患者データ共有：セキュリティのベストプラクティス

患者データの安全な共有には3つの層が必要だ。暗号化コントロール（保存時はAES-256-GCM、転送中はTLS 1.3）、アイデンティティコントロール（MFA、ロールベースアクセス、必要最小限の原則）、そしてガバナンス（BAA、監査ログ、インシデント対応）だ。日本では個人情報保護法（APPI）が医療データに厳格な保護を義務付け、個人情報保護委員会（PPC）が適切な安全管理措置のガイドラインを公表している。経済産業省（METI）とNISCも医療機関向けのサイバーセキュリティガイドラインを発行しており、暗号化とアクセス制御の実装を具体的に推奨している。

必要最小限の原則

HIPAA 164.502(b)は対象機関が目的に対して必要な最小限のPHIのみを開示することを要求する。これは内部使用、業務受託者への開示、他の対象機関への開示に適用される（治療目的は例外）。

実務上：

紹介：記録全体ではなく臨床的に関連するサブセットのみ共有
請求：請求データと必要な文書、臨床メモは含めない
研究：可能な場合は匿名化または限定データセット
法的：特定の要求に応答するものだけ
品質測定：可能な場合は集計または匿名化

EHRはロールベースのアクセステンプレートでこれをサポートする（医師はすべてを見る、受付は予約と保険のみ、経理は財務を見るが診療メモは見ない）。個人別ではなくロール別に設定する。

患者同意：必要な場合と不要な場合

HIPAAは治療・支払い・業務（TPO）と他の用途を区別する。TPOは患者承認が不要だ。

承認不要のTPO例外：

患者の治療のための他のプロバイダーへの共有
請求と回収
品質評価、トレーニング、認定

承認が必要：

マーケティングコミュニケーション（狭い例外あり）
PHIの販売
研究（IRB承認の免除がない場合）
心理療法メモ（ほとんどの開示）
特定の従業員に関する雇用主の照会

州法はより厳格な同意要件を追加する。APPIの下でも、本来の利用目的を超えた医療データの共有には患者の同意が必要なケースが多い。最も制限的な適用法を確認すること。

プロバイダー間：Direct、FHIR、TEFCA

正当な治療目的のために、プロバイダーは複数の交換オプションを持つ：

Direct Secure Messaging：DirectTrustトラストフレームワーク内のS/MIMEセキュアメール。すべての認定EHRに組み込まれている。ケアトランジションのデファクトスタンダード。

FHIR R4 API：リアルタイム記録アクセスのためのRESTful交換。ONC Cures Act認定の下で義務付けられている。Apple Health、Epicの Care Everywhere、ペイヤープロバイダーデータ交換などを可能にする。

TEFCA（Trusted Exchange Framework and Common Agreement）：2023年に複数のQHIN（Qualified Health Information Networks）で立ち上がった全国交換の連邦フレームワーク。全国の記録アクセスを拡大する。

CommonWellとCarequality：TEFCAより前の交換ネットワークで、多くのEHRが接続している。組織間の治療データの最小抵抗経路であることが多い。

患者向け：ポータル、API、サードパーティアプリ

Cures Actは認定EHRに患者向けFHIR APIの提供を要求する。患者は：

プロバイダーのポータル（MyChart、FollowMyHealth、HealtheLife）を通じて記録にアクセス
サードパーティアプリ（Apple Health、Fitbit、研究アプリ）を接続
HIPAAアクセス権（164.524）の下で電子コピーを要求できる

プロバイダーはアプリのセキュリティを信頼しないという理由だけで患者主導のサードパーティアプリへのアクセスをブロックすることはできない。それはCures Actの下での情報ブロッキングとなり、CMP執行の対象になる。

できること：サードパーティアプリのセキュリティについて患者教育を提供し、最初の接続前に患者の認証を要求し、承認をログに記録する。

使用ケース別のセキュア転送方法

状況によって適切なチャネルが異なる：

緊急臨床紹介：Direct Secure Messagingまたは電話＋EHRメモ
通常の診療依頼：DirectまたはFHIR API
画像転送：クラウド画像交換（Ambra、LifeImage）、DICOMウェブ
検査結果：VPN経由のHL7 v2またはFHIR Observation
保険事前承認：X12 278トランザクションまたはペイヤーポータル
患者コミュニケーション：ポータルセキュアメッセージ、BAA対象メール（Paubox、Virtru）
緊急記録リリース（164.510(b)）：口頭、後続の文書化付き

