HIPAA違反とは何か？最も一般的な違反例

医療業界はリスクが多く、特に患者のプライバシーを保護することに関しては注意が必要です。患者データへの不正アクセスは多様な形で発生します：好奇心旺盛な従業員、紛失または盗難されたデバイス、セキュリティが確保されていないコンピュータやサーバー、フィッシングメール、またはランサムウェア攻撃などです。これらの医療データ侵害は、アイデンティティの盗難や保険詐欺などを引き起こす可能性があります。

法律は、保護された健康情報（PHI）を保護し、最終的に患者のプライバシーを確保するための一つの解決策です。患者データが安全かつ機密であることを保証することで、医療業界は患者とその個人情報が誤用、悪用、または搾取されることを防ぐことができます。さらに、法律は、医療記録、薬物注文、その他の健康関連記録にアクセスできるのが許可された人員のみであることを保証することで、患者の安全を守るのに役立ちます。

HIPAAとは何か、誰に適用されるのか？

HIPAAは、医療保険の携行性と説明責任に関する法律を指します。これは、医療提供者、健康保険、健康保険者、医療クリアリングハウスを含む医療機関が個人の健康情報のプライバシーを保護することを要求する連邦法です。HIPAAはまた、組織がそのデータのセキュリティを保護し、個人が自分の健康情報にアクセスし、管理できるようにすることを要求します。HIPAAは、対象となる組織や提供者で働くすべての個人、および特定の機能を実行するために対象となる組織と契約しているビジネスアソシエイトに適用されます。

HIPAA違反とは何か？

HIPAA違反は、保護された健康情報（PHI）の機密性、整合性、または可用性の侵害が発生した場合に起こります。HIPAA違反の例には以下が含まれます：

• PHIの不適切な廃棄、PHIへの不正アクセスまたは開示
• PHIを保護するための適切なセキュリティ対策を実施しないこと
• マーケティング目的でのPHIの不適切な使用
• PHIを共有する前に患者の許可を確保しないこと
• HIPAAコンプライアンスに関するスタッフの適切なトレーニングを怠ること

HIPAA違反の影響は何か？

HIPAA違反は、医療提供者や組織に深刻な影響を及ぼす可能性があります。影響には、高額な罰金、ライセンスの取り消し、侵害の公表、さらには刑事告発が含まれることがあります。罰則の厳しさは、侵害の性質と範囲に依存します。したがって、医療提供者や組織は、潜在的な侵害とその高額な影響を避けるために、HIPAA規制を厳格に遵守することが重要です。

さらに、HIPAA違反は、医療提供者や組織の信頼と評判に損害を与える可能性があります。患者やクライアントは、医療提供者が自分の機密性の高い健康情報を保護することを期待しており、侵害が発生すると、その能力に対する信頼を失う可能性があります。この信頼の喪失は、影響を受けた患者やクライアントからの法的措置につながる可能性があり、さらなる財務的および法的な影響をもたらします。

加えて、HIPAA違反は、医療提供者の競争力を損なう可能性があります。患者は、HIPAAコンプライアンスに優れた評判を持つ競合組織からのケアを選ぶかもしれません。全体として、HIPAA違反の影響は深刻であり、医療提供者や組織の財務的安定性と評判に大きな影響を与える可能性があります。したがって、医療組織（対象となる組織）とそのパートナー（ビジネスアソシエイト）は、潜在的な侵害とその高額な結果を防ぐために、HIPAA規制の遵守を優先することが不可欠です。

医療従事者によく見られるHIPAA違反

医療従事者がよく犯すHIPAA違反の例はいくつかあります。最も頻繁に見られる違反の一つは、患者情報への不正アクセスです。これは、好奇心や個人的な利益のために行われることが多く、有名人の医療記録にアクセスすることなどが含まれます。

もう一つの一般的な違反は、患者情報の不適切な廃棄です。これは、PHIを含む文書をシュレッダーにかけることを怠ったり、PHIを含む電子機器を適切に廃棄しない場合に発生します。

