HIPAA コンプライアンスの維持におけるサイバーセキュリティの役割

公開: 2023-02-15

2022 年には、ヘルスケアがサイバー犯罪の最も標的にされた分野であることがレポートで明らかになりました。ランサムウェア、不正アクセス、電子メール侵害は、脅威インシデントの上位のタイプです。しかし、医療機関によって収集および管理される個人データと個人データの量を考えると、これは当然のことです。保護された医療情報 (PHI) が盗まれるたびに、サイバー犯罪者にとっては金銭に相当します。

ただし、サイバー脅威は PHI を悪用するだけでなく、医療保険の相互運用性と説明責任に関する法律 (HIPAA) への会社のコンプライアンスを危険にさらすことを理解する必要があります。とはいえ、コンプライアンス違反のリスクを回避するために、あらゆる場所の医療機関が今すぐ行動を起こすことが重要です。サイバーセキュリティから始めましょう。このブログでは、サイバーセキュリティが HIPAA コンプライアンスの維持にどのように役立つかについて説明します。まず、HIPAA を詳しく見て、それが何であるかをよりよく理解しましょう。

HIPAA コンプライアンスとは何ですか?

まず、HIPAA は、1996 年に可決された Health Insurance Portability and Accountability Act の略です。これは、個人の医療記録やその他の健康情報のプライバシーとセキュリティを保護することを目的としています。 HIPAA コンプライアンスにより、すべての個人の健康情報が安全に保たれ、個人が自分のデータの使用と開示に関して一定の権利を持っていることが保証されます。

すべての医療提供者、組織、およびビジネス関係者は、保護された医療情報 (PHI) を収集、保存、および転送する際に、HIPAA 規制に準拠する必要があります。また、適切な管理上、物理的、および技術的なセキュリティを実装する必要があります。さらに、組織は、HIPAA に基づく権利を個人に通知し、PHI の使用または開示が許可されていることを確認する必要があります。遵守しない場合、法的罰則および罰金が科される可能性があります。

コンプライアンスを確保するために、組織はすべての HIPAA 規制を最新の状態に保ち、慣行と手順を定期的に確認する必要があります。

HIPAA コンプライアンスにおいてサイバーセキュリティが重要な理由

今日、HHS (米国保健社会福祉省) は、機密性の高い患者データを扱う医療提供者やその他のエンティティに対して、物理的および技術的なセキュリティを確保することを要求しています。これは、ほとんどの医療情報が、コンピューター化された医療注文入力 (CPOE) システムや電子医療記録 (EHR) などのコンピューター化された操作に移行したためです。これらの技術的手法は生産性とモビリティを向上させますが、医療データのセキュリティ上の脅威も大幅に高めます。

もう 1 つの理由は、米国政府が経済的および臨床的健康のための健康情報技術 (HITECH) 法と呼ばれる HIPAA コンプライアンスを確保するための補足法を可決したことです。 HIPAA 規制に違反する対象エンティティに対する罰則が強化されます。

これに照らして、医療機関にとって、電子的に保護された健康情報 (ePHI) を保護し、HIPAA コンプライアンスを維持するための強力なサイバーセキュリティ対策を講じることが重要です。従うことができるサイバーセキュリティのベストプラクティスをいくつか挙げました。

ベストプラクティス

アクセス制御を制限する

ヘルスケア組織が扱うデータの機密性を考慮すると、アクセス制御を制限して安全に保つことが最善です。データを管理し、患者のプライバシーを保護する許可された担当者へのアクセスを制限します。これにより、不正アクセスや、ePHI の改ざんや削除のリスクが軽減されます。

データを暗号化する

アクセスを制限するだけでは十分ではありません。データが適切に管理されていないと、悪意のあるアクターがアクセスできるようになります。とはいえ、医療システムは、輸送中および保管中に ePHI を確実に保護する必要があります。これは、ファイルまたはストレージデバイス自体を保存する前にファイルを暗号化することで実行できます。送信されるデータについても同様です。送信前にデータを暗号化し、HTTPS、TLS、SSL などを介して暗号化された接続を使用できます。

強力なパスワードを使用し、定期的に更新する

ePHI を保護するもう 1 つの方法は、一意のユーザー ID とパスワードを使用することです。これは、サイバーセキュリティについて読んだすべてのブログに含まれていることがよくありますが、多くの人はまだこの手順を無視しています. そして、それはデータ侵害のリスクを高めるだけです. できるだけ複雑なパスワードを使用することが重要です。データ侵害を避けるために、数字と特殊文字を含めてください。さらにセキュリティを強化するために、パスワードを時々変更することも役立ちます。

安全なワイヤレスネットワーク

医療機関がリモート作業モデルに移行する中、社内の IT チームはリモートセキュリティを確保し、ePHI を保護する必要があります。そのための 1 つの方法は、従業員にセキュリティ基準に準拠した事前構成済みのデバイスを提供し、暗号化された仮想プライベートネットワーク (VPN) を使用してインターネットアクティビティを保護することです。 VPN を使用することで、ホームネットワークとビジネスネットワークの間に暗号化された安全な通信チャネルを確立できます。

データをバックアップする

データバックアップを作成しておくと、災害、システム障害、またはその他のデータ損失イベントが発生した場合でも、データが安全であり、アクセス可能なままであることを保証するのに役立ちます。重要な情報の迅速かつ正確な回復を可能にする追加の保護層を提供します。さらに、データをバックアップすることで、保護された医療情報への変更や改訂を確実に追跡、監視し、安全に保管することができます。したがって、HIPAA の対象となるエンティティは、このステップを見逃してはなりません。

従業員のトレーニング

最後に、従業員は攻撃者の標的になりやすいため、基本的なサイバーセキュリティトレーニングを受ける必要があります。彼らは次のことを理解することを学ばなければなりません:

何が違反を構成するか
侵害を回避するためのベストプラクティス
侵害が発生した可能性がある場合の手順
HIPAA コンプライアンスのためにセキュリティと機密性を維持することの重要性

従業員をトレーニングすることで、HIPAA 非準拠の原因となるサイバーセキュリティリスクを軽減できます。

結論

あらゆる場所で医療機関に対する脅威が増大しているため、サイバーセキュリティへの投資を次のレベルに引き上げ、IT 予算を増やし、このブログのベストプラクティスを実装する必要があります。これらすべてを行うことで、膨大な量の患者情報を保護し、HIPAA コンプライアンスを維持することができます。

ただし、実装するポリシー、手順、およびテクノロジは、エンティティの規模、組織構造、および ePHI に対するリスクに適したものでなければならないことに注意してください。サイバーセキュリティの効率を確保しながら、多くのお金を節約するのに役立ちます.