HIPAA監査ログ: コンプライアンスの要件とは？

HIPAAの監査ログ要件は難しくなく、企業の全体的なセキュリティ体制を強化するのに役立ちます。

HIPAAの監査ログとは何ですか？HIPAAの監査ログは、ネットワークにアクセスした人物、時間、行った操作、閲覧した文書やデータを記録し、活動のログを作成するものです。監査ログはHIPAAコンプライアンスの要件です。

監査ログの目的は何ですか？

ITシステムは毎日数千の個別イベントを処理します：セキュリティインシデントイベント、ユーザーアクセスイベント、設定調整イベントなど。これらのイベントを監査ログとして記録し理解することは、管理者やセキュリティ専門家にとって重要です。なぜなら、いつどのように事が起こり、問題が発生したかを示すからです。これらはセキュリティリスク管理の重要な要素です。

これらのイベントの記録を有用な方法で維持するために、安全なシステムは、HIPAA違反の場合のコンプライアンス報告やフォレンジクスに使用できる証拠のログを提供する監査ログを保持します。

HIPAAの監査ログ要件とは何ですか？

医療保険の相互運用性と説明責任に関する法律（HIPAA）は、患者の保護された健康情報（PHI）のプライバシーとセキュリティを保護することを目的とした重要な法律です。HIPAAに準拠するためには、医療機関とそのビジネスパートナーは、監査ログの実装を含む特定の要件を遵守しなければなりません。これらの監査ログは、電子PHI（ePHI）の活動を監視および記録し、不正アクセスや潜在的なセキュリティ侵害を検出するメカニズムとして機能します。

HIPAAの監査ログ要件は、医療機関とそのパートナーがePHIに関連するすべての活動の包括的なログを維持することを義務付けています。これには、アクセス、変更、削除、データの移動の追跡が含まれます。監査ログは、行動を行った個人または団体を特定するのに十分な情報をキャプチャし、活動の日付と時間、影響を受けた特定のデータを記録しなければなりません。この情報は安全に保存され、改ざん防止され、セキュリティインシデントや調査の際にレビューできるようにその整合性と可用性を確保する必要があります。さらに、医療機関は、ePHIのセキュリティとプライバシーに対する潜在的なリスクを特定し対処するために、定期的に監査ログデータをレビューおよび分析する必要があります。適切な監査ログシステムを維持し、そのデータを定期的に評価することで、組織はHIPAAコンプライアンス要件を満たし、全体的なサイバーセキュリティ体制を改善し、潜在的な脅威から機密性の高い患者情報を保護することができます。

監査ログの用途

監査ログの一般的な用途には以下が含まれます：

• コンプライアンスのための監査ログ： ほとんどのセキュリティ規制（HIPAAを含む）は監査ログを要求します。これらのログは、組織がデータ侵害を調査し、監査中にコンプライアンスの証拠を提供できることを保証する二重の目的を果たします。
• フォレンジクスのための監査ログ： データ侵害が発生した場合、組織は問題を軽減し、セキュリティ問題を解決するために迅速に理解する必要があります。このプロセスは、信頼できる監査ログがなければ、大規模なITインフラストラクチャでは不可能です。
• 災害復旧のための監査ログ： セキュリティに関係のない問題が発生し、データ損失やシステムの相互運用性が失われた場合、企業は迅速に復旧する必要があります。自動化された手動の復旧作業は、問題を理解し解決し、将来的に回避するために監査ログに依存します。