さらに、医療従事者は、許可されていない個人と患者情報を共有したり、患者の同意を得ずにマーケティング目的で患者情報を使用することでHIPAAに違反することがあります。これらの違反は、高額な罰金や医療従事者とその雇用主に対する法的措置につながる可能性があります。したがって、医療従事者は、患者の機密性を保護することの重要性を理解し、HIPAA規制を遵守する方法を理解することが不可欠です。

病院ボランティアによるHIPAA違反の罰則は何か？

病院ボランティアによるHIPAA違反は、ボランティア自身と彼らが働く病院の両方に深刻な影響を及ぼす可能性があります。PHIの侵害が発生した場合、ボランティアと病院は、民事および刑事罰、さらには評判の損害を受ける可能性があります。侵害の深刻さと引き起こされた損害の範囲に応じて、ボランティアは最大で50,000ドルの罰金と刑務所の可能性があります。さらに、病院は最大で150万ドルの民事罰を受ける可能性があります。これらの罰金と罰則を避けるためには、病院ボランティアにPHIの取り扱いに関する十分なトレーニングを提供し、患者のプライバシーと機密情報を保護することの重要性を理解させることが不可欠です。

HIPAA違反はどのように発見されるのか？

HIPAA違反は、通常、自己報告されたインシデントや違反を知っている人によって報告されること、定期的な運用レビュー、第三者の監査または評価を通じて発見されます。さらに、州および連邦の機関も、苦情調査、監視、または抜き打ち検査を通じて違反を発見することがあります。

HIPAA違反の例

米国保健福祉省市民権局（OCR）は、HIPAAの法律および規制に従わないHIPAAエンティティまたはビジネスアソシエイトに対して行動を起こす権限を持っています。OCRは、違反ごとに100ドルから最大50,000ドルの範囲で民事罰金を課す権限を持っています。OCRはまた、是正措置を課し、組織に効果的なコンプライアンスプログラムを採用することを要求する権限を持っています。HIPAA違反に関する最大の和解のいくつかには以下が含まれます：

• Anthem Inc.—2020年、OCRは、データ侵害が7,880万人以上に影響を与えた後、Anthem Inc.と1,600万ドルで和解しました。
• Cignet Health—2010年、Cignet Healthは、41人の個人の医療記録へのアクセス権を拒否した後、OCRと4,300万ドルで和解しました。
• NewYork-Presbyterian Hospital and Columbia University—2019年、患者の部屋を適切な許可なしに撮影した後、OCRはNewYork-Presbyterian HospitalとColumbia Universityと8,300万ドルで和解しました。
• University of Mississippi Medical Center—2020年、保護された健康情報の不適切な使用と開示のケースを適時に報告しなかった後、OCRはUniversity of Mississippi Medical Centerと2,750万ドルで和解しました。
• Advocate Health Care—2017年、暗号化されていないサーバーが盗まれ、400万人に影響を与えた後、OCRはAdvocate Health Careと5,550万ドルで和解しました。

HIPAA違反の罰則は常にデータ侵害に関連しているのか？

いいえ、HIPAA違反の罰則は常にデータ侵害に関連しているわけではありません。HIPAA違反は、医療保険の携行性と説明責任に関する法律によって確立された患者プライバシー規則の違反です。これらの規則の違反は、患者情報をマーケティング目的で使用することや、患者データを適切に保護しないことなど、さまざまな形で発生する可能性があります。

HIPAA違反の罰則には、民事罰金、刑事罰、新しい管理またはビジネス慣行、フォローアップ調査や監査が含まれる可能性があります。ただし、これらのすべてが必ずしもデータ侵害に関連しているわけではありません。場合によっては、これらの罰則は従業員の行動の結果であるか、HIPAA要件を適切に実施しなかったために発生することがあります。最終的には、違反の具体的な内容と執行機関の裁量に依存します。

HIPAAプライバシールールとは何か？

HIPAAプライバシールール（正式には「個人識別可能な健康情報のプライバシー基準」として知られる）は、HIPAA規制全体を構成する主要なルールの一つであり、HIPAAの管轄下にある組織の役割と責任を定義しています。

