HIPAA と HITECH 法の概要
1996 年の医療保険の携行性と説明責任に関する法律 (HIPAA) と HIPAA に基づいて発行された規制は、個人を特定できる医療情報の使用、開示、および保護に関する要件を確立する一連の米国医療法です。 HIPAA の範囲は、2009 年の経済および臨床衛生のための医療情報技術 (HITECH) 法の制定により拡大されました。
HIPAA は、患者の保護医療情報 (PHI) を作成、受信、維持、送信、またはアクセスする対象エンティティ (具体的には、医療提供者、医療プラン、医療クリアリングハウス) に適用されます。 HIPAA はさらに、対象事業体へのサービス提供の一環として、または対象事業体に代わって PHI に関連する特定の機能または活動を実行する対象事業体のビジネス アソシエイトにも適用されます。
対象となるエンティティが Microsoft などのクラウド サービス プロバイダーのサービスを利用する場合、そのクラウド サービス プロバイダーは HIPAA に基づくビジネス アソシエイトです。 さらに、ビジネス アソシエイトがクラウド サービス プロバイダーに下請けして PHI を作成、受信、保守、または送信する場合、クラウド サービス プロバイダーもビジネス アソシエイトになります。
Microsoft、HIPAA、および HITECH 法
HIPAA 規制では、PHI が適切に保護されることを保証するために、対象エンティティ (規則で定義) がビジネス アソシエイトと契約を締結することが要求されています。 この契約は、ビジネス アソシエイト契約と呼ばれます。 とりわけ、ビジネス アソシエイト契約は、当事者とビジネス アソシエイトによって実行されている活動またはサービスとの関係に基づいて、ビジネス アソシエイトによる PHI の許可および要求された使用と開示を確立します。 お客様が Microsoft のエンタープライズ製品およびサービスを利用する際に HIPAA への準拠をサポートするために、Microsoft は、対象となるエンティティおよびビジネス アソシエイトのお客様とビジネス アソシエイト契約を締結します。
現在、ビジネス アソシエイトによる HIPAA または HITECH 法への準拠を証明するために保健社会福祉省が承認する認証基準はありません。 ただし、Microsoft は、お客様が HIPAA および HITECH 法に準拠できるようにし、ビジネス アソシエイトとしての立場で HIPAA のセキュリティ規則要件を順守します。 さらに、Microsoft は、HIPAA の義務への準拠をサポートするために、対象エンティティおよびビジネス関連会社顧客とビジネス アソシエイト契約を締結します。
サード パーティ認定
BAA の対象となる Microsoft サービスは、Microsoft ISO/IEC 27001 認定および HITRUST Common Security Framework (CSF) 認定のために、認定された独立監査人によって実施される監査を受けます。
Microsoft エンタープライズ クラウド サービスも FedRAMP 評価の対象です。 Microsoft Azure と Microsoft Azure Government は、FedRAMP Joint Authorization Board から暫定的な運営権限を取得しました。Microsoft Dynamics 365 米国政府機関は、米国保健社会福祉省から Microsoft Office 365 米国政府機関と同様に、米国住宅都市開発省から運用機関権限を取得しました。
Microsoft クラウドがお客様の HIPAA および HITECH 要件への準拠をどのように支援するかについては、「Microsoft のお客様事例」をご覧ください。
対象となる Microsoft クラウド プラットフォームおよびサービス
- Azure および Azure Government
- Azure DevOps Services
- Dynamics 365、Dynamics 365 米国政府
- Microsoft Intune
- Microsoft Copilot for Security
- Microsoft Defender for Cloud Apps
- 捜索用 Microsoft Defender エキスパート
- XDR 向け Microsoft Defender エキスパート
- Microsoft Healthcare Bot Service
- Microsoft マネージド デスクトップ
- Microsoft Professional Services: Azure、Dynamics 365、Microsoft Intune、および一般法人向け Microsoft 365 の中規模企業および企業のお客様向けのプレミアおよびオンプレミス
- Office 365、Office 365 U.S.Government
- スタンドアロン サービスとしての、または Office 365 または Dynamics 365 ブランドのプランまたはスイートに含まれる Power Automate クラウド サービス
- スタンドアロン サービスとしての、または Office 365 または Dynamics 365 ブランドのプランまたはスイートに含まれる Power Apps クラウド サービス
- Power BI クラウド サービス (スタンドアロン サービス、または Office 365 および Dynamics 365 ブランド プランあるいはスイートに組み込まれているサービス)
- Windows 365
Azure、Dynamics 365、HIPAA
