LASSIC Media らしくメディア

監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）

「必要に応じて検討する」という書き方が、規制から消えるかもしれません。米国の保健福祉省が2025年1月6日に公表したHIPAAセキュリティ規則の改正案は、「対応可能（addressable）」と「必須（required）」という区別をなくし、どちらも守るべき要件として扱うという提案を含んでいます*1。

背景として挙げられているのは、医療の提供環境の変化、侵害とサイバー攻撃の大幅な増加、そして公民権局が調査の中で繰り返し見てきた不備です*1。柔軟さがあるのは「守るかどうか」ではなく「どう守るか」の部分だ、というのが省の説明でした*1。

本記事は、米国向けの医療情報システムを扱う開発部門と、その受託・運用に関わる立場に向けて、案の中身と設計を左右する条件を整理します。自社が対象になるかどうかの判断は、公式資料と米国法に詳しい専門家への確認を経て進めてください。

この案がどこにあるのか

最初に現在地です。義務の中身より先に、これが確定していないことを押さえます*1。

正式名称は「電子的保護対象保健情報のサイバーセキュリティを強化するHIPAAセキュリティ規則」の規則案で、根拠は1996年のHIPAAと2009年のHITECH法です*1。公表は2025年1月6日、意見の締切は2025年3月7日でした*1。改正の対象は連邦規則集第45編の160部と164部です*1。その後、最終規則は公表されていません。

対象になるのは、対象事業者（covered entities）とその業務提携先（business associates）で、規則案ではこの両者をまとめて規制対象事業者と呼びます*1。数は約182万2,600と見積もられました*1。

費用の規模も示されています。初年度の費用は約90億米ドル、2年目から5年目は年およそ60億米ドルで、2パーセントの割引率を用いた年換算では68億米ドルという数字が挙がりました*1。この額の大きさが、そのまま提案の重さを示しています。

なお、規則の改正頻度そのものにも制約があります。省が各基準や実装仕様を修正できるのは12か月に1回までで、これは法律が定めた枠組みです*1。一度動けば、しばらく次はないという前提で読む必要があります。

「任意」という読み方をなくす

今回の案で、もっとも構造を変える提案がこれです*1。

現行のセキュリティ規則には、実装仕様を「必須」と「対応可能」に分ける仕組みがあります*1。2003年の最終規則で導入されたもので、狙いは柔軟性の確保でした*1。対応可能とされた項目については、自らの環境で妥当かどうかを評価し、妥当なら実装し、妥当でなければその理由を文書化したうえで、同等の代替措置を実装する、という建て付けです*1。

ところが、この区別が選択肢だと誤解されてきたというのが省の見立てでした*1。そこで、標準と実装仕様を扱う条文を一つにまとめ、対応可能と必須の区別を削る案が出ています*1。採用されれば、規制対象事業者は標準と実装仕様の双方に従うことになります*1。

暗号化がわかりやすい例として挙げられました*1。現行ではアクセス制御の基準のもとで対応可能な実装仕様に位置づけられており、妥当性を評価したうえで実装するかどうかを決める形です*1。案では、この評価の余地がなくなります。

省の言い方では、セキュリティ規則はサイバーセキュリティの床（floor）を定めるものであり、柔軟さは基準や実装仕様を「満たすかどうか」ではなく「どのように満たすか」にある、という整理です*1。情報セキュリティマネジメントの認証で扱う管理策の選択とは、効き方が変わります。

調査で繰り返し見えた不備

なぜここまで具体的な要件が並ぶのか。規則案は、実際の調査事例を根拠として挙げています*1。

ひとつは、ある医療センターの事案です。職員が1万2,000人を超える患者のePHIに不適切にアクセスし、患者の情報を窃盗の組織へ売っていました*1。公民権局の調査は、保持するすべてのePHIについて正確かつ網羅的なリスク分析を行う要件と、監査ログ、アクセスの報告、インシデント追跡といった情報システムの活動記録を定期的に確認する手順を実装する要件について、違反の可能性を示しています*1。

もうひとつは、業務提携先の事案でした。ネットワークサーバがランサムウェアに感染し、20万人を超える人のePHIが影響を受けています*1。目を引くのは検知までの時間です。侵入に気づくまで18か月以上かかり、気づいたのは侵入者がファイルを暗号化したときでした*1。ここでも、リスク分析と活動記録の定期的な確認について、実施が十分でなかった可能性が指摘されています*1。

規模の大きな事案も背景にあります。ある医療決済事業者への攻撃について、親会社の最高経営責任者は議会で、米国人の3分の1の保護対象保健情報が関わりうると証言しました*1。この事案の侵害報告は2024年7月19日に省へ提出されています*1。

三つの事例に共通するのは、記録はあったが、見ていなかったという構図です。ログを取ることと、取ったログを定期的に確認して異常に気づくことは別の作業になります。案が活動記録の種類と確認の要件を細かく書いているのは、この差を埋めるためだと読めます。

