マネージドファイル転送とHIPAA準拠ソリューション

医療施設は、マネージドファイル転送ソフトウェアがHIPAAコンプライアンスに準拠している必要がありますが、準拠したソリューションを見つけるのは簡単ではありません。

ファイル転送は、その性質上、HIPAAに準拠しているのでしょうか？いいえ、基本的なファイル転送はHIPAAに準拠していません。HIPAAコンプライアンスには、保護対象保健情報（PHI）が盗まれないようにデータを保護することが強調されており、HIPAA準拠のソリューションには、基本的なファイル転送プログラムよりも多くのセキュリティ要件が含まれます。

HIPAAとHITECH規制とは何ですか？

医療保険の相互運用性と説明責任に関する法律（HIPAA）は、1996年に敏感な患者情報を扱う医療提供者に対する規制コンプライアンスを提供するために制定されました。この法律は、これらの規制の管轄下にある2つの異なるタイプの組織を定義しました：

• 対象事業者（CEs）は、プライマリケア医、医師のオフィス、病院、保険会社、または患者情報を直接管理および処理する主要な組織です。

• ビジネスアソシエイト（BAs）は、患者情報に接触する製品やサービスを提供する第三者企業やベンダーで構成されます。例えば、病院のオフィスでのクレジットカード端末のための決済処理業者などです。

規制の実施は、医療情報システムの近代化とネットワーク通信の使用により、年々変化してきました。これらの規制の進化は、2009年に医療情報技術経済臨床健康法（HITECH法）が導入され、医療分野でのデジタルおよびネットワーク化された記録保持と通信の採用を促進したことで加速しました。

医療で使用される技術の種類は変わりましたが、HIPAAの基本的な規制は比較的そのままであり、3つの主要なルールに整理されています：

1. データプライバシールール：このデータプライバシールールは、規制の下で患者情報を保護するための医療提供者の責任を概説しています。すべてのPHIは、無許可の開示の脅威なしに保護され、プライベートでなければなりません。これらのルールには非常に少ない例外があり、他のPHIの開示は患者の明示的な同意が必要です。
2. セキュリティルール：データプライバシールールを実施するために、セキュリティルールはCEまたはBAがデータインフラストラクチャに実装しなければならない合理的なセキュリティとプライバシーコントロールを定義しています。これには、暗号化、ファイアウォール、アンチマルウェアソフトウェアのポリシー、ワークステーション、モバイルデバイス、データセンターの管理、その他のコントロールが含まれます。
3. 侵害通知ルール：PHIが侵害された侵害の場合、CEまたはBAは影響を受けた当事者に通知するための特定のHIPAAコンプライアンス要件を持ち、場合によっては、より広範な公衆に通知する必要があります。通知要件には、典型的な侵害に対するメールやウェブサイトの免責事項、より重大なものに対する地元ニュース放送へのPRリリースや関連政府当局への通知が含まれます。

他にもルールはありますが、規制の核心はこれらの3つのルールにあります。しかし、2013年のオムニバスルールと呼ばれる大規模な更新により、既存の規制を強化するための新しいガイドラインが導入され、現代のデジタルシステムに保存されたデータをより良く保護することができるようになりました。特に、オムニバスルールは、CEと協力するBAの規制の実施と管理の責任をより包括的に拡大しました。

オムニバスルールには、CEとBAが遵守しなければならない規制の詳細な内訳が含まれていますが、セキュアなファイル共有のような技術に対して組織が満たすべき基本的な実践もあります：

1. 適切な暗号化アルゴリズムの使用：デジタルデータとして保存されたPHIは、サーバーでの保存中およびファイル転送中に暗号化されなければなりません。これらのHIPAA暗号化基準は、暗号化がそれを破るための合理的な試みから保護できることを要求しており、実際には、データ保存にはAES-128またはAES-256、転送中のデータにはTLS 1.2+が適切な暗号化アルゴリズムとして含まれます。
2. 監査ログの実装：セキュリティの重要な部分は、アクセスとシステムイベントの監査ログを維持することです。これらのログは、システム全体でのコンプライアンスをサポートし、監査中にコンプライアンスの証拠を提供し、侵害の調査を法医学的証拠としてサポートします。
3. ビジネスアソシエイト契約（BAA）：CEがベンダー提供のファイル転送ソリューション（またはPHIに触れるサービス）を使用する場合、CEはそのベンダーとHIPAAの下でのビジネスアソシエイトとしての責任を概説するBAAを持っている必要があります。
4. 物理的および管理的保護：HIPAAの下では、CEまたはBAはPHIを含むシステムを物理的に保護する必要があり、データセンターやコンピュータ、ラップトップ、モバイルデバイスを保護することを意味します。また、これらの組織はこのデータを保護するためのポリシーを持ち、従業員を訓練し、リスクを管理する必要があります。これは、主要なCEとデータ駆動型サービスを提供するベンダーの両方に適用されます。