PHIに対して暗号化されていないメール、SMS、コンシューマーメッセージングをデフォルトにしてはいけない。これらのチャネルは患者がリスクへの十分な知識のある同意を文書化した状態で特に要求した場合のみ許可される。

暗号化のベースライン：良い状態とは何か

HIPAAセキュリティルールは暗号化を「対応的」と扱うが、2026年において現代的な暗号化未満のものは弁護不可能だ：

保存時：ディスクとデータベース暗号化にAES-256-GCM
転送時：TLS 1.3優先、承認された暗号スイートを伴うTLS 1.2は許容、TLS 1.0と1.1は禁止
鍵管理：HSMバック（AWS KMS、Azure Key Vault、Google Cloud KMS）
パスワード保存：平文絶対禁止、Argon2idまたはbcryptを使用
バックアップ暗号化：本番と同じAES-256-GCM標準

エンドツーエンド暗号化転送では、ユーザーが提供するパスフレーズからPBKDF2（60万回以上のイテレーション）またはArgon2idで導出されたファイルごとの鍵を使ったAES-256-GCMが実装される。鍵はサーバーに触れない。

実際の調査で役立つ監査ログ

Section 164.312(b)は監査コントロールを要求する。ログはキャプチャすべき内容：

ユーザーアイデンティティ（固有のユーザーIDに紐付け）
タイムスタンプ（UTC、NTP同期）
アクション（表示、作成、更新、削除、印刷、エクスポート、ダウンロード）
対象レコード（患者MRNまたは同等の識別子）
ソース（ワークステーション、IP、アプリケーション）
結果（成功、失敗、拒否）

集中型SIEM（Splunk Cloud、Microsoft Sentinel、Elastic Security、Datadog）にログを送る。少なくとも6年間保存する。改ざん防止を実施：一度書き込まれたログは追記のみで、暗号的な整合性（ハッシュチェーン、S3 Object Lock、またはWORMストレージ）を使う。

四半期ごとに監査ログで異常を確認する：VIP患者への時間外アクセス、一括ダウンロード、個人的な知人の記録へのアクセス（同僚の詮索は常に見られるHIPAA違反パターン）。

侵害：60日の時計

PHIが侵害された場合（紛失したラップトップ、フィッシング、ランサムウェア、意図しない開示）、タイムラインが始まる：

発見：時計のスタート
封じ込め：数時間から数日
評価：数日以内、範囲と影響を受けた個人を特定
影響を受けた個人への通知：60日以内
HHSへの通知：500人以上の場合60日以内、それ以下の場合は年次報告
メディアへの通知：500人以上の州居住者に影響する場合60日以内
州AG通知：州法に従い、しばしば並行して

エンタープライズの対象機関は通常、侵害法律顧問の保持、オンコールのフォレンジックファーム、事前に確立した信用モニタリングベンダー関係を予算化している。侵害後にこれらの契約を設定するとコストが3倍になる。

特別カテゴリ：精神保健、薬物使用、遺伝子

一部のカテゴリはより厳格なルールが適用される：

心理療法メモ（164.501）：ほとんどの開示に別途承認が必要
薬物使用障害記録（42 CFR Part 2）：HIPAAより厳格な連邦機密法
HIV/AIDSの状態：多くの州法が特定の同意を要求
遺伝情報：GINAが特定の使用を禁止、州法が要件を追加

これらの区別をEHRの同意管理と記録開示ワークフローに組み込む。Part 2の同意なしにSUD記録を一括開示する「全記録開示」ボタンは連邦違反だ。

実用的な患者データセキュリティプログラム

ガバナンス：HIPAAプライバシーオフィサー、セキュリティオフィサー、四半期リスクレビュー
技術：HIPAA準拠EHR、FHIR API、Direct、SIEM、すべての場所でMFA
管理的：WISP、トレーニングログ、インシデント対応プレイブック、すべてのベンダーとのBAA
物理的：バッジアクセス、ワークステーションロックポリシー、デバイス暗号化
保険：組織規模に応じた500万ドル以上のサイバーポリシー
アドホック転送：HexaTransferなどBAA署名E2EEサービス（エンタープライズ用途）

詳細は https://hexatransfer.com で確認できる。