プライバシールールの短い定義は、組織が「無許可の開示」、つまりその個人の直接の許可なしに患者情報を開示することから保護しなければならない情報を明確にすることです。

このルールはまた、これらのデータ保護ルールに従わなければならない組織の種類、情報を保護しなかった場合の罰則、および法律の下で無許可の開示が許可される限られた文脈を定義しています。

保護された健康情報（PHI）、HIPAAによって管理されるエンティティの主要な責任は、患者のケアまたはケアの支払いに関連するPHIのセキュリティとプライバシーコントロールを実施することです。

プライバシールールの下で、PHIは以下の情報として定義されています：

• 個人の過去、現在、または将来の身体的または精神的健康状態
• その個人への医療提供、または
• その個人への医療提供のための過去、現在、または将来の支払い
• 医療以外の個人の身元

簡単に言えば、患者のケア、健康状態、または医療費の支払い方法を示すために使用される情報はすべて、個人識別情報（PII）とともに、HIPAAコンプライアンスとガバナンスのためのPHIと見なされます。

一般的な実践では、HIPAAは、必要なPHIの開示の正当な形式を2つだけ定義しています：

• アクセスを要求する場合、個人（患者）または許可された代表者
• コンプライアンス調査のために保健福祉省（HHS）に

ただし、以下で説明するように、開示が許可されるいくつかの領域もあります。

対象となる組織とビジネスアソシエイト

HIPAAはすべての個人を対象としているわけではありません。たとえば、誰かが偶然に機密PHIに遭遇し、それを開示した場合、彼らは実際の管理されたエンティティの罰則や罰金の対象にはなりません。

HIPAAは、具体的に2つの異なる種類の組織に適用されます：

HIPAAの下での対象となる組織とは何か？

対象となる組織、またはCEは、HIPAAの管轄下にある主要な組織です。これらの組織には以下が含まれます：

• 健康保険プラン：薬剤保険者、HMO、メディケア、メディケイド、または雇用主が提供するプライベートプランを通じてカバレッジを提供する保険会社を含む健康保険会社は、すべてHIPAAルールの対象です（正確には、彼らがケアに関する情報とケアの支払いの両方を扱うためです）。

• 医療提供者：これらは医療の主要な提供者です。病院、医師のオフィス、緊急ケアクリニック、専門医はすべてこのカテゴリに該当します。

• 医療クリアリングハウス：クリアリングハウスは、保険会社と提供者の間の中間組織であり、さまざまなプラットフォームやエンティティからの請求を適切に処理するために保険者を支援することを目的としています。

HIPAAの下でのビジネスアソシエイトとは何か？

ビジネスアソシエイト、またはBAは、その名前が示すように、PHIに関連する機能を提供する対象となる組織の第三者ベンダーまたはパートナーです。彼らはそれ自体でCEではないかもしれませんが、支払い処理、クラウドストレージ、アプリケーション開発などの重要なサービスを提供します。

対象となる組織とビジネスアソシエイトの関係の一環として、HIPAAは、パートナーがその取り決めのコンプライアンス要件とそれがHIPAAコンプライアンスにどのように適用されるかを明確にするビジネスアソシエイト契約（BAA）を持つことを要求します。

BAは定義上CEではありませんが、CEであることもあります。ある意味では、CEとして機能する組織が他のCEにサービスを提供することができ、対応するBAAを持つビジネスアソシエイトとして機能することができます。

ビジネスアソシエイトがHIPAAに違反した場合はどうなるのか？

CEまたはBAがPHIを無許可のユーザー（患者、患者に医療を提供する会社、または許可された代表者以外の誰か）に開示した場合、彼らはHIPAAに違反しています。

しかし、HHSによるガイドラインとさらなる明確化によれば、すべての開示が同じように作成されているわけではありません。実際、偶発的な開示がHIPAA違反の最も一般的な形です。