監査ログの特徴

現代の企業インフラストラクチャに適した監査ログシステムには、少なくとも以下の特徴のいくつかが含まれていることが一般的です：

• 自動化： ログはイベントが発生した際にシステムに自動的に登録される必要があります。これには、システムへのログイン試行、特定のリソースへのアクセスの監視、ファイル、フォルダ、データベースの変更の追跡が含まれます。さらに、管理者は、システム監査を迅速なワークフローで効率的に行えるようにする必要があります。
• 不変性： 監査ログが信頼できない場合、その価値はほとんどありません。監査ログに関連するハッキングやデータの破損は、証拠の連鎖を無価値にする可能性があります。自然な監査ログシステムには、記録が正確で、手つかずで、信頼できることを保証する方法が含まれている必要があります。
• 堅牢な情報： 監査ログは、追跡したい情報のほとんどを追跡できますが、いくつかの情報は他の情報よりも価値があります。完全な監査ログシステムは、イベントに関する重要な情報を保存する必要があります。これには、データとタイムスタンプ、イベントの説明、影響を受けたシステム、およびエラーや警告が含まれます。

サイバーセキュリティとITの監査ログは、必ずしも財務監査ログと同じではありませんが、しばしば重複します。

HIPAA法と監査ログ

HIPAA規制は、すべての電子保護健康情報（PHI）とそれを含むシステムに対する特定のHIPAAセキュリティ要件を定義し、システム活動のログを維持することを求めています。

プライバシーとセキュリティルールは、すべての医療提供者と保険会社（対象団体）およびそのビジネスパートナー（ビジネスアソシエイト）が、患者情報の機密性、整合性、可用性に対する物理的、技術的、管理的なコントロールを維持することを指定しています。これには、そのデータへのアクセスと処理に関する重要な監査ログの維持が含まれます。

HIPAA規制に従い、準拠したシステムには以下の種類の監査ログが含まれます：

• アプリケーション監査ログ： 監査ログは、ワークステーションやクラウドアプリケーションを含むアプリケーションを使用する人々のユーザー活動を監視する必要があります。これらのログは、ファイルがどのように開かれ、閉じられ、作成され、編集され、削除されるかを監視します。
• システムレベルの監査ログ： システム監査ログは、システム全体のイベントを記録します。これには、システムのシャットダウンや再起動、ユーザー認証と承認、特定のユーザーによるリソースアクセスが含まれます。
• ユーザー監査ログ： これらの監査ログは、システムレベルのログと似ているかもしれませんが、PHIへのアクセスやそのユーザーによって実行されたシステムコマンドを含む、ユーザー活動に特に焦点を当てています。

HIPAA監査ログ要件

これらの要件に従い、CEまたはBAは次のイベントを監査ログを通じて追跡する必要があります：

• ユーザーログイン試行、成功または失敗
• PHIを保存するデータベースの変更
• システム内のユーザーの権限と役割の追加、削除、変更
• ユーザーによるファイル、データベース、ディレクトリへのアクセス
• システムのセキュリティ境界内外への接続試行を追跡するファイアウォールログ
• アンチマルウェアソフトウェアのログ
• 紙の記録へのアクセス

さらに、HIPAA規制が非常に広範で優先されているため、米国国立標準技術研究所（NIST）は、HIPAAセキュリティ要件を満たす方法を示す文書である特別出版物800-66を発表しました。この出版物には、監査ログを実装する方法について考えるためのガイドラインが含まれており、監査ログを実装するための質問が含まれています。

これらの質問には以下が含まれます：

• ITシステム内のePHIはどこにあり、どこが脆弱ですか？
• ePHIを脆弱にする活動、アプリケーション、プロセスには何がありますか？内部または外部の利害関係者がアクセスできる場所を含みます。
• ePHIとの特定または潜在的な相互作用を監視する必要があるITシステム内外の活動には何がありますか？
• ログはどのようにレビューされますか？誰が、どのスケジュールで、どのメカニズムを通じて行いますか？
• 報告はどのように機能し、誰が報告を処理し、どのように処理されますか？
• 疑わしい活動、確認された侵害、セキュリティ調査はどのように運営され、既存のログをどのように活用しますか？
• システム管理者は、HIPAA基準内でこれらのログの整合性をどのように保護できますか？

