サービスとしてのHIPAAバックエンド
HIPAAに準拠したバックエンド・アズ・ア・サービスをお探しですか？ここでは、PHIデータを処理するためにサービスとしてバックエンドを使用する利点と制限を説明する詳細なガイドを示します。
この記事では、HIPAA、その要件、対象事業体、クラウドプロバイダーとの必要な法的契約について簡単に説明する。
さらに、保護された医療情報をホストし処理するためにBaaS（Backend as a Service）ソリューションを使用することの利点と限界を探る。
Contents
HIPAAの概要
ビル・クリントン政権は1996年にHIPAA法を導入した。HIPAAとは、Health Insurance Portability and Accountability Act（医療保険の相互運用性と説明責任に関する法律）の頭文字をとったもので、患者の健康情報を保護するための基準と保護措置を定めた米国の連邦法である。
対象事業体とは何か？
対象事業体とは、PHIデータのプライバシーを保護するためにHIPAA規則を遵守しなければならない組織である。対象事業体には、以下の3つのタイプがある：
| 対象事業者 | 例 |
| 医療従事者 | 診