これは、対象となる組織とビジネスアソシエイトにとって何を意味するのでしょうか？HIPAAコンプライアンスの最も重要な部分は、ガイドラインに対する真のコンプライアンスを誠実に追求することです。

HIPAAコンプライアンスは、侵害を防ぐことやデータセキュリティを完全にすることを意味するわけではありません。それは、リスクを軽減し、違反が発生した場合に迅速に問題に対処するための要件を遵守することを意味します。

しかし、非コンプライアンスには罰則があり、軽視することはできません。全体として、HIPAAの罰則は2つのカテゴリに分かれています：

HIPAA違反に対する民事罰

民事罰は、この分野で最も一般的な懲戒措置です。HHSと市民権局（OCR）は、非コンプライアンスの場合に非懲罰的な措置を追求することを好み、問題を是正するための努力を選びます。違反がより重大になると、民事罰にはより高額な財務措置が含まれるようになります。違反の重要性は、部分的には、組織が問題に対処するために行った努力によって決定されます。

そうは言っても、HIPAA違反に対する民事罰は4つの階層に分かれています：

• 階層1：この最も低い階層は、無許可の開示が発生したが、その開示が組織が知らなかった問題によるものであり、合理的に知ることができなかった場合をカバーします。さらに、組織は、HIPAAコンプライアンスを確保するために十分な措置を講じています。

• 階層2：階層1から一歩進んだ階層2は、組織が知っているべきだったが避けられなかった違反をカバーします。つまり、開示は故意の怠慢によるものではなく、組織は是正措置を講じています。

• 階層3：階層3の違反は、組織が法律の下での責任を知っていながら果たさなかったHIPAAの故意の怠慢によるものです。しかし、彼らは違反の根本的な問題を是正しようとする試みを示しています。

• 階層4：階層4は、根本的な問題を是正しようとする試みがない故意の怠慢による開示を指します。

明らかなように、罰則は、組織がその責任にどれだけ真剣に取り組んでいるか、開示や侵害が発生した場合にその責任をどれだけ真剣に受け止めているかに結びついています。

罰則は広範な範囲に及ぶ可能性があり、HHSは、HIPAA侵害の種類、調査に協力する組織の意欲、その他の要因に基づいてこれらの罰則を決定します。2022年1月現在、これらの罰則階層の基準（インフレ調整済み）は以下の通りです：

これらの罰則階層は、2009年のHITECH法によって法律に組み込まれました。

HIPAA違反に対する刑事罰

刑事HIPAA罰則は、民事罰則よりもはるかに稀です。ほとんどの違反は組織的なものであり、個人の犯罪行為の結果ではなく、これらは民事犯罪の定義に該当します。

さらに、デジタルまたはアイデンティティ詐欺の実行、ハッキングなど、刑事罰に該当する多くの問題は、他の法律によって規制されており、HIPAAや医療業界に特有のものではありません。

しかし、医療に直接関与する個人が個人的な利益のためにHIPAAを故意に違反することができ、刑事罰が必要になります。これらの罰則も階層に分かれています：

• 階層1：個人または組織が無許可のPHIを故意に取得した場合、彼らは50,000ドルの罰金と1年の懲役を受ける可能性があります。

• 階層2：違反者がPHIを故意に取得し、偽りの口実（詐欺）を使用してそれを行った場合、彼らは最大100,000ドルの罰金と最大5年の懲役を受ける可能性があります。

• 階層3：違反者がPHIを詐欺的に取得し、その情報を販売、転送、または使用する意図を持っている場合、彼らは最大250,000ドルの罰金と最大10年の懲役を受ける可能性があります。

HIPAA違反で訴えることができるのは誰か？

HIPAA違反に関する訴訟手続きは、通常、原告が被告に対して適切な裁判所に苦情を提出することから始まります。苦情は、違反された関連するHIPAA規制およびその他の適用される州法を参照します。その後、両当事者は、裁判所の監督の下で、情報と文書を交換する発見プロセスの一環として情報を交換します。発見後、両当事者は、望む場合、和解交渉に入ることができます。和解が成立しない場合、事件は裁判に進みます。

