hipaa-risk-analysis

HIPAA リスク分析 — 45 CFR §164.308(a)(1)

概要

HIPAA セキュリティ規則は、対象事業者および業務提携者に対し、組織が保有する ePHI の機密性、完全性、可用性に対する潜在的なリスクと脆弱性を、正確かつ徹底的に評価することを求めています。§164.308(a)(1)(ii)(A) に基づくリスク分析は、セキュリティ規則の基本要件であり、その後のすべての安全対策に関する判断の基礎となります。OCR は、包括的かつ全社的なリスク分析を実施していないことが、侵害調査やコンプライアンスレビューで最もよく見られる指摘事項であると特定しています。リスク分析は一度限りのものではなく継続的に実施し、環境に重大な変化があった場合や、セキュリティインシデントへの対応として更新する必要があります。

法的根拠

規制本文

45 CFR §164.308(a)(1)(ii)(A) — リスク分析（必須）：

「対象事業者または業務提携者が保有する電子的保護対象医療情報の機密性、完全性、および可用性に対する潜在的なリスクと脆弱性を、正確かつ徹底的に評価すること。」

45 CFR §164.308(a)(1)(ii)(B) — リスク管理（必須）：

「§164.306(a) を遵守するため、リスクと脆弱性を合理的かつ適切なレベルまで低減するのに十分なセキュリティ対策を実施すること。」

OCR ガイダンス文書

OCR は、「HIPAA セキュリティ規則に基づくリスク分析要件に関するガイダンス」（2010 年 7 月 14 日）を公表し、適切なリスク分析で対応すべき 9 つの必須要素を定めました。このガイダンスは拘束力のある規制ではありませんが、OCR の執行上の期待を示すものであり、和解合意や是正措置計画において一貫して適用されています。

OCR の 9 つの必須要素

要素 1：分析の範囲

リスク分析では、組織が作成、受領、保管、または送信するすべての ePHI を、あらゆる形式および場所にわたって対象とする必要があります。

Asclepius Health Network の対象範囲インベントリ：

ePHI の場所	システム／媒体	データカテゴリ	件数・量
電子カルテ（Epic）	本番サーバー、災害復旧サイト	完全な臨床記録、人口統計情報、保険情報	患者記録 420 万件
診療管理システム	クラウドホスト型（Azure US East）	予約管理、請求、紹介	患者 420 万人
検査情報システム	オンプレミスサーバー	検査依頼、結果、検体追跡	年間 1,200 万件の結果
放射線科 PACS	オンプレミス SAN ストレージ	診断画像、レポート	850 TB の画像データ
メールシステム（Exchange Online）	Microsoft 365 テナント	臨床上のやり取りに含まれる付随的な ePHI	ePHI を含むメッセージは 1 日あたり推定 15,000 件
モバイルデバイス	組織所有のタブレット 3,200 台、BYOD スマートフォン 800 台	臨床参考情報、セキュアメッセージング、患者の写真	変動
医療機器	ネットワーク接続された機器 1,400 台（輸液ポンプ、モニター、人工呼吸器）	リアルタイムの患者データ、機器ログ	継続的なストリーミング
紙からデジタルへの変換	スキャン用ワークステーション、OCR サーバー	スキャンされた過去の記録、ファクスで届く紹介状	1 日あたり 2,000 ページ
業務提携者のシステム	ePHI へのアクセス権を持つ業務提携関係 47 件	業務提携者によって異なる（請求、文字起こし、クラウドホスティング、分析）	業務提携者によって異なる
バックアップとアーカイブ	テープライブラリ、オフサイト保管庫、クラウドアーカイブ	システム全体のバックアップ	6 年間の保持
医療情報交換	地域 HIE プラットフォーム	ADT フィード、CCD 文書、検査結果	月間 150,000 件のトランザクション