HIPAA監査ログの提案の完全な概要は、NIST SP 800-66に記載されています。

このような質問をレビューすると、監査ログがいくつかの実践、メディア、プロセスをカバーしていることが明らかになります。たとえば、従業員がタブレットをチェックアウトする場合、紙のサインアウトシートを完了し、デバイスにログインすることがあります。これらはどちらも調達の記録を提供します（1つは日付と時間を含む比較的正確な紙の記録であり、もう1つはデジタルユーザーイベントです）。

HIPAA監査ログの共通要素

HIPAA監査ログを効果的に理解し実装するためには、これらのログを構成する共通要素に精通することが重要です。以下の表は、HIPAA監査ログに通常含まれる主要な要素を示しています。これらの要素をよりよく理解することで、医療機関とそのビジネスパートナーは、ユーザーの行動、リソースアクセス、PHIの全体的なセキュリティについて貴重な知見を得ることができます。この表は、HIPAA規制に準拠するために監査ログに含めるべき重要な詳細を明らかにする参考ガイドとして機能します。

これらの要素を監査ログの実践に取り入れることで、組織はHIPAAコンプライアンスの取り組みを強化し、機密性の高い患者情報のセキュリティを強化することができます。

クラウドサービスプロバイダーに対するHIPAA監査ログ要件

HIPAAには、クラウドサービスプロバイダーと監査ログの使用に適用される特定の要件があります。これらは再び、HIPAAコンプライアンスの重要な要素です。

PHIを保存または共有するためにクラウドソリューションを使用する場合、対象団体とそのビジネスパートナーは、クラウドサービスプロバイダーがHIPAAに従って適切な措置を講じていることを確認する必要があります。クラウドサービスプロバイダーに関する監査ログの重要な考慮事項は以下の通りです：

1. アクセス制御： クラウドサービスプロバイダーは、電子保護健康情報（ePHI）へのアクセスを追跡および監視するために監査ログを維持する必要があります。これには、ログイン、ログアウト、ePHIに対する変更などのユーザー活動の記録が含まれます。
2. タイムスタンプ： 監査ログには、イベントが発生した時を示す正確なタイムスタンプを含める必要があります。これらのタイムスタンプは、監査トレイルを確立し、必要に応じてイベントを再構築するのに役立ちます。
3. ユーザー識別： 監査ログは、特定の行動を個々のユーザーに関連付けるための一意のユーザー識別情報をキャプチャする必要があります。これにより、不正アクセスや活動の追跡が可能になります。
4. 整合性： 監査ログは、不正な変更や削除から保護されなければなりません。改ざん防止され、ログの変更や改ざんの試みが検出可能であることを保証する必要があります。
5. 保持と可用性： HIPAAは、監査ログを指定された期間（少なくとも6年間）保持することを要求しています。クラウドサービスプロバイダーは、監査ログが安全に保存され、必要に応じてレビューできるようにする必要があります。
6. レビューと分析： 対象団体とビジネスパートナーは、潜在的なセキュリティインシデントや侵害を特定するために、定期的に監査ログをレビューおよび分析する必要があります。これにより、不正アクセスや活動を迅速に検出し対応することができます。

具体的な実装の詳細や要件は、クラウドサービスプロバイダーや利用されるサービスによって異なる場合があります。対象団体とビジネスパートナーは、適切な契約を結び、選択したクラウドサービスプロバイダーが監査ログと全体的なデータセキュリティに関するすべてのHIPAA規制に準拠していることを確認するために、適切なデューデリジェンスを行う必要があります。

HIPAAログ保持要件

監査ログがHIPAAの文書保持に関する6年ルールに該当するかどうかについては議論があります。一方で、PHIを扱うITシステムの監査ログは、監査ログ保持の明確な候補のように見えます。他方で、監査ログは必ずしもPHIを含んでいるわけではありません。必須の保持を要求することは、ビジネスの秘密を意図せずに露出させたり、組織に過度の負担をかけたりする可能性があります。

HIPAAルールと保健福祉省（HHS）は、どの情報がログされるべきか、したがって6年間保持されるべきかを100%指定していません。多くの専門家が与える短い答えは、リスク分析といくつかのログが保持され、他のログが保持されない理由の明確な正当化が与えられれば、HHSはコンプライアンス要件に対する支持的な判断を下すことができるということです。

