[米国] 医療サービス (HIPAA) コンプライアンスレポート

HIPAA のセキュリティおよびプライバシー規制について

医療保険の相互運用性と説明責任に関する法律 (HIPAA) は、1996年に制定された米国の連邦法です。個人の健康情報のプライバシーとセキュリティを保護し、医療システムの効率を向上させることを目的としています。

HIPAA にはいくつかの主要な目的があります。

• プライバシー: 個人の健康情報 (PHI) の使用および開示方法を管理することで、患者の権利を保護します。
• セキュリティ: 電子保護対象健康情報 (ePHI) を不正アクセス、改ざん、または損失から保護するための基準を設定します。
• 相互運用性 (ポータビリティ): 個人が転職または失業した際に、健康保険の適用が維持されることを保証します。
• 管理の簡素化: 電子医療取引とコーディングを標準化し、効率を向上させコストを削減します。

HIPAA にはいくつかの主要な規則が含まれています。

• プライバシー規則 (2003年): 保護対象健康情報 (PHI) を定義し、その使用と開示に制限を設け、患者に自分の記録に対する権利を付与します。
• セキュリティ規則 (2005年): 電子 PHI (ePHI) を保護するために、管理的、物理的、および技術的な安全管理措置を義務付けています。これにはリスク評価とアクセス制御が含まれます。
• 侵害通知規則 (2009年): データ侵害が発生した場合に、影響を受ける個人、保健福祉省 (HHS)、および場合によってはメディアへの通知を義務付けています。
• 施行規則: コンプライアンス違反に対する調査プロセスと罰則を概説しています。これには多額の罰金や刑事告発が含まれる可能性があります。

HIPAA は1996年8月21日に制定されました。主なコンプライアンス期限は以下の通りです。

• プライバシー規定: 2003年4月14日
• セキュリティ規定: 2005年4月21日
• 侵害通知規則: 2009年9月23日

対象事業者

以下の組織は通常、HIPAA に準拠する必要があります。

• 健康保険プラン、医療提供者、および医療クリアリングハウス。
• PHI を取り扱うビジネスアソシエイト（ベンダーや請負業者など。例：クラウドプロバイダーや請求サービス）。

AppScan Enterprise HIPAA コンプライアンスレポート

AppScan Enterprise の HIPAA コンプライアンスレポートは、HIPAA セキュリティ規則への全体的なコンプライアンスに影響を与える可能性のある Web 環境内の潜在的な問題を自動的に特定します。また、このレポートは、 HIPAA セキュリティ規則の実装に関する NIST リソースガイドに概説されている関連アクティビティも参照しています。

レポートの用語

対処可能な問題 (Addressable Issue)

本レポートに表示される場合、対象事業者が以下を行う必要があることを意味します。

1. 各実装仕様が、組織の電子保護対象健康情報の保護への貢献度を参照して分析された際に、 その環境において合理的かつ適切な安全管理措置であるかどうかを評価すること。および、
2. 組織に適用される場合、以下を行うこと。
   1. 合理的かつ適切な場合、その実装仕様を実装する。または、
   2. その実装仕様の実装が合理的かつ適切でない場合、以下を行う。
      1. その実装仕様を実装することが合理的かつ適切でない理由を文書化する。かつ、
      2. 合理的かつ適切な場合、同等の代替措置を実装する。

可能性のある問題 (Possible Issue)

本レポートに表示される場合、検出された結果が、必須の実装仕様が満たされていないことを示唆している可能性があることを意味します。

HIPAA コンプライアンスレポートの脆弱性

以下の表は、評価される特定の HIPAA セキュリティ規則の要件を示しています。アプリケーションで見つかった脆弱性は、これらのセクションにマッピングされます。