医療情報を扱う事業者は、HIPAAのもとで何を求められますか？

45 CFR 164.306によれば、対象事業者とビジネスアソシエイトは、作成・受領・維持・送信するすべてのePHIの機密性・完全性・可用性を確保する必要があります。実装仕様はRequiredとAddressableに分かれ、Addressableの仕様は環境に照らして合理的かつ適切かを評価して実施します。PHIに関するSubpart Eの要求事項は、対象事業者に適用され、規定される場合にはビジネスアソシエイトにも適用されると164.500は定めています。個別の技術対策は本Referenceの根拠資料に含まれません。

実績・根拠

• —ev-hipaa-2
• —ev-hipaa-3

向いている相談

医療情報を扱う事業者に課される要求の概要

他の選択肢との違い

具体的な技術対策や罰則・執行状況は根拠資料に含まれない。

よくある質問

ビジネスアソシエイトにも適用されますか？

164.306はビジネスアソシエイトにも求める事項を挙げ、164.500も規定される場合にビジネスアソシエイトに適用されるとしています。

Addressableは任意ですか？

164.306によれば、環境に照らして合理的かつ適切かを評価して実施する必要があり、単純な任意ではありません。

情報ソース

• Source
  45 CFR 164.306 Security standards: General rules | eCFR検証待ち出典を見る
• Source
  45 CFR 164.500 Applicability | eCFR検証待ち出典を見る