それにもかかわらず、ログを保持し、不正アクセスから保護し、エンティティの指定されたプライバシーオフィサーまたはセキュリティ担当者によるレビューのために利用可能にすることはベストプラクティスです。保持期間はログが作成された日から始まり、対象団体が廃業したり、他の団体に買収された場合でも、できれば6年間続きます。保持要件を遵守することは、潜在的なHIPAA違反を回避し、患者のPHIのプライバシーとセキュリティを維持するために重要です。

HIPAA監査ログ要件の不遵守の結果

HIPAA監査ログ要件を遵守しない場合、以下の結果が生じる可能性があります：

1. 罰金と罰則： HIPAA監査ログ要件の不遵守は、HIPAA規制を施行する市民権オフィス（OCR）によって課される罰金と罰則につながる可能性があります。罰金は、違反の重大性と故意性に応じて、1件あたり100ドルから50,000ドルまでの範囲で発生する可能性があります。場合によっては、組織が複数の違反に直面し、かなりの財政的罰則につながる可能性があります。
2. 法的責任： 不遵守は、影響を受けた個人または団体からの潜在的な訴訟を含む法的責任を組織に露出させる可能性があります。患者データが不十分な監査ログコントロールのために侵害されたり、誤用された場合、組織は結果として生じる損害やプライバシー侵害に対して責任を負う可能性があります。法的措置は、重大な財政的損害と評判の損失をもたらす可能性があります。
3. 信頼と評判の喪失： HIPAA監査ログ要件を遵守しないことは、組織の評判を損ない、患者、パートナー、利害関係者の間での信頼を失わせる可能性があります。患者のプライバシーとセキュリティの侵害は、否定的な報道、顧客の喪失、医療業界内での地位の低下につながる可能性があります。
4. 監査と調査の増加： 不遵守は、OCRなどの規制機関からの監査、調査、またはコンプライアンスレビューを引き起こす可能性があります。これらの監査は、HIPAA規制全体のコンプライアンスを評価し、監査ログ要件を含む可能性があります。
5. 是正措置計画： 不遵守の場合、OCRは、欠陥を修正し、将来の違反を防ぐための是正措置計画を組織に要求する可能性があります。これらの計画には、追加のセキュリティ対策の実施、ポリシーと手順の改善、スタッフのトレーニングの実施、継続的なコンプライアンスの取り組みの証明が含まれることがよくあります。
6. 連邦プログラムからの除外： HIPAA監査ログ要件の不遵守は、メディケアやメディケイドなどの連邦医療プログラムへの参加からの除外につながる可能性があります。これらのプログラムからの除外は、医療提供者や組織にとって深刻な財政的影響をもたらす可能性があります。

対象団体とビジネスパートナーは、患者のプライバシーとセキュリティを保護し、これらの潜在的な結果を回避するために、HIPAA監査ログ要件を理解し遵守することが重要です。組織は、堅牢な監査ログシステムを確立し、定期的にログをレビューおよび分析し、HIPAA規制に準拠していることを示す文書を維持する必要があります。

HIPAA監査ログの収集と管理における一般的な課題

HIPAA監査ログが提示する主な課題の1つは、キャプチャおよび保存する必要があるデータの膨大な量です。組織がクラウドコンピューティングやモノのインターネット（IoT）を含むPHIを生成、処理、保存する技術をますます採用するにつれて、生成されるデータの量は急速に圧倒的になる可能性があります。

もう1つの課題は、監査ログが完全で正確であることを保証することです。データにギャップやエラーがあると、ログシステムの効果が損なわれ、セキュリティインシデントやその他の問題を特定するのが難しくなる可能性があります。さらに、ログがアクセス可能で安全であることを保証しながら、規制要件やデータ保護法に準拠することも課題です。最後に、監査ログを分析し解釈するための効果的な戦略を開発することは、データから意味のある洞察を抽出するために専門的なスキルとツールを必要とする複雑な作業です。

