HIPAA · 準備キット
ベトナムの HealthTech 企業向け HIPAA 準備
PHI の特定、BAA の締結から技術的安全管理措置の構築まで、ベトナムの HealthTech 企業向けの HIPAA 準備資料です。米国市場を目指す企業向けです。
pTrackly に相談する →1. PHI と Business Associate 該当性の確認
- □ PHI の 18 識別子：氏名、生年月日、住所、電話番号、メールアドレス、診療録番号など
- □ 確認：貴社は Covered Entity か Business Associate か
- □ データフローを可視化し、PHI が通過するシステムを把握
- □ BAA の締結が必要な Business Associate をすべて特定
2. Business Associate Agreement（BAA）
- □ PHI を保存している場合は AWS／GCP／Azure と BAA を締結
- □ PHI にアクセスするメールサービス、サポートツール、分析ツールとも BAA を締結
- □ BAA ひな形：利用制限、セキュリティ、侵害報告の条項を含めること
- □ 締結済みの BAA と有効期限をすべて管理
3. 技術的安全管理措置（Technical Safeguards）
- □ アクセス制御：一意のユーザー ID、自動ログオフ、暗号化
- □ 監査制御：PHI へのアクセスを記録（誰が・いつ・何を）
- □ 完全性：PHI が改ざん・破棄されていないことを確認
- □ 送信セキュリティ：転送中の PHI を暗号化（TLS 1.2 以上）
- □ PHI を保存するすべてのストレージで保存時暗号化
4. 管理的安全管理措置（Administrative Safeguards）
- □ プライバシー責任者とセキュリティ責任者を任命
- □ 全従業員に HIPAA 研修を義務付け
- □ 緊急時対応計画：バックアップ、災害復旧、緊急時アクセス
- □ 制裁方針：従業員の HIPAA 違反への対応
- □ リスク分析とリスク管理は必須
5. 侵害通知
- □ 基準：PHI の許可されない使用・開示は侵害とみなされる（3 要素テストを満たす場合を除く）
- □ 本人への通知：発見から 60 日以内
- □ HHS への通知：60 日以内（500 人超）または年次報告（500 人未満）
- □ 同一州で 500 人超の場合はメディアにも通知
pTrackly のテンプレートとエビデンスの自動収集で、HIPAA の導入を効率よく進められます。
無料デモを予約
コンプライアンスの知識を、実行されるタスクに
AI によるステップごとのガイド、エビデンスの自動収集、コントロールの最新状況をひとつのワークスペースで。
打ち合わせでは、対象フレームワーク、システムの範囲、そして pTrackly が現在の業務にどう組み込めるかを整理します。
独立した監査法人や認証機関に代わるものではありません。