HIPAA違反を防ぐにはどうすればよいか？

HIPAA違反を避ける最良の方法は、HIPAA要件を積極的に遵守することです。それは以下を意味します：

• NIST特別出版物800-66のレビューを通じて、HIPAA要件に対処するための最良のソリューションを理解すること。

• 強力なIDおよびアクセス管理（IAM）でシステムへのアクセスを保護すること。

• サーバーに保存されているデータ（保存時）およびシステム間で移動するデータ（転送時）を強力な暗号化で暗号化すること。保存時のデータにはAES-256暗号化、転送時にはTLS 1.2+を使用すること。

• PHIを共有するために平文の通信方法（通常のメール、SMSなど）を使用しないこと。

• PHIが不要になり、保持期間が終了したら破棄すること。これには、ハードコピーをシュレッダーにかけたり焼却したり、ハードドライブやUSBメモリを破壊または消去することが含まれます。

• 従業員および第三者ビジネスアソシエイトのための強力な審査およびトレーニングプロセスを維持すること。

• すべての請負業者およびベンダー関係のための最新のBAAを維持すること。

• 内部従業員へのPHIの偶発的な開示を避けるために、強力なアクセス制御システムを維持すること。

• デバイス（電話、ラップトップ、タブレット）を物理的およびデジタルアクセスから保護すること。デバイスを暗号化し、デバイスを安全な場所に保管するなど。

さらに、プライバシールールで定義されているPHIを開示できる文脈を理解することも良い考えです：

• 個人：患者にPHIを開示することは常に可能ですが、暗号化された安全な通信システムを使用して行う必要があります。

• 治療、支払い、および医療業務：組織は、治療、支払い、およびケアの目的で内部的にPHIを開示することができます。同様に、CEは、両方の組織がその患者との関係を持っている場合、別のCEにこの情報を開示することができます。

• 偶発的リスク：組織が開示に対するすべての予防策を講じ、そのデータが正当な開示の一環として無許可の第三者に開示された場合、組織は責任を負いません。

• 公共の利益：公共の利益に関連するいくつかの文脈は、PHIの開示を許可します。これには、法律で要求される開示（裁判所命令、法執行機関、その他の法令）、公衆衛生活動のために許可されたもの（パンデミックなど）、虐待やネグレクトの報告、葬儀の手配、臓器提供、労働者の補償、または研究目的が含まれます。

HIPAA侵害チェックリスト

私たちは、組織がHIPAAコンプライアンスを評価し、潜在的な侵害を特定するのを支援するためにこのチェックリストを開発しました。このチェックリストは、HIPAAの遵守を評価し、懸念のある領域に積極的に対処するための貴重なツールとして機能します。このチェックリストの項目をレビューし、対処することで、組織はデータセキュリティの実践を強化し、リスクを軽減し、規制コンプライアンスを維持することができます。

チェックリストは、書面によるポリシーと手順、PHIの保管、アクセス制御、ビジネスアソシエイト契約、プライバシー通知、個人の権利、トレーニングと意識、侵害通知、リスク評価、インシデント対応、デバイスとメディアの制御、監査制御、暗号化とデータセキュリティ、文書の保持など、HIPAAに関連する広範な領域をカバーしています。

このチェックリストは、潜在的なHIPAA侵害の一般的な概要を提供するものであり、包括的なリストではないことに注意してください。各組織の状況と要件は異なる場合があり、特定の組織のニーズに合わせた包括的な評価のために、医療に特化した法律専門家やHIPAAコンプライアンスの専門家に相談することをお勧めします。

PHIを保護し、Kiteworksで効果的にコミュニケーションを取る

HIPAA違反を避けたい組織にとって、PHIを保護するための技術インフラを整備することは重要です。しかし、患者がCEと通常の方法でコミュニケーションを取ることを期待する場合、つまりメールやその他のメッセージングシステムを通じて、技術は課題を提供することがあります。

