PHI）のプライバシーとセキュリティを守るため、HIPAA（医療保険の携行性と責任に関する法律）に基づき、物理的、技術的、管理的な保護策が実施されています。

物理的保護策

1. アクセス制御

PHIへの不正アクセスを防止するため、権限のない者の入場や閲覧を制限します。

2. 施設のセキュリティ

PHIが保管・処理される場所への不正侵入を防ぐための施錠、監視カメラ、入退室管理システムなどを導入します。

3. デバイス・ワークステーションの保護

PC、ノートブック、モバイル機器など、PHIを扱う端末に対してロック画面や暗号化、紛失時のリモートワイプなどのポリシーを設定します。

技術的保護策

1. データ暗号化

PHIを保存時（静止）および転送時（通信）に暗号化し、権限のない者が内容を読み取れないようにします。

2. アクセス制御システム

ユーザーの役割や権限に基づき、システムへのアクセスや操作を細かく管理します。

3. 監査ログ

PHIへのアクセスや使用状況を記録し、定期的に監査できるようにします。

管理的保護策

1. セキュリティポリシーと手順

PHIの取り扱いに関する包括的な方針と手順を策定し、文書化・維持します。

2. 従業員教育

HIPAAのプライバシー・セキュリティ要件、役割と責任、ベストプラクティスについて定期的に研修を行います。

3. リスク分析

定期的にリスクアセスメントを実施し、脆弱性を特定し、対策を講じます。

4. インシデント対応

セキュリティインシデントやデータ漏洩が発生した際の対応手順を整備し、迅速に対処できる体制を構築します。

ビジネスアソシエイト契約（BAA）

PHIを取り扱う外部事業者は、カバードエンティティ（医療機関等）とBAAを締結し、セキュリティとプライバシーに関する義務を明確にします。

監査・コンプライアンスモニタリング

HIPAA遵守状況を確認するため、定期的な監査とモニタリングを実施し、必要に応じて是正措置を取ります。

匿名化（De‑identification）

PHIを第三者に提供する場合、個人を特定できる情報を除去またはマスクする匿名化手法を適用し、プライバシーを保護します。

まとめ

上記の物理的・技術的・管理的対策を総合的に実施することで、カバードエンティティやビジネスアソシエイトはPHIを不正アクセスや漏洩から守り、HIPAAの要件を満たすことができます。