Azure、Dynamics 365、およびその他のオンライン サービス コンプライアンスの詳細については、Azure HIPAA オファリングを参照してください。
Office 365 と HIPAA
Office 365 環境
Microsoft Office 365 は、マルチテナント ハイパースケール クラウド プラットフォームで、世界の一部の地域のお客様が利用できるアプリとサービスの統合エクスペリエンスを提供するものです。 ほとんどの Office 365 サービスでは、顧客データがある地域を指定できます。 Microsoft は、データの回復性のために、顧客データを同じ地理的エリア内の他の地域 (米国など) にレプリケートする場合がありますが、Microsoft は選択した地理的エリアの外部に顧客データをレプリケートしません。
このセクションでは、次の Office 365 環境について説明します。
- クライアント ソフトウェア (クライアント): 顧客デバイスで実行されている商用クライアント ソフトウェア。
- Office 365 (商用): グローバルに利用可能な商用パブリックな Office 365 クラウド サービス。
- Office 365 Government Community Cloud (GCC): Office 365 GCC クラウド サービスは、米国の連邦、州、地方、および部族政府、および米国政府の代わりにデータを保持または処理する請負業者が利用できます。
- Office 365 Government Community Cloud - 高 (GCC High): Office 365 GCC High クラウド サービス は、国防総省 (DoD) セキュリティ要件ガイドライン レベル 4 のコントロールに従って設計されており、厳しく規制された連邦および国防の情報をサポートします。 この環境は、連邦政府機関、国防産業基盤 (DIB)、政府機関の請負業者によって使用されます。
- Office 365 DoD (DoD): Office 365 DoD クラウド サービス は、DoD セキュリティ要件ガイドライン レベル 5 のコントロールに従って設計されており、厳格な連邦および防衛規制をサポートしています。 この環境は、米国国防総省が排他的に使用するためのものです。
このセクションを使用すると、規制対象の業界やグローバル市場におけるコンプライアンスの義務を果たすことができます。 どの地域でどのサービスが利用できるかを確認するには、「国際的な使用可能性情報」と、「Microsoft 365 顧客データの格納先」の記事を参照してください。 Office 365 Government クラウド環境の詳細については、「Office 365 Government Cloud」の記事を参照してください。
あらゆる適用法と規制に準拠するのは、お客様の組織が全責任を負っていただくものとします。 このセクションに記載されている情報は法的アドバイスではありません。組織の規制コンプライアンスに関する質問については、法律アドバイザーに相談してください。
Office 365 の適用性と範囲内のサービス
以下の表を使用して、Office 365 サービスとサブスクリプションの適用性を決定します。
| 適用性 | 範囲内のサービス |
|---|---|
| 商用 | Access Online、Azure Communications Service、Compliance Manager、Customer Lockbox、Delve、Exchange Online、Forms、Griffin、Identity Manager、Lockbox (Torus)、Microsoft Copilot、Microsoft Copilot Chat、Microsoft Defender for Office 365、Microsoft Entra ID、Microsoft Purview ポータル、Microsoft Teams、MyAnalytics、Office 365 Advanced Compliance アドオン、Office 365 カスタマー ポータル、Office 365マイクロサービス (ObjectStore、Sway、Power Automate、PowerPoint Online ドキュメント サービス、クエリ注釈サービス、学校データ同期、Siphon、Speech、拡張機能アプリケーション プログラムを含むがこれらに限定されない)、Office Online、Office Pro Plus、Office Services Infrastructure、OneDrive for Business、Planner、Power Apps、Power BI、Project Online、Microsoft Purview カスタマー キーを使用したサービス暗号化、SharePoint Online、Stream |
| GCC | Azure Communications Service、コンプライアンス マネージャー、Delve、Exchange Online、Forms、Microsoft Copilot、Microsoft Copilot Chat、Microsoft Defender for Office 365、Microsoft Entra ID、Microsoft Purview ポータル、Microsoft Teams、MyAnalytics、Office 365 Advanced Compliance アドオン、Office Online、Office Pro Plus、OneDrive for Business、Planner、Power Apps、Power Automate、Power BI、SharePoint Online、Stream |
よく寄せられる質問
自分の所属組織は Microsoft と BAA を締結できますか ?
