HIPAA準拠ファイル転送:医療データ完全ガイド

保護医療情報（ PHI ）を含む HIPAA 準拠のファイル転送に必要な要件は3つです。転送プロバイダーとの Business Associate Agreement（ BAA ）の締結、セキュリティルールの行政的・物理的・技術的保護措置（45 CFR 164.308 、 164.310 、 164.312 ）の実施、そしてプライバシールールの最小限必要開示原則（164.502(b)）の遵守です。技術的には、保存時および転送時の PHI に対する AES-256 暗号化、固有ユーザー ID によるアクセス制御、すべての PHI アクセスを記録する監査制御、不正改ざんを防止する完全性制御が求められます。 BAA が欠けていると、暗号化の強度にかかわらず、すべての転送が自動的に HIPAA 違反になります。

Business Associate Agreement の要件

45 CFR 164.504(e) は、 PHI を取り扱うあらゆるベンダーと書面による BAA を締結することを適用主体（病院、クリニック、保険会社）に義務付けています。 DICOM ファイル、検査結果の PDF 、患者の CSV が通過した瞬間に、ファイル転送サービスはビジネスアソシエイトになります。 BAA には以下を盛り込む必要があります。許可された利用と開示の範囲、保護措置のコミットメント、60日以内の侵害報告義務、下請け業者へのフローダウン条項（サブ BAA の締結）、契約終了時の PHI 返還または廃棄、 BA が条件に違反した場合の解除権。 Box 、 Microsoft 365 、 Google Workspace 、 AWS などの大手プロバイダーは BAA を公開しています。 WeTransfer 無料版や標準 Dropbox のようなコンシューマー向けサービスは通常提供していません。

セキュリティルールの3種類の保護措置

45 CFR 164.308（行政的）：セキュリティ管理プロセス、セキュリティ責任者の任命、人員セキュリティ、情報アクセス管理、セキュリティ意識向上トレーニング、インシデント対応手順、コンティンジェンシープラン、評価、 BAA 。164.310（物理的）：施設アクセス制御、ワークステーションの使用と保護、デバイスとメディア制御。164.312（技術的）：アクセス制御、監査制御、完全性制御、利用者認証、伝送セキュリティ。ファイル転送サービスは3種類すべてに関係します。行政的には BAA を通じて、物理的にはデータセンターのセキュリティを通じて、技術的には暗号化とアクセスログを通じて対応します。

バイトレベルの技術的保護措置

45 CFR 164.312(a)(2)(iv) は電子 PHI の暗号化と復号を義務付けています。 HHS ガイダンス（2013年）は保存データに NIST SP 800-111 を、 FIPS 140-2 認定モジュールを参照しています。実装面では、ファイルコンテンツに AES-256-GCM 、転送に TLS 1.3 、鍵管理に FIPS 140-2 レベル2以上の HSM （ AWS CloudHSM 、 Azure Managed HSM ）を使用します。164.312(c)(1) の完全性制御については、 AES-GCM のような認証付き暗号化が適用されます。改ざんがあれば認証タグの検証に失敗するためです。164.312(b) の監査制御は、アクティビティを記録・検査するハードウェア・ソフトウェア・手順的メカニズムのログを求めます。

60日以内の侵害通知ウィンドウ

HIPAA の侵害通知ルール（45 CFR 164.400-414）は、侵害発覚から60日以内に影響を受けた個人、 HHS 、場合によってはメディアに通知することを適用主体に義務付けています。対象となるのは「保護されていない PHI 」、つまり NIST 基準に基づいて暗号化されていない PHI です。暗号化済み PHI の盗難については、一般的に HITECH 法のセーフハーバー条項が適用されます。 HHS ガイダンス（最低 AES 、鍵が侵害されていない）を満たす暗号化を証明できれば、通知は不要です。だからこそ医療機関のバイヤーは、プロバイダーの暗号化基準と鍵管理の文書化を重視します。

最小必要原則とファイルレベルのアクセス制御

プライバシールールの最小必要原則（164.502(b)）は、目的に必要な最小限の PHI のみを開示することを求めています。ファイル転送においては、画像検査データのみが必要なときに患者の完全な記録を送らないことを意味します。大規模な書き出しは目的別のフォルダに分割してください。 XLSX の書き出しから不要な列を削除してください。送信前に PDF の必要な情報をリダクションしてください。転送ツールのアクセス制御は受信者ごとのスコープを支援するべきです。受信者 A はファイル1と2を、受信者 B はファイル3のみを参照できるというように。「全部を URL に送る」しかないサービスは、インターフェースレベルで最小必要原則のテストに不合格です。