Kiteworksプライベートコンテンツネットワークは、企業がHIPAAの重要な要件を満たしながら、内部コミュニケーションを効率化し、患者と効果的に協力する能力を損なうことなく、それらの要件を満たすためのソリューションです。totemoを取得した後、Kiteworksは、一般的な生産性およびコラボレーションソフトウェアと統合できるエンドツーエンドの暗号化とHIPAAセキュリティの完全なネットワークを実装しました。

強力な暗号化

Kiteworksは、ファイルレベルでユニークで強力なキーを使用して機密コンテンツ通信を暗号化し、ディスクレベルのボリュームで異なる強力なキーを使用します。これにより、各ファイルが二重に暗号化されます。さらに、ファイルキー、ボリュームキー、およびその他の中間キーは、保存時に暗号化されます。

同様に重要なのは、Kiteworksが管理者によって入力されたパスフレーズを使用して、すべての保存されたキーの暗号化に使用されるスーパーキーを生成することです。これはKiteworksの顧客のみがアクセス可能です。したがって、推奨されるように管理者が定期的にパスフレーズを回転させるとき、プロセスは迅速かつ効率的です。なぜなら、すべてのコンテンツではなく、キーのみを再暗号化する必要があるからです。

コンプライアンスの追跡と報告

Kiteworksプラットフォームは、医療保険の携行性と説明責任に関する法律（HIPAA）、支払いカード業界データセキュリティ基準（PCI DSS）、SOC 2、および一般データ保護規則（GDPR）などの業界および政府の規制と基準に対する即時のコンプライアンス報告を提供します。

さらに、Kiteworksは、FedRAMP、FIPS（連邦情報処理規格）、およびFISMA（連邦情報セキュリティ管理法）を含むさまざまな基準に対する認証とコンプライアンスを誇っています。

同様に、Kiteworksは、IRAP（情報セキュリティ登録評価者プログラム）PROTECTEDレベルの制御に対して評価されています。さらに、最近の評価に基づいて、Kiteworksは、サイバーセキュリティ成熟度モデル認証（CMMC）レベル2の実践の約89％に対するコンプライアンスを達成しています。

詳細で強化されたセキュリティ

Kiteworksの統一されたsyslogとアラートは、すべてのコンポーネントからのエントリを統合し、標準化し、セキュリティオペレーションセンターチームの貴重な時間を節約し、コンプライアンスチームが監査の準備をするのを支援します。特に、Kiteworksプラットフォームの不変の監査ログを使用することで、組織は攻撃が早期に検出され、フォレンジックを実行するための正しい証拠の連鎖を維持することができます。

Kiteworksプライベートコンテンツネットワークには、組織に強化されたセキュリティを提供するいくつかの側面があります：

• SIEM統合：Kiteworksは、IBM QRadar、ArcSight、FireEye Helix、LogRhythmなどの主要なセキュリティ情報およびイベント管理（SIEM）ソリューションとの統合をサポートしています。また、Splunk Forwarderを持ち、Splunk Appを含んでいます。

• 可視性と管理：KiteworksのCISOダッシュボードは、組織に情報の概要を提供します：どこにあるのか、誰がアクセスしているのか、どのように使用されているのか、送信、共有、または転送されるデータが規制や基準に準拠しているかどうか。CISOダッシュボードは、ビジネスリーダーが情報に基づいた意思決定を行うことを可能にし、コンプライアンスの詳細なビューを提供します。

• シングルテナントクラウド環境：セキュアなファイル共有、自動化されたファイル転送、ファイルストレージ、およびユーザーアクセスは、オンプレミス、組織のインフラストラクチャ・アズ・ア・サービス（IaaS）リソースに展開された専用のKiteworksインスタンス、またはKiteworksクラウドサーバーによってクラウドでホストされるプライベートシングルテナントインスタンスで発生します。これにより、共有ランタイム、共有データベースまたはリポジトリ、共有リソース、またはクロスクラウドの侵害や攻撃の可能性はありません。

KiteworksがどのようにしてHIPAAコンプライアンスの取り組みをサポートするかを知るために、カスタムデモをリクエストしてください。