内部HIPAA監査チェックリストとは何ですか？

内部HIPAA監査チェックリストは、CEとBAが医療保険の相互運用性と説明責任に関する法律（HIPAA）に準拠していることを確認するために使用するツールです。これにより、これらの企業はHIPAAポリシーと手順を体系的にレビューおよび更新することができます。通常、チームメンバーのトレーニング、コンピュータシステム、データストレージ、物理的セキュリティをカバーするセクションが含まれています。

CEとBAは、内部HIPAA監査チェックリストを使用することで、保護された健康情報（PHI）のセキュリティとプライバシーを損なうエラーや脆弱性を検出することができます。これにより、HIPAA規制に対する偶発的な不遵守を回避し、財政的罰則、訴訟、企業の評判の損害を防ぐことができます。

KiteworksはHIPAA監査ログコンプライアンスをどのように支援しますか？

文書やファイルを処理するための集中プラットフォームを使用することで、包括的な監査ログを含む、コンプライアンスを維持するために必要なツールを統合し、HIPAAコンプライアンスをサポートできます。

Kiteworksプラットフォームは、HIPAAコンプライアンスのためのいくつかの重要な機能を統合しています：

• セキュリティとコンプライアンス： Kiteworksは、データの保存時にAES-256暗号化を使用し、データの転送時にTLS 1.2+を使用します。その強化された仮想アプライアンス、詳細なコントロール、認証、その他のセキュリティスタック統合、包括的なログと監査報告により、組織はセキュリティ基準へのコンプライアンスを容易かつ迅速に示すことができます。HIPAA、支払いカード業界データセキュリティ基準（PCI DSS）、SOC 2、一般データ保護規則（GDPR）などの業界および政府の規制と基準に対する即時のコンプライアンス報告を備えています。

さらに、Kiteworksは、連邦リスク承認管理プログラム（FedRAMP）、米国連邦情報処理規格（FIPS）、連邦情報セキュリティマネジメント法（FISMA）、サイバーセキュリティ成熟度モデル認証（CMMC）、情報セキュリティ登録評価者プログラム（IRAP）など、さまざまな基準に対する認証とコンプライアンスを誇っています。

• 監査ログ： Kiteworksプラットフォームの不変の監査ログにより、組織は攻撃が早期に検出され、フォレンジクスを実行するための正しい証拠の連鎖を維持することができます。システムがすべてのコンポーネントからのエントリを統合し標準化するため、その統一されたSyslogとアラートは、セキュリティオペレーションセンターチームの貴重な時間を節約し、コンプライアンスチームが監査の準備をするのに役立ちます。
• SIEM統合： Kiteworksは、IBM QRadar、ArcSight、FireEye Helix、LogRhythmなどの主要なSIEMソリューションとの統合をサポートしています。また、Splunk Forwarderを備えており、Splunk Appを含んでいます。
• 可視性と管理： KiteworksのCISOダッシュボードは、組織に情報の概要を提供します：どこにあるのか、誰がアクセスしているのか、どのように使用されているのか、データの送信、共有、転送が規制や基準に準拠しているかどうか。CISOダッシュボードは、ビジネスリーダーが情報に基づいた意思決定を行うことを可能にし、コンプライアンスの詳細なビューを提供します。
• シングルテナントクラウド環境： ファイル転送、ファイルストレージ、ユーザーアクセスは、オンプレミス、組織のInfrastructure-as-a-Service（IaaS）リソース上に展開された専用のKiteworksインスタンス、またはKiteworks Cloudサーバーによってクラウドでホストされるプライベートシングルテナントインスタンスで発生します。これにより、共有ランタイム、共有データベースまたはリポジトリ、共有リソース、またはクロスクラウドの侵害や攻撃の可能性はありません。

KiteworksがカスタムHTML監査ログをどのように可能にするかについて詳しく知るには、Kiteworksのカスタムデモを今すぐスケジュールしてください。