01
プライバシー規則
PHI の利用と開示を規定します。必要最小限のアクセス、患者のアクセス権、開示の記録が対象です。
HIPAA が重要な理由
-
PHI に触れれば HIPAA の対象
貴社のソフトウェアが PHI を保存・送信・処理する場合、貴社はビジネスアソシエイトとなり、セキュリティ規則が適用されます。
-
BAA の欠如は違反になる
再委託先とビジネスアソシエイト契約を締結していないこと自体が、侵害の有無にかかわらず違反です。
-
制裁金はカテゴリごとに最大 190 万ドル
HHS OCR は 2023 年に 200 件を超える執行案件を処理しました。制裁金は違反カテゴリごとに年間最大 190 万ドルに達します。
3 セーフガードの区分 管理的・物理的・技術的
HIPAA コンプライアンスのタイムライン
顧客事例：2 週間で準備が整い、その後 4 週間の独立した評価を実施。HIPAA には政府による公式の認証制度はありません。
ステップ 01
キックオフと連携
クラウド、コードリポジトリ、ID 管理システムを連携し、チームのオンボーディングを行います。
ステップ 02
準備フェーズ
テンプレートのポリシー、HIPAA のコントロールに紐づく自動エビデンス、ギャップの是正。
ステップ 03
独立した評価
独立した評価者とエビデンスを共有し、指摘事項にプラットフォーム上で対応します。
ステップ 04
HIPAA の継続運用
システムやベンダーの変化に合わせて、セーフガード、BAA、リスク評価、エビデンスを維持します。
HIPAA 要件のカバー範囲
02
セキュリティ規則（ePHI）
ePHI に対する管理的・物理的・技術的セーフガード。いずれも文書化されたリスク分析が前提です。
03
侵害通知規則
発見から 60 日以内に影響を受けた個人へ通知します。1 つの州で 500 人以上の住民に影響する侵害では、報道機関への通知が必要です。
04
管理的セーフガード
リスク管理、セキュリティ責任者、従業員教育、アクセス管理、緊急時対応計画。必須の基準は 8 つです。
05
ビジネスアソシエイト契約
貴社に代わって PHI を作成・受領・保持・送信するベンダーは、すべてビジネスアソシエイトに該当します。
HIPAA に pTrackly が選ばれる理由
期限通知付きの BAA 台帳
期限切れ、未締結、未署名の BAA をベンダーと契約日ごとに検知。署名済みの写しをタイムスタンプ付きで保管します。
セキュリティ規則のリスク分析をあらかじめ用意
実際のコントロールのギャップから、資産台帳、脅威、発生可能性と影響度の評価、リスク管理計画を作成します。
タイムラインを記録する侵害対応
封じ込め、通知範囲の判断、HHS への報告までをガイド付きワークフローで進め、すべての手順にタイムスタンプを残します。
実際の連携による PHI フローのマッピング
Epic、Athenahealth、AWS GovCloud、Azure と連携。アクセスログ、暗号化の状態、監査コントロールがそのままエビデンスになります。