要素 2：データの収集

ePHI が保存、受信、維持、または送信される場所を特定し、文書化します。方法には次のものがあります。

• 自動検出：医療データを通信するシステムを特定するネットワークスキャンツール（HL7、FHIR、DICOM トラフィック分析）
• データフローマッピング：システム、部門、外部関係者間で ePHI がどのように移動するかを文書化します
• 職員への聞き取り：部門マネージャー、臨床情報学者、IT スタッフへの体系的な聞き取り
• システムインベントリのレビュー：CMDB（構成管理データベース）と ePHI の分類タグを照合します
• ベンダー評価アンケートへの回答：BA が報告する ePHI の取り扱い方法
• 現場の実地確認：ePHI を処理するワークステーション、プリンター、ファクス機、保管場所を特定します

要素 3：潜在的な脅威と脆弱性の特定および文書化

脅威のカテゴリ

脅威のカテゴリ	具体的な脅威	情報源
自然災害	洪水、地震、竜巻、ハリケーン、山火事、パンデミック	地理的リスクおよび気候リスクの評価
人的要因 — 意図的	ハッキング／IT インシデント、ランサムウェア、フィッシング、内部関係者による窃盗、ソーシャルエンジニアリング、国家主体の APT	FBI IC3 の報告、HHS のサイバーセキュリティ警告、脅威インテリジェンスフィード
人的要因 — 意図しない	誤送信されたメール／ファクス、デバイスの紛失、不適切な廃棄、設定ミス、トレーニングの不備	インシデント履歴、OCR の情報漏えいポータルの傾向
環境要因	停電、HVAC の故障、水害、火災、電磁干渉	施設評価、電力・公共サービスの信頼性データ
技術的要因	ソフトウェアの脆弱性、ハードウェアの故障、ネットワーク障害、暗号の脆弱性	CVE データベース、ベンダーの勧告、侵入テストの結果

脆弱性評価の方法

• 侵入テスト：独立した第三者による外部および内部の侵入テストを毎年実施します
• 脆弱性スキャン：ネットワークに接続されたすべての資産を対象に、毎週自動スキャンを実施します（Qualys、Nessus、または同等のツール）
• 構成監査：CIS ベンチマークに照らして、システム構成を四半期ごとにレビューします
• ソーシャルエンジニアリングテスト：フィッシングシミュレーションを半年ごとに実施し、物理的な侵入の試みを毎年実施します
• アプリケーションセキュリティテスト：社内開発アプリケーションの SAST／DAST スキャンを実施し、重要なシステムについては第三者によるコードレビューを実施します
• ワイヤレスセキュリティ評価：不正なアクセスポイントのスキャンを四半期ごとに実施し、ワイヤレス侵入テストを毎年実施します

要素 4：現在のセキュリティ対策の評価

既存のセーフガードとその有効性を文書化します。

Asclepius Health Network の現在の管理策評価（例）：

管理領域	実施済みの対策	有効性評価	特定されたギャップ
アクセス制御	EHR でのロールベースアクセス制御と一意のユーザー ID	有効	すべての部門で四半期ごとのアクセスレビューが一貫して完了していない
保存データの暗号化	サーバーとエンドポイントで AES-256 FDE を適用	有効	暗号化されていない組み込みシステムを実行する旧式医療機器が 12 台ある
転送データの暗号化	すべての外部接続で TLS 1.2 以降を強制	有効	社内の旧式インターフェース 3 つが依然として TLS 1.0 を使用している
監査ログ	6 年間の保持期間を備えた一元管理型 SIEM	有効	アラート量に対してログレビューの人員が不足している
バックアップ	日次の増分バックアップ、週次のフルバックアップ、オフサイトレプリケーション	有効	復元テストの頻度を改善する必要がある
物理セキュリティ	バッジによるアクセス制御、CCTV、来訪者管理	一部有効	もはやアクセス権が必要ない 15 名がサーバールームのアクセス用バッジリストに含まれている
マルウェア対策	管理対象の全エンドポイントに EDR を導入	有効	MDM 登録率が 100％ 未満の BYOD デバイスに適用範囲のギャップがある
パッチ管理	月次のパッチサイクル、重大パッチの SLA は 14 日	一部有効	メーカーの認証要件により医療機器へのパッチ適用が遅れている

