HIPAA準拠のメール暗号化と医療データ（ePHI）の保護をイメージした画像

HIPAAメール暗号化で知っておくべき重要ポイント

HIPAA適合メール暗号化の基礎と選び方


著者: Milena Baghdasaryan
翻訳: 東條 百々朱

この記事はPowerDMARCのブログ記事 HIPAA Email Encryption: What You Need to Know の翻訳です。
Spelldataは、PowerDMARCの日本代理店です。
この記事は、PowerDMARCの許可を得て、翻訳しています。

主なポイント

  1. HIPAAは、電子的保護対象保健情報（ePHI）を保護するための全国共通の基準を定めています。
  2. HIPAAに準拠したメール暗号化を導入することで、PHI（保護対象保健情報）を含むメールを送信中の不正アクセスから保護できます。
  3. HIPAAでは、PHIを適切に保護するため、安全かつ適切な暗号化の導入が推奨されています。
    また、米国保健福祉省（HHS）および米国国立標準技術研究所（NIST）は、TLS 1.2以降などの最新の暗号化プロトコルの利用を推奨しています。

医療業界ほど機密性の高い情報を取り扱う業界は多くありません。
患者記録には、氏名や住所などの個人情報に加え、病歴、保険情報、さらには金融情報まで含まれる場合があります。

そのため、医療機関はサイバー犯罪者にとって格好の標的となっています。
こうした情報を保護するために、米国ではHealth Insurance Portability and Accountability Act（HIPAA）が制定されました。

HIPAAは、医療情報を保護するための全国的な基準を定めており、医療提供者、保険会社、およびその業務委託先に対して、プライバシーとセキュリティを確保するための適切な対策を講じることを求めています。
数ある要件の中でも、HIPAAではデジタル通信、とりわけ依然として主要な攻撃経路となっているメールの保護を重視しています。
HIPAAに準拠したメール暗号化を導入することで、医療機関は機密情報への不正アクセスを防ぎ、情報漏洩のリスクを低減するとともに、法令遵守にもつなげることができます。

HIPAAメール暗号化とは？

HIPAAに準拠したメール暗号化とは、PHI（保護対象保健情報）を含む読み取り可能なデータを暗号化し、権限のない第三者には内容を判読できない状態へ変換する仕組みです。
これにより、診療記録、治療計画、請求情報などの患者情報が送信中に傍受されることを防ぎます。
HIPAAセキュリティルールでは、対象事業者に対し、電子的保護対象保健情報（ePHI）を保護するための適切なセキュリティ対策を講じることを求めています。

HIPAAでは暗号化そのものを必須とはしていませんが、§164.312(a)(2)(iv)および§164.312(e)(2)(ii)では、「Addressable（実施が望ましい）」実装仕様として定められています。
これは、組織が次のいずれかを実施しなければならないことを意味します。

暗号化には、大きく分けて次の2つの対象があります。

送信中（In Transit）
メールがメールサーバ間や受信者へ送信される間の通信を保護します。
保存中（At Rest）
サーバ、デバイス、バックアップシステムなどへ保存されたメールを保護します。

ほとんどの医療機関にとって、送信中のメール暗号化は欠かせません。
暗号化されていないメールでは、PHIが中間者攻撃や不正アクセスの対象となるだけでなく、HIPAA違反による制裁の対象となる可能性もあります。

HIPAAメール暗号化が重要である理由

PHIを含む暗号化されていないメールは、医療機関に重大なリスクをもたらします。
主なリスクは以下のとおりです。

法的・金銭的リスク
HIPAA違反に対する罰金は、違反1件あたり100ドルから50,000ドルで、違反区分ごとの年間上限は150万ドルに達する場合があります。
暗号化されていないメールを送信しただけでも、調査や法的措置の対象となる可能性があります。
また、臨床研究や製薬業界を含むライフサイエンス業界では、安全なメール暗号化は単なるベストプラクティスではなく、患者データや研究データを保護するために欠かせない要件となっています。
信頼とブランドイメージへの影響
患者は医療機関に対し、高い水準のプライバシー保護を期待しています。
診療予約の確認や請求に関する連絡など、医療事務の日常業務で送信されるメールにも、機密情報が含まれる場合があります。
情報漏洩、とりわけ暗号化されていないメールが原因となった場合には、患者の信頼を失い、ブランドイメージの低下や患者離れにつながる可能性があります。
サイバー攻撃への対策
フィッシングメール、ビジネスメール詐欺（BEC）、スプーフィング攻撃は、医療機関を頻繁に標的としています。
メールを暗号化することで、万が一メールが傍受されたとしても、PHIの内容を第三者が読み取ることはできません。