棚卸しが出発点になる

実装の順序を決めるのが、この提案です*1。

現行のセキュリティ管理プロセスの基準に代えて、技術資産の目録と、情報システムのネットワーク図を、正確かつ網羅的に書面で作成し維持することを求める基準が提案されました*1。目録が、十分で正確なリスク分析の土台になるという位置づけです*1。

対象になるのは、電子的保護対象保健情報（ePHI）を作成・受領・保持・送信する情報システムと、その機密性・完全性・可用性に影響しうるすべての技術資産です*1。ePHIを直接扱わない資産でも、影響しうるなら対象に入るという広さがあります*1。

委託の関係がある場合、境界の引き方も示されました。業務提携先がePHIを扱うために使う技術資産は、対象事業者の情報システムそのものではありませんが、ePHIに影響するため対象事業者のネットワーク図には載せることになります*1。それらの資産は業務提携先の側では、目録とネットワーク図の両方に載ります*1。対象事業者が業務提携先へePHIを送るために使う資産は、対象事業者の目録とネットワーク図の両方に、そして業務提携先のネットワーク図にも現れます*1。

ここが受託側の勘どころでしょう。同じ資産が、立場によって載る場所が変わります。自社の資産台帳が自社視点でしか作られていないと、委託元へ渡す図が起こせません。供給網のセキュリティ管理で扱う取引先の階層と同じく、境界をまたぐ形でデータを持てるかが問われます。

頻度が条文に入る

案の特徴は、期間の数字が具体的に置かれていることです*1。

いくつか補足します。復旧の72時間は、重要な情報システムとデータについての条件で、それ以外は自らの重要度分析に従って復旧する形です*1。省はこの数字が妥当かどうか、すべての情報システムに広げるべきか、一部の事業者にはより短い時間を課すべきかについても意見を求めました*1。

24時間の通知は、人の動きに関するものです*1。ある規制対象事業者が要員に与えたアクセス権を変更または終了したとき、その要員がアクセスを許されていた別の規制対象事業者に対して通知するという提案でした*1。委託の関係が複数にまたがる現場では、この経路を誰が持つかが実装の論点になります。

適合性の監査は、現行の規則にはない要件です*1。内部監査でも第三者による監査でも、堅牢なセキュリティ体制の重要な要素だという位置づけで、政府監査院が公表した指針が参照されています*1。費用の見積もりでは、年1回の反復費用として計上されました*1。

記録の扱いも具体的です。活動の記録として挙げられたのは、監査証跡、イベントログ、ファイアウォールのログ、システムログ、バックアップのログ、アクセスの報告、マルウェア対策のログ、インシデント追跡の報告です*1。監査ログの設計と保存とローテーションの運用を、この一覧に照らして点検しておきたいところです。

暗号化・多要素認証・ネットワーク分離

技術的な統制についても、具体的な提案が並びます*1。

暗号化。新しい基準のもとで、保存中と送信中のすべてのePHIを暗号化することが実装仕様として提案されました*1。限られた例外はありますが、原則としてすべてが対象です*1。加えて、脆弱だと知られているアルゴリズムを使っている状態は、その時点の暗号標準を満たしていないという扱いになります*1。なお、規則の文言としてその標準を定義することは、現時点では提案されていません*1。暗号化の基本で扱う鍵とアルゴリズムの選び方が、そのまま適合の話になります。

多要素認証。技術的な統制として求めるほか、利用者と技術資産の身元を確認する手順を書面で定めることが提案されています*1。緊急時などで実施できない場合の例外も用意されますが、その状況を文書化し、代替となる補完的な統制を採ることが前提です*1。例外の状態が解消すれば、多要素認証への適合に戻ることが期待されるとされています*1。費用の見積もりでは、規制対象事業者1者あたり平均1.5時間の作業として、総額3億2,790万米ドルが初年度のみ計上されました*1。

ネットワーク分離。大規模および中規模の事業者の多くはある程度の分離を行っているが、ePHIをより十分に保護するには追加の対応が必要になりうる、という見立てです*1。小規模な事業者では分離の重要性が認識されていない場合もあるとされました*1。見積もりは1者あたり平均4.5時間で、初年度の総額は9億8,371万米ドルです*1。

もう一点、「実装した」と言える状態の定義も変わります。案では、講じた対策が期待どおりに機能して初めて実装されたとみなすという趣旨が明確にされました*1。例として挙げられたのは、マルウェア対策です。方針を定めるだけでは足りず、ePHIを扱う、あるいはePHIに影響しうるすべての情報システムに対策を行き渡らせて初めて実装したことになる、という説明でした*1。

委託先を検証するという要件

受託する側にとって、直接効いてくるのがこの部分です*1。

リスク分析の実装仕様として、業務提携先から得た書面による検証に基づいて、その相手と契約を結ぶこと、あるいは継続することがePHIにもたらすリスクを評価することが提案されました*1。相手の言葉を信じて終わりではなく、書面で受け取り、評価に反映する形です*1。

そしてこの評価は、作って終わりではありません。実装仕様として、継続的に、遅くとも12か月に1回以上、そして環境や運用に変化があったときに、書面の評価を見直し、検証し、更新することが求められます*1。