要素 5：脅威が発生する可能性を判定する

脅威の能力、動機、既存の対策に基づいて、可能性の評価を割り当てます。

可能性のレベル	定義	スコア
非常に高い	今後1年以内にほぼ確実に発生します。実際の悪用が確認されています	5
高い	発生する可能性が高いです。脅威源には能力と動機があり、対策には既知の弱点があります	4
中程度	発生する可能性があります。脅威源が存在し、一定の能力を備えています。対策は部分的に有効です	3
低い	可能性は低いものの、発生する可能性はあります。脅威の能力または動機は限定的です。対策は概ね有効です	2
非常に低い	可能性は極めて低いです。この脆弱性を標的とする既知の脅威源はなく、強固な対策が講じられています	1

要素 6：脅威が発生した場合の潜在的な影響を判定する

脅威が脆弱性を悪用した場合に生じる被害の大きさを評価します。

影響のレベル	定義	例	スコア
重大	個人または組織に壊滅的な被害が生じます	>500K件の記録の漏えい、データ完全性の障害による患者への恒久的な被害、組織の支払不能	5
高い	多数の個人に重大な被害が生じるか、組織に深刻な影響が及びます	10K-500K件の記録の漏えい、患者ケアに影響する長期のシステム停止、OCRによる調査	4
中程度	限られた個人に中程度の被害が生じるか、業務に大きな支障が生じます	500-10K件の記録の漏えい、数日間にわたるシステム停止、相当な修復費用	3
低い	少数の個人に限定的な被害が生じるか、管理可能な業務上の影響が生じます	<500件の記録の漏えい、短時間のシステム障害、封じ込められたインシデント	2
軽微	被害がほとんどないか、まったくありません	ePHIの漏えいがないことを確認済み、軽微な業務上の不便	1

要素 7：リスクレベルを判定する

リスクは、可能性と影響の積として算出します。

Risk Score = Likelihood × Impact

リスクスコア	リスクレベル	必要な対応
20-25	重大	直ちにリスクを軽減する必要があります。上級幹部への通知が必要です。システムの停止を検討してください
12-19	高い	30日以内にリスク軽減計画が必要です。リスクを受容するには管理者の承認が必要です
6-11	中程度	90日以内にリスク軽減計画が必要です。代替策として、リスク受容を文書化してください
2-5	低い	通常業務の中で監視および対処し、年次レビューを実施してください
1	最小	リスクを受容して文書化し、次回予定されているリスク分析でレビューしてください

Asclepius Health Network リスク登録簿（記入例）：

リスク ID	脅威／脆弱性	可能性	影響	リスクスコア	リスクレベル
R-001	臨床システムへのランサムウェア攻撃	4（高い）	5（重大）	20	重大
R-002	内部関係者による著名患者の記録への不正アクセス	4（高い）	3（中程度）	12	高い
R-003	暗号化されていない旧式医療機器データの漏えい	3（中程度）	4（高い）	12	高い
R-004	フィッシングによる認証情報の侵害	4（高い）	4（高い）	16	高い
R-005	暗号化されていないモバイルデバイスの紛失／盗難	2（低い）	3（中程度）	6	中程度
R-006	ePHIを含むファクスの誤送信	3（中程度）	2（低い）	6	中程度
R-007	自然災害によるプライマリデータセンターへの影響	2（低い）	5（重大）	10	中程度

要素 8：文書の最終化

リスク分析では、以下を実証できるだけの十分な詳細を文書化する必要があります。

1. 対象範囲にすべての ePHI が含まれていること
2. 脅威と脆弱性が包括的に特定されていること
3. 現在のセキュリティ対策が評価されていること
4. 一貫した方法論を用いて可能性と影響が評価されていること
5. リスクレベルが判定されていること
6. 有資格者が分析を実施したこと

必要な文書の構成要素：

• 分析日と対象期間
• 分析を実施した担当者（氏名、資格）
• 方法論の説明
• ePHI の分類を含む完全な資産インベントリ
• 脅威と脆弱性のカタログ
• 現在の管理策のインベントリ
• リスク評価マトリクスと評価結果
• 特定されたすべてのリスクを記載したリスク台帳
• 経営陣向けのエグゼクティブサマリー