HIPAAメール暗号化の要件

HIPAAでは特定の暗号化方式を指定してはいませんが、電子的保護対象保健情報（ePHI）を保護するために、暗号化をいつ、どのように適用すべきかを定めています。
HIPAAセキュリティルールの技術的保護措置（§164.312）では、次の2つが重視されています。

送信時のセキュリティ（§164.312(e)(1)）
電子ネットワーク上で送信されるePHIへの不正アクセスを防止するための対策を講じる必要があります。
暗号化および復号（§164.312(e)(2)(ii)）
「Addressable（実施が望ましい）」要件として定められており、保存中および送信中のデータを暗号化する、または同等の保護措置を講じることが求められます。

実際には、次のようなケースでは暗号化が必要になります。

厳密には必須ではない場合でも、PHIを含む社内メールや業務委託先とのやり取りなど、不正アクセスのリスクがある通信では暗号化を強く推奨します。
現在では、対象事業者および業務委託先は、HIPAAに準拠したメールシステムの保護基準を示すNIST Special Publication 800-45 Revision 2など、NISTの最新ガイドラインに従うことが推奨されています。

HIPAA準拠のメール暗号化方式

組織に適した暗号化方式は、技術的な要件、利用者の利便性、コンプライアンス要件によって異なります。
代表的な暗号化方式は、以下の3つです。

Transport Layer Security（TLS）

Transport Layer Security（TLS）は、メールサーバ間でメールを送信する際の通信を暗号化する方式です。
広く利用されている標準的な暗号化方式であり、利用者が特別な操作を行う必要はありません。
送信側と受信側の双方がTLS 1.2以降に対応していれば、HIPAAの要件を満たす安全な通信を実現できます。

TLSの最大のメリットは、追加の操作を必要とせず、メール送信中の盗聴や傍受を防げることです。
一方で、TLSはエンドツーエンド暗号化ではありません。
そのため、メールは送信経路では暗号化されますが、メールサーバ上では暗号化されていない状態で保存される場合があります。

また、送信側と受信側の双方がTLSに対応している必要があります。
受信側のメールサーバがTLSに対応していない場合は、暗号化されずに送信される可能性があります。
そのため、TLSは、双方が最新のTLSバージョンに対応している医療機関同士の日常的なメールのやり取りに適しています。

エンドツーエンド暗号化

エンドツーエンド暗号化（E2EE）では、メールの内容を閲覧できるのは送信者と受信者だけです。
送信中はもちろん、サーバへ保存されている間にメールが傍受された場合でも、暗号化された状態が維持されるため、第三者が内容を読み取ることはできません。

エンドツーエンド暗号化の最大のメリットは、高いセキュリティを実現できることです。
外部からの盗聴だけでなく、サーバへの不正アクセスや内部関係者による情報閲覧のリスクも軽減できます。
一方で、受信者側にも対応するソフトウェアや暗号鍵が必要となるため、運用は複雑になります。

公開鍵の交換など追加の設定が必要になることから、利用者の負担が増える場合もあります。
精神科の診療記録や法的開示資料など、特に機密性の高い情報を扱う場合には、エンドツーエンド暗号化が推奨されます。
HIPAAにも適合しており、送信者と受信者だけが内容を確認できます。

ポータル型暗号化

ポータル型暗号化では、PHIそのものをメールへ記載するのではなく、安全なWebポータルへアクセスするためのリンクをメールで送信します。
患者や医療提供者は、HTTPSで保護されたWebサイトへログインし、安全に保護されたメッセージを閲覧またはダウンロードします。
この方式のメリットは、受信者が特別なソフトウェアをインストールする必要がないことです。

また、有効期限の設定や監査ログの取得など、アクセス管理を細かく行える点も大きな利点です。
一方で、受信者はポータルへログインしてメッセージを確認する必要があるため、通常のメールより手間がかかります。

さらに、ポータル環境の維持や利用者への説明・教育も必要になります。
そのため、ポータル型暗号化は、利便性と法令遵守のバランスが求められる患者向けの連絡手段として広く利用されています。

HIPAAメール暗号化のベストプラクティス

暗号化を導入することは、HIPAAに準拠するための第一歩です。
継続的に法令を遵守し、安全な運用を維持するためには、次のような取り組みも重要です。

医療機関向け

医療機関は、PHIを保護する中心的な役割を担っています。
そのため、一貫した運用ルールを整備することが、リスクの低減につながります。

暗号化ポリシーについて職員を教育する
従業員は、暗号化ツールをいつ、どのような場面で使用するべきかを理解している必要があります。
継続的な教育を実施することで、PHIの誤送信や情報漏洩を防ぐことができます。
強固なアクセス制御と認証を導入する
多要素認証（MFA）を導入することで、暗号化されたメールやPHIへアクセスできるユーザを適切に制限できます。
監査ログと監視を活用する
誰が、いつ、誰にメールを送信したかを記録することで、不審な操作を早期に発見できます。
また、監査時にはコンプライアンスを証明する記録として活用できます。
暗号化システムを定期的に見直し、更新する
サイバー攻撃の手法は日々進化しています。
暗号化プロトコルの定期的な見直し、脆弱性へのパッチ適用、ソフトウェアの更新を継続して実施してください。
HIPAAに準拠したメールサービスを選ぶ
Business Associate Agreement（BAA）を提供していることに加え、TLS 1.2以降などの最新の暗号化方式へ対応し、監査に必要なログを保持できるサービスを選択しましょう。