マネージドファイル転送とHIPAA

ここでは「ファイル転送」という用語を緩やかに使用していますが、医療環境での転送がどのように機能するかを具体的に説明することが重要です。

ファイルを共有する際には、すべてのHIPAAルールが適用されます。つまり、ファイルを共有するために使用される方法は、暗号化や監査ログなどの適切な保護を含まなければなりません。SFTPのようなバニラファイル転送ソリューションは、セキュアなファイル転送のための暗号化を提供しますが、HIPAA要件を満たすためには大幅な設定変更が必要です。このコンプライアンスの欠如は単なるセキュリティ問題ではありません。SFTP技術の核心は、HIPAAのログと報告の側面を処理するために構築されておらず、医療業界で働くほとんどの企業のエンタープライズ要求を満たすことができません。

マネージドファイル転送（MFT）は、基本的なファイル転送と共有の多くの問題を解決し、構成されたSFTPまたはFTPS（または他のHIPAA準拠のファイル共有技術）を統合し、HIPAA規制とビジネス要求の両方を満たす分析、報告、監査、その他の機能を提供します。

とはいえ、MFTには多くのバリエーションがあります。ほとんどのマネージドファイル転送ソフトウェアソリューションは、既存のエンタープライズファイル共有製品に組み込まれていますが、すべてのファイル共有ソリューションがMFTに必要なすべてを含んでいるわけではありません。

Kiteworksプラットフォーム：HIPAAコンプライアンスのための包括的なMFT

どの企業も、コンプライアンスのために機能や柔軟性を犠牲にすべきではありません。Kiteworksは、市場で最も包括的なセキュリティとコンプライアンス機能を提供し、HIPAAコンプライアンスを含むMFTを提供します。Kiteworksは、転送中の機密データとサーバー上の保存を暗号化し、包括的な監査トレイル報告を提供し、強力なセキュリティ保護を提供します。セキュリティ機能には、ジオフェンシング、高度な脅威対策、データ損失防止、継続的なデータ保護が含まれます。

主な機能には以下が含まれます：

• CISOダッシュボードは、データアクセス、ユーザーアクセス、データの傾向と動き、データ転送の制御を包括的に提供します。
• シームレスなMFTの自動化とスケジューリングは、オフタイムの転送や従業員や患者の活動によってトリガーされる操作を含む、強力なファイル共有と転送ポリシーを実現します。
• セキュアなメールリンクは、メールを介して患者との簡単でスムーズなコミュニケーションを維持しながらPHIを保護します。
• SIEM統合は、IBM QRadar、ArcSight、FireEye Helix、Splunk Forwarderなどの人気プラットフォームと統合し、組織にセキュリティリスクを一元的に管理するための単一のビューを提供します。また、統合により監査ログを単一のファイル形式に標準化し、広範なSIEM消費をサポートします。
• DLP統合は、転送中のすべてのデータをスキャンし、機密データや個人データが含まれているかどうかを判断します。
• 災害復旧は、ホットシステムとマルチサイトのデータ冗長性を備え、緊急時にシステムが稼働し続けることを保証します。
• シングルテナントクラウド環境は、他のユーザーへの脅威がKiteworksプラットフォームインスタンスに影響を及ぼさないことを保証します。
• アクセス制御のオーバーフローと接続は、不正アクセスから機密データを保護します。
• 準拠した暗号化には、保存データに対するAES-256と転送中のデータに対するTLS 1.2暗号化が含まれます。
• 大容量ファイル転送と保存は、最大16TBまでの制限があります。
• 詳細なワンクリックHIPAAレポートは、セキュリティとガバナンスポリシーのリスクを強調します。監査で使用して、DLPスキャナー統合、データアクセスポリシー、ドメインホワイトリスト、ファイルの有効期限管理などの文書化されたコントロールに基づいてコンプライアンスを迅速に示します。
• 追加の保護層は、ハードウェアセキュリティモジュール（HSM）またはAmazon Web Services Key Management Service（AWS KMS）との統合を使用して暗号化キーに対して提供されます。

PHIを扱う組織は、医療業界にいるかどうかに関わらず、HIPAAに準拠するために適切なガバナンスとセキュリティコントロールおよび追跡を確立する必要があります。Kiteworksプラットフォームの堅牢なMFTセキュリティとコンプライアンス機能について詳しく知りたい方は、カスタムデモを今すぐスケジュールしてください。