要素 9：定期的なレビューと更新

リスク分析は一度限りの活動ではありません。以下の場合に更新する必要があります。

• 定期的な包括的レビューとして、少なくとも年に 1 回
• 新しいシステム、アプリケーション、またはテクノロジーを導入した場合
• 運用環境に大きな変更があった場合（合併、移転、新施設の開設）
• セキュリティインシデントまたは侵害の後
• 新たな脅威が特定された場合（新しいマルウェアファミリー、規制の変更、脅威インテリジェンスの警告）
• OCR または業界のガイダンスによって新たなリスク領域が明らかになった場合

リスク管理と軽減計画 — §164.308(a)(1)(ii)(B)

組織が許容するリスクのしきい値を超える各リスクについて、軽減計画を策定し、実施します。

軽減計画のテンプレート（リスク R-001：ランサムウェア）：

要素	詳細
リスク ID	R-001
リスクの説明	ランサムウェア攻撃によって臨床システムが暗号化され、ePHI を利用できなくなる
現在のリスクスコア	20（重大）
軽減策	(1) ランサムウェアの振る舞い検知機能を備えた高度な EDR を導入する；(2) 臨床システムを隔離するネットワークセグメンテーションを実施する；(3) エアギャップストレージを使用した不変バックアップコピーを保持する；(4) ランサムウェア対応の机上演習を四半期ごとに実施する；(5) 臨床ワークステーションでアプリケーションのホワイトリスト登録を実施する
実施スケジュール	EDR：完了；セグメンテーション：60 日以内；不変バックアップ：90 日以内；机上演習：四半期ごと；ホワイトリスト登録：120 日以内
責任者	CISO（全体）；ネットワークエンジニアリング（セグメンテーション）；バックアップ管理者（不変バックアップ）
目標リスクスコア	8（中）— 多層防御により、可能性を 4 から 2 に低減
残存リスクの受容	文書化されたリスク受容フォームに基づき、CIO と CPO が承認
レビュー日	次回の包括的レビュー時、または実施から 90 日後

OCR による一般的な指摘事項

OCR は、リスク分析において以下の不備を一貫して指摘しています。

1. 全社的でない：分析の対象が EHR システムのみに限定され、メール、モバイルデバイス、医療機器、BA システムが除外されている
2. 更新されていない：定期的なレビューや重大な変更後の更新がない、一度限りの分析
3. 不十分：すべての ePHI 資産、特にシャドー IT、個人所有デバイス、クラウドサービスを特定できていない
4. 文書化されていない：書面による文書化を行わず、非公式に分析を実施している
5. リスク管理の対応がない：リスクは特定されているが、軽減計画が策定または実施されていない
6. 方法論が不十分：可能性や影響を判定する体系的なアプローチがなく、明確な基準を定めずに主観的なリスク評価を行っている

リスク分析の不備に対する執行措置

OCRによる執行措置の大半で、リスク分析の不備が指摘されています。

• Anthem Inc. (2018)：1,600万ドル — 7,880万人に影響した侵害の発生前に、全社的なリスク分析を実施していませんでした
• Premera Blue Cross (2020)：685万ドル — リスク分析で全社的なリスクを特定できず、ePHIを含むすべてのシステムを評価していませんでした
• Banner Health (2023)：125万ドル — リスク分析が正確かつ包括的ではなく、ePHIに対するすべてのリスクを特定していませんでした
• CHSPSC LLC (2020)：230万ドル — 正確なリスク分析の実施とリスク管理措置の導入を怠っていました
• University of Massachusetts Amherst (2020)：65万ドル — 研究プログラムが保持するePHIのリスク分析を実施していませんでした
• Metro Community Provider Network (2017)：40万ドル — リスク分析の深度が不十分でした

統合ポイント

• hipaa-security-rule：リスク分析は、すべての技術的、管理的、物理的な保護措置の実施に関する意思決定を導きます
• hipaa-breach-notify：侵害発生後のリスク分析の更新結果は、§164.402に基づく侵害リスク評価に反映されます
• hipaa-baa-management：リスク分析には、ビジネスアソシエイトが保有する、またはアクセス可能なePHIを含める必要があります
• hipaa-privacy-rule：プライバシーリスク評価は、包括的なPHI保護に向けたセキュリティリスク分析を補完します