HIPAAとは？
HIPAAは、医療保険の携行性と責任に関する法律です。これは保護された医療情報 (PHI) の機密性を確保し、安全に保つための法律です。この法律は、医療提供者と関連企業がどのようにデータを処理し、健康情報を保護するかについて言及し、PHI データが常に正しく保存、処理、およびアクセスされるために必要な基準を設けています。
また、機密性の高いPHIデータを処理していながら、基準に準拠していない個人や組織に対する、厳しい罰金と罰則も設定しています。
保護された健康情報（PHI）とは？
PHIには以下が含まれます。
- 血液検査やMRIスキャンの結果など、すべての医療記録。
- 病院での支払い記録。
- 患者と主治医、主治医と他の医療スタッフ、または医療提供者と保険会社との間の、健康に関するやりとり (Eメール、メモ)。
HIPAAに準拠する必要があるのは誰か？
当初は、医師、病院、保険会社のみが HIPAA に準拠する必要がありました。PHIにアクセスできるのは、これらの人々と組織だけだったからです。これらは対象事業体として知られており、これには、「治療、支払い、およびヘルスケア業務」を提供する組織が含まれます。
対象となる事業体には以下が含まれます。
- 医師とその診療所
- 病院
- 薬局
- 保険会社
- HMO （健康維持機構）
しかし、2013 年の改訂で、ヘルスケアにおけるアウトソーシングとクラウドプロバイダーの使用の増加を考慮し、HIPAA の範囲が拡大されました。PHIデータを送信、保存、または受信するすべてのサービスは、ビジネス・アソシエイトとして分類され、HIPAA に準拠する必要があります。
ビジネス・アソシエイトには以下が含まれます。
- 医師に提供する処方箋サービス。
- 医師向けにクラウドベースの電子カルテを提供するSaaS 企業。
- 医療データを処理する分析会社。
HIPAAが要求するのは？
対象事業体またはビジネス・アソシエイトが HIPAA法に準拠するには、次の 4 つのことを行う必要があります。
- PHIデータが常に保護されているようにする。
- PHI データのアクセスを、意図した目的を達成する必要のある人々のみに限定する。
- PHIデータのセキュリティを確保するために、サービスプロバイダーと業務提携契約 (BAA) を締結する。
- PHIデータへのアクセスを制限するための手順とポリシーを設定し、従業員とユーザーにデータのセキュリティとプライバシーに関するトレーニングを実施する。
HIPAAのセキュリティルール
4つのHIPAAルール (セキュリティ、プライバシー、施行、違反通知) のうち、開発者が細心の注意を払う必要があるのは HIPAAのセキュリティルールです。
ヘルスケアプロバイダー、医療機関、または業界で既に活動しているビジネス・アソシエイトと連携したいSaaS企業のために、このセキュリティルールは、PHIデータがアプリまたはサービスによって、どのように処理されるべきかを制定しています。
この規則は、データへのアクセスが制御されていること、データが安全であること、および個人が適切に認証されていることを確実にするための、技術的なセーフガードを制定しています。
- アクセス制御権限を持ったユーザーのみが、 PHIデータへアクセスを許可されるということを確実にするための、ポリシーと手順が設定されていなければなりません。各ユーザーの独自の識別子、緊急アクセス手順、および暗号化手順が、これに含まれます。
- 監査制御システム内の活動を記録し、個人によるアクセスを検査するためのメカニズムを設ける必要があります。
- 完全性制御PHIデータは、不適切に変更または破壊されてはならず、それが行われたかどうかを、監査人が確認できる手順を設定する必要があります。
- 伝送セキュリティネットワーク経由で転送されるPHIデータへの不正アクセスが発生しないように、セキュリティ対策を講じる必要があります。
HIPAAコンプライアンスの利点
HIPAA基準を使用すると、成長市場で新しい顧客を開拓できます。現在、ヘルスケア組織の67%がワークフローでSaaSサービスを使用しており、ヘルスケアプロバイダーの92%が、組織内で SaaSを将来使用する可能性があると述べています。HIPAA基準を適用することで、3 兆ドル規模のヘルスケア業界に参入できます。
HIPAAコンプライアンスに取り組むことで、次の3つの顧客ベースを新マーケットとすることができます。
- 対象となる事業体
- 現在、医師の80%と病院の60%が電子カルテ (EHR) を使用しています。これらの企業は、使用するすべてのクラウドサービスにHIPAAコンプライアンスを必要としています。
- ビジネス・アソシエイト
- 対象となる事業体だけでなく、PHIを処理する他のビジネス・アソシエイトも、御社のサービスでデータを確実に保護することができます。ヘルスケア向けのクラウド市場が成長するにつれ、ビジネス・ アソシエイト向けのサードパーティソリューションは、ビジネス・アソシエイトとして、そのマーケットに進出することができます。
- ウェアラブルとヘルス関連テクノロジー
- 現在、ウェアラブルはHIPAAに準拠する必要はありませんが、個人の健康データをウェアラブルやアプリから共有する傾向にあることから、そうした企業がHIPAA準拠の必要性のあるものとそうでないものの境界線を、あいまいにしていると言えます。
HIPAA認証にAuth0 を使用する
これにより、HIPAAコンプライアンスのニーズを満たす1つの要素として、Auth0をIDおよび認証サービスに設定することができます。