はい。 Microsoft は、対象となるエンティティおよびビジネス アソシエイトのお客様に、対象となる Microsoft サービスをカバーするビジネス アソシエイト契約を提案します。
Microsoft HIPAA ビジネス アソシエイト契約は、既定で Microsoft Online Services データ保護補遺を通じて、HIPAA の対象となるエンティティまたはビジネス アソシエイトであるすべてのお客様に提供されます。 この BAA の対象となるクラウド サービスの一覧については、この Web ページの「対象となる Microsoft のクラウド サービス」を参照してください。
HIPAA ビジネス アソシエイト契約は、スコープ内の Microsoft Professional Services でも利用できます。 詳細については、Microsoft サービス担当者にお問い合わせください。
Microsoft とビジネス アソシエイト契約を締結することで、自分のorganizationは HIPAA および HITECH 法に準拠することができますか?
その必要はありません。 ビジネス アソシエイト契約を提供することで、Microsoft は HIPAA コンプライアンスのサポートを支援します。 ただし、Microsoft サービスを利用しているだけでは、HIPAA コンプライアンスは実現されません。 お客様の organization は、適切なコンプライアンス プログラムと内部プロセスを導入し、Microsoft サービスの特定の使用が HIPAA および HITECH 法に基づく義務に適合していることを確認する責任があります。
Microsoft は自分の organization's Business Associate Agreement を使用できますか?
いいえ、Microsoft は顧客のビジネス アソシエイト契約を使用できません。 Microsoft は、すべてのお客様向けに標準化されたハイパースケールのマルチテナント サービスを提供しているため、一貫した方法で運用する必要があります。 Microsoft HIPAA ビジネス アソシエイト契約は、当社の業務方法を密接に反映しています。 したがって、医療業界のニーズに対応するために、Microsoft は医療分野における学術医療センターおよびその他の公的および民間部門の団体のコンソーシアムと協力し、当社の規模サービス オファリングに合致し、お客様のニーズを満たすビジネス アソシエイト契約を作成しました。
サード パーティの監査レポートのコピーを入手するにはどうすればよいですか?
Service Trust Portal では、中立的な監査によるコンプライアンス レポートを提供しています。 貴社の監査人が Microsoft のクラウド サービスの監査結果と貴社の法的および規制要件を比較できるようにするために、ポータルで監査レポートをリクエストすることができます。 Azureお客様は、Microsoft Defender for Cloud の [監査レポート] ブレードを使用して、Azure portalでAzure証明書と監査レポートを取得することもできます。
Microsoft が HIPAA および HITECH 法への準拠をサポートする方法の詳細を知るにはどうすればいいですか?
このタスクを支援するために、Microsoft は次のガイダンスを公開しました。
- プライバシー、セキュリティ、コンプライアンスの責任者、および HIPAA および HITECH 法の実装に責任を持つその他の担当者向けの Azure の HIPAA/HITECH 法の実装ガイダンスでは、コンプライアンスを維持するために organization が実行できる具体的な手順について説明します。
Microsoft Purview コンプライアンス マネージャーを使用してリスクを評価する
Microsoft Purview コンプライアンス マネージャーは、Microsoft Purview ポータルの機能であり、organizationのコンプライアンス態勢を理解し、リスクを軽減するための措置を講じるのに役立ちます。 コンプライアンスマネージャーには、この規制の評価を構築するためのプレミアム テンプレートが用意されています。 コンプライアンスマネージャーの評価テンプレート ページでテンプレートを見つけます。 コンプライアンスマネージャーで評価をする方法について説明します。