hipaa-compliance-guard

HIPAA コンプライアンスガード

目的と意図

hipaa-compliance-guard は、医療業界向けの専門的な監査ツールです。電子的に保護される医療情報（ePHI）の保護に特に重点を置き、アプリケーションが HIPAA セキュリティルールにどの程度準拠しているかを技術的に評価します。

使用する場面

• アーキテクチャレビュー：設計段階で実行し、暗号化とロギングが計画されていることを確認します。
• 監査前の自己評価：正式な第三者による HIPAA 監査の前に使用して、容易に修正できる違反を特定し、解消します。
• インフラストラクチャの変更：Terraform や Cloud のスクリプトを変更した後に実行し、セキュリティグループや暗号化が損なわれていないことを確認します。

使用しない場面

• 実際の患者データ：PHI を含む稼働中のデータベースには、このツールを使用しないでください。このツールは、データを扱う システム の確認に使用します。
• 法的な認証：この監査に合格しても、「HIPAA 認証」を取得したことにはなりません。技術的な設定がベストプラクティスに従っていることを示すものです。

エラー条件とエッジケース

• 難読化されたインフラストラクチャ：クラウドリソースがコードではなく、コンソールでの手動操作（ClickOps）によって作成されている場合、このツールでは検出できません。
• カスタム暗号化：独自仕様または標準規格に準拠していない暗号化方式は、警告として検出される場合があります。

セキュリティとデータ取り扱いに関する考慮事項

• PHI へのアクセスなし：このツールはデータではなく、設定を確認するよう設計されています。
• ローカルでの分析：インフラストラクチャのコードをローカルに保管し、信頼できる環境でスキャンを実行してください。