業務委託先向け

医療機関に代わってPHIを取り扱う業務委託先も、対象事業者と同等の責任を負います。
例えば、オハイオ州のリウマチ専門クリニックが外部の請求代行会社へ業務を委託する場合でも、PHIのやり取りはすべて暗号化され、HIPAAに準拠していることを確認しなければなりません。

BAAへ暗号化要件を明記する
対象事業者との契約には、暗号化の義務やコンプライアンス上の責任を明確に記載してください。
医療機関に代わって送信するPHIはすべて暗号化する
PHIの管理主体ではない場合でも、送信中のPHIを保護する責任があります。
コンプライアンスに関する記録を保管する
暗号化の運用状況、リスク評価、インシデント対応などの記録を保管し、法令遵守を証明できるようにしてください。
患者との通信には安全な手段を利用する
患者へ直接連絡する場合は、患者ポータル、エンドツーエンド暗号化、TLS対応メールなど、安全性が確保された通信手段を利用してください。
法規制の変更を継続的に確認する
HIPAAのガイドラインは更新されるため、HHS Office for Civil Rights（OCR）が公表する最新情報を定期的に確認し、必要に応じて運用を見直しましょう。

HIPAA準拠のメール暗号化ソリューションの選び方

HIPAAに準拠したメール暗号化ソリューションを選ぶ際は、セキュリティ、使いやすさ、法令遵守のバランスを考慮することが重要です。
メールの保護機能だけでなく、多くの医療機関では、Business Associate Agreement（BAA）や監査機能を備えた医療向けクラウドサービスを利用して、電子的保護対象保健情報（ePHI）を安全に管理しています。

最適なソリューションとは、PHIを適切に保護しながら、日常業務へ無理なく組み込めるものです。
製品を選定する際は、次のような機能を備えているか確認しましょう。

技術的な仕様だけでなく、使いやすさも重要なポイントです。
操作が分かりやすく、教育コストを抑えられるツールであれば継続的な利用を促進でき、拡張性が高ければ組織の成長にも柔軟に対応できます。

また、ベンダが継続的なサポートやソフトウェアアップデート、セキュリティパッチを提供していることも重要な選定基準です。
優れたメール暗号化ソリューションは、高い安全性を確保しながら、運用しやすさも兼ね備えている必要があります。

まとめ

HIPAAに準拠したメール暗号化は、患者のプライバシーを守り、法令を遵守するとともに、サイバー攻撃から医療情報を保護するために欠かせない対策です。
職員への教育を継続的に実施し、HIPAAに準拠したサービスを選定するとともに、メールセキュリティを継続的に監視することで、PHIを保護し、高額な制裁金や情報漏洩のリスクを低減できます。
また、患者からの信頼を維持するためにも、安全なメール運用は重要です。

ドメインの保護とHIPAAへの準拠を両立したい組織には、PowerDMARCのマネージドDMARCサービスが役立ちます。
メール認証や暗号化の運用を効率化し、フィッシング、スプーフィング、コンプライアンス上のリスクから組織を保護します。
ぜひ無料トライアルをご利用いただき、安全なメール環境の構築にお役立てください。

よくある質問

HIPAAメール暗号化は、すべての医療機関のメールで必須ですか？
いいえ。
HIPAAでは暗号化を一律に義務付けてはいません。

暗号化は「Addressable（実施が望ましい）」保護措置として位置付けられており、受信者側の安全性を保証できない場合や、PHIを外部へメール送信する場合には、暗号化を実施することが強く推奨されています。
暗号化を導入しない場合は、同等の保護措置を講じ、その妥当性を文書化する必要があります。
HIPAA対応の安全なメールとHIPAA対応の暗号化メールにはどのような違いがありますか？
「安全なメール（Secure Email）」は、アクセス制御、認証、監査ログなどを含む包括的なセキュリティ対策を指します。
一方、「暗号化メール（Encrypted Email）」は、PHIを暗号化し、権限を持つ利用者だけが内容を閲覧できるようにする仕組みです。
つまり、暗号化は安全なメールを実現するための重要な技術の一つですが、安全なメールは暗号化だけでなく、認証やアクセス制御、監査機能なども含めた総合的なセキュリティ対策を意味します。