監査制御と6年間の保持

45 CFR 164.312(b) は監査ログを義務付けており、164.316(b)(2)(i) は必要な文書を6年間保持することを要求しています。ファイル転送では、 PHI アクセスイベント（アップロード、ダウンロード、プレビュー、削除）、アクターの ID 、タイムスタンプ、送信元 IP 、成否をログに記録してください。ログは不変性を持つ SIEM に集約します。 AWS CloudTrail ログファイル整合性検証、 Azure Sentinel の書き込み一度のストレージ、 Splunk SmartStore と Object Lock などが選択肢です。 HIPAA 監査では特定イベントが求められます。スクロールで確認するテキストログでは不十分です。クエリ可能なフィールドを持つ構造化ログに投資してください。

HHS ガイダンスのもとでのクラウドストレージ

HHS は2016年にクラウドコンピューティングに関するガイダンスを公開し、2022年に更新しました。クラウドプロバイダーは、暗号化済み PHI のみを保存しキーにアクセスできない場合でも、ビジネスアソシエイトに該当します。これは GDPR とは異なる点です（ GDPR では、ゼロ知識プロバイダーは暗号化コンテンツのプロセッサーに該当しない場合があります）。暗号化の状態にかかわらず、 HIPAA の BAA が必要です。 PHI に承認されたクラウドストレージ： AWS （ KMS 付き S3 、 Backup 、 Glacier ）、 Azure （ Blob Storage 、 Managed Disks ）、 Google Cloud （ Cloud Storage ）、 Box for Healthcare 、 HIPAA アドオン付き Dropbox Business 。いずれも BAA に署名し、 HIPAA 固有の設定ガイドを公開しています。

転送中 PHI の伝送セキュリティ

45 CFR 164.312(e)(1) は、電子的に伝送される PHI の技術的セキュリティ措置を求めています。標準的な解釈は、 TLS 1.2 以上（ TLS 1.3 推奨）、弱い暗号スイートなし（ RC4 、 3DES 、エクスポート暗号なし）です。ロードバランサーで SSL 2.0 、 SSL 3.0 、 TLS 1.0 、 TLS 1.1 を無効化してください。長い max-age で HSTS を有効化してください。メール伝送には、 HIE 間交換に Direct Secure Messaging（ X.509 証明書ベースの S/MIME ）を、または検証済み証明書付き TLS 1.2 以上を使用してください。検証済み TLS なしの一般的な SMTP によるメール添付ファイルは、一般的な違反経路です。

患者の権利とアクセス要求

45 CFR 164.524 は患者に PHI へのアクセス権を付与しています。適用主体は30日以内に応答する必要があります。ファイル転送ツールは、患者が記録を要求し、プロバイダーが転送サービスにアップロードし、安全なリンクを送るという配信手段として機能できます。要件：受信者の確認（ファイル上の患者連絡先に照らした確認）、リンクの短命性（多くの実装では最大30日）、配信のログ記録。手数料は HHS が承認する労働・物品費に限定されます。過剰請求や配信の遅延はどちらも OCR の苦情につながります。

HIPAA グレードの転送ベンダー選定

選定テスト：（1）交渉なしで BAA に署名するか。（2） BAA はサブビジネスアソシエイトのフローダウンを含む45 CFR 164.504(e) のすべての要件を網羅しているか。（3） HIPAA コンプライアンス文書（ HIPAA スコープの SOC 2 Type II 、 HITRUST CSF 認証が望ましい）を公開しているか。（4） NIST SP 800-111 および FIPS 140-2 認定モジュールによる暗号化を実証できるか。（5）監査ログを6年間保持するか。（6）契約で60日以内の侵害通知タイムラインを保証しているか。 Paubox 、 Virtru 、 TigerConnect は医療分野に特化したサービスです。強力な暗号化と EU 準拠の統制を持つ HexaTransfer のような汎用プロバイダーは低リスクなシナリオに適しますが、米国の PHI については慎重な BAA 交渉が必要です。

hexatransfer.comでお試しください — 無料、登録不要、最大10GB。