健康保険の携帯性と責任に関する法律 (HIPAA) は、1996 年に承認された様々なガイドラインを定めており、電子医療データを扱うすべての人が採用しなければなりません。
これらのガイドラインでは、すべての医療および病院サービスが、電子医療データの保存、アクセス、共有時に患者情報を安全に保つために必要な措置を講じることを義務付けています。HIPAA の安全基準規制に準拠しない場合、多額の罰金や医療ライセンスの喪失につながる可能性があります。
誰が HIPAA に準拠する必要がありますか？
HIPAA に準拠しなければならない主体には、医療サービスを提供または支払うすべての組織が含まれます。これには、臨床センター、健康保険プラン、およびその他すべての種類の医療提供者 (予防、診断、治療、リハビリ、維持、緩和ケア、カウンセリング、サービス、評価、または個人の身体的健康、精神状態、機能的状態に関連する手順で、身体の構造または機能に影響を与えるものを含む、個人の健康に関連するケア、サービス、用品) が含まれます。
上記の機能の一部を実行するハイブリッドエンティティも HIPAA 準拠が必要です。例として、病院を持つ大学が挙げられます。大学病院は個人の健康情報を電子的に送信するため、HIPAA の対象となります。
一方、同じ大学に病院と統合されていない研究室があると想像してください。この場合、このラボは HIPAA 準拠の必要はありません。健康情報を扱っていても、病院と同じ情報にアクセスできないためです。
HIPAA 規制の簡単な概要
HIPAA のスローガンが「あなたの健康情報、あなたの権利」であることから、市民がこの法律の中心にいるのは当然です。最も重要な規定は以下の通りです:
情報へのアクセス: 誰でも自分の健康情報にアクセスできます。修正を提案したり、物理的または電子的なコピーを取得したりできます。
情報の共有: 市民は、医師や医療専門家とあらゆる理由で情報を共有する必要がある場合がありますが、HIPAA ではすべての情報がオンラインにあり、共有相手を選択できるため、これが可能です。
情報の保護: HIPAA 準拠が必要なすべての主体は、HIPAA のプライバシールールやセキュリティルールなどの特定の HIPAA ルールに従う必要があります。これは情報共有に関するもので、患者の情報は許可なく開示できません (特定のケースを除く)。
HIPAA と WordPress ウェブサイト
WordPress で構築された医療ウェブサイトをお持ちの場合、それが HIPAA に準拠する必要があるか (および可能か) 疑問に思うかもしれません。現実には、HIPAA はウェブサイト関連のコンプライアンスに焦点を当てていないため、ウェブサイトに対する HIPAA 要件は少し曖昧です。
この点に関して、もう 1 つ重要な概念があります: ePHI。これは「Electronic Protected Health Information」(電子保護対象健康情報) の略で、患者を特定するために使用できるデジタル形式のあらゆる情報を指します。HIPAA は、物理的かどうかに関わらず、すべての種類の送信 PHI に対して同じ機密保持要件を課しており、これが HIPAA コンプライアンスの不可欠な部分となっています。
これを踏まえると、ePHI の機密性、完全性、可用性に関する HIPAA の要件に対応する保護策を適用することが必須となります。関連するウェブサイトは、管理的、物理的、技術的、セキュリティ対策を導入し、保護対象健康情報の機密性が常に保証されるようにする必要があります。
効果的な HIPAA コンプライアンスプログラムの不可欠な部分は、Business Associate Agreement (BAA: ビジネスアソシエイト契約) です。組織が保護対象健康情報 (PHI) を処理、使用、配布、アクセスする場合、HIPAA 規制下で BAA に該当します。
サイトを HIPAA 準拠にするには？
WordPress サイトを HIPAA 準拠にするための明確な方法はありませんが、実行すべきいくつかのステップがあります。
潜在的リスクの分析から始める
ウェブサイトの活動と目的に応じてリスクは大きく異なるため、すべてのケースに適合する普遍的なリスク分析は不可能です。ウェブサイトオーナーは一般的なサイバー攻撃を認識し、ePHI が処理されるすべての状況を特定しようと努めるべきです。
適切なホスティングサービスを見つける