受託の立場で読むと、問い合わせが定期的に来るということです。委託元は12か月ごとに評価を更新する必要があり、その材料を出すのは受託側になります。都度ゼロから資料を作る運用では、回数が増えるほど負担が積み上がります。資産の目録、暗号化の状態、記録の保存期間といった項目を、あらかじめ提出できる形で持っておくほうが現実的でしょう。

逆に、こちらから委託する場合は同じ要求を出す側になります。CSIRTやSOCの人員が薄い体制では、年1回の検証を回すだけで手が塞がりかねません。様式を決めて機械的に集める形にできるかが分かれ目です。

受託・システム側で押さえる要点

確定を待たずに着手できることを、順に挙げます。

第一に、資産の目録とネットワーク図を書面で持つことです。案では、これがリスク分析の土台に位置づけられました*1。構成管理ツールの画面はあっても、書面として維持されている組織は多くありません。まず現状で何が出せるかを確かめます。

第二に、境界をまたぐ視点で資産を持つことです。同じ資産が、委託元の図と受託側の目録の双方に現れます*1。自社視点だけの台帳では、相手へ渡す図を起こせません。

第三に、頻度の条件に運用を合わせることです。6か月ごとのスキャンとバックアップ検証、12か月ごとの監査と訓練*1。単発の作業として人手で回すと、年間の工数が読めなくなります。実施の記録まで含めて仕組みに載せておきます。

第四に、72時間の復旧を実測することです。案の条件は重要な情報システムとデータの復旧です*1。手順書があっても、実際に測ったことがなければ根拠になりません。復旧訓練で扱う実測の記録が、そのまま説明の材料になります。

第五に、暗号化の対象範囲を洗い出すことです。保存中と送信中のすべてが対象という提案です*1。バックアップ、一時ファイル、ログ、開発環境の複製。ePHIが落ちる場所を列挙するところから始めます。

受託で進める場合の注意点も挙げておきます。

まだ案である前提を崩さないことです。意見募集は2025年3月7日に締め切られ、その後の最終規則は公表されていません*1。内容が変わる余地はあります。判定の作り込みより、資産と記録の土台づくりのほうが投資として無駄になりにくいと考えられます。

検証への回答を仕組みにすることです。委託元は12か月ごとに評価を更新します*1。回答の様式を決め、資産目録や暗号化の状態から自動で埋まる形にしておくと、回数が増えても耐えられます。

他制度と土台を共有することです。資産の棚卸し、記録の保存、復旧時間の実測は、米国の重要インフラ向け報告制度や事業継続の計画でも同じ形で問われます。制度ごとに別の台帳を立てると、同じ情報を何度も集めることになります。

体制としては、医療情報の業務と情報システムの設計の両方を追える要員が入れるかが分かれ目になります。医療分野のシステムは、扱う情報の性質から要求が細かくなりがちです。ランサムウェアへの備えと合わせて、いま持っているデータで何が示せて何が示せないのかを確かめておきたいところです。

まとめ：HIPAAセキュリティ規則案で押さえる3つの視点

米国の保健福祉省は、電子的保護対象保健情報のサイバーセキュリティを強化するHIPAAセキュリティ規則の改正案を2025年1月6日に公表しました。意見は2025年3月7日まで受け付けられ、その後の最終規則は公表されていません。押さえたい視点は三つあります。第一に、構造の変化です。実装仕様を「対応可能」と「必須」に分ける仕組みをなくし、標準と実装仕様の双方に従うことを求める案が示されました。柔軟さは満たすかどうかではなく、どのように満たすかにあるという整理です。第二に、頻度が条文に入ることです。脆弱性スキャンとバックアップの技術的統制の検証は6か月に1回以上、リスク分析の見直しと計画の訓練、適合性の監査は12か月に1回以上とされました。重要な情報システムとデータは72時間以内に復旧し、要員のアクセス権の変更や終了は24時間以内に関係する事業者へ通知する案です。第三に、委託の関係が正面から扱われることです。業務提携先から書面による検証を得て、それに基づくリスクの評価を12か月ごとに更新する要件が置かれました。対象は約182万2,600の事業者で、初年度の費用は約90億米ドルと見積もられています。資産の目録とネットワーク図を書面で持てるかどうかは、確定を待たずに確かめられます。

よくある質問

出典

1. *1　参考：米国連邦官報「HIPAA Security Rule To Strengthen the Cybersecurity of Electronic Protected Health Information」規則案（保健福祉省、2025年1月6日）（https://www.federalregister.gov/documents/2025/01/06/2024-30983/hipaa-security-rule-to-strengthen-the-cybersecurity-of-electronic-protected-health-information）。公表日と意見締切、対応可能と必須の区別の削除、技術資産の目録とネットワーク図、脆弱性スキャンとバックアップ検証の6か月、リスク分析・訓練・適合性監査の12か月、72時間の復旧と24時間の通知、保存中と送信中の暗号化、多要素認証とネットワーク分離の費用見積もり、業務提携先からの書面検証、対象事業者数と初年度約90億米ドルという費用の一次情報として（2026年8月確認）

Tweet