自分でウェブサイトのホスティングを管理しない限り、適切なホスティングサービスを選ぶことは重要です。ホスティングサービスが脆弱で攻撃に弱い場合、WordPress サイトを HIPAA 準拠にすることは無意味です。
したがって、強力なファイアウォール、暗号化された VPN 接続 (誰もトラフィックをスニッフィングできないように)、オフサイトバックアップ (データが決して失われないように) など、その他の重要で有用なセキュリティ機能を提供する HIPAA 準拠ホスティングサービスを選ぶことが重要になります。より良いホスティングプロバイダーに切り替えたい場合は、ここから最高の WordPress ホスティングを選ぶための役立つ記事をご覧ください。
プラグインの力を活用する
WordPress プラットフォームの最も強力な機能の 1 つは、プラグインを使用して機能を大幅に拡張できることです。適切なプラグインを選べば、HIPAA コンプライアンスへの到達も容易になります。
その良い例が HIPAA FORMS です。これは、ウェブサイトに HIPAA 準拠のウェブフォームを設置できる WordPress プラグインです。Caldera Forms や Gravity Forms などの通常のフォームプラグインを使用し、それらにセキュリティレイヤーを追加します。ユーザーがマウスでドラッグするか、タッチスクリーンで指で署名できる署名フィールドが含まれています。
送信時にデータを暗号化し、HIPAA FORMS Service API にプッシュします。その後、データを HIPAA 準拠のストレージソリューション内に保存します。このプラグインには有料ライセンスが必要であることに注意してください。
WordPress プラグインの選択肢は無限です。多くの WordPress セキュリティプラグインから選ぶことができます。
プラグインには注意する
プラグインは WordPress の驚異ですが、セキュリティの観点からは最も弱いポイントの 1 つでもあります。Wordfence のデータによると、プラグイン関連の脆弱性が既知の攻撃侵入ポイントの半数以上を占めています。
これを避けるため、プラグインは常に公式ソースから入手し、常に最新の状態に保ってください。もちろんメインの WordPress プラットフォームも同様で、セキュリティ問題を抱えやすいです。
ePHI を WordPress の外部に保存する
ほとんどのウェブサイトは WordPress で構築されているため、WordPress サイトはサイバー犯罪者の標的になりやすいです。WordPress が必ずしも最も安全なプラットフォームではないため、ePHI データをそこに保存しないでください。
ホスティングプロバイダーと相談し、ここで可能な限り最善のソリューションを得られるようにしてください。適切なホスティングプロバイダーがあれば、外部ホスティングロケーションを取得し、すべてのデータが暗号化された形で安全に保存および取得されることを保証できます。
一般的なセキュリティヒントをすべて活用する
セキュリティはウェブ上で一般的なトピックです。ユーザーが従うことができる WordPress セキュリティヒントはたくさんありますが、実際に従っている人はごくわずかです。
HIPAA 準拠ウェブサイトが従うべき一般的なセキュリティルールは以下の通りです:
- 強力なパスワードを使用する
- 二要素または多要素認証を有効にする
- 管理者アカウント名を変更してブルートフォース攻撃を防ぐなど。
すべての新規ユーザーアカウントを検証する
追加のセキュリティレイヤーとして、ユーザーが勝手にサイトで新しいアカウントを作成できないようにします。すべての新規アカウントリクエストが手動または自動で検証されるようにし、リスクを軽減します。
結論
現実には、WordPress は HIPAA を念頭に置いて開発されたわけではありません。HIPAA WordPress コアは存在しませんが、このプラットフォームで構築されたウェブサイトをその法律に準拠させることが不可能というわけではありません。適切な知識と努力があれば達成可能です。しかし、成功の可能性を高め、リスクを最小限に抑えるためには、専門家に相談することをお勧めします。個人であれホスティングサービスであれ、HIPAA 準拠サイトに精通した者でなければなりません。
これは Atlantic.net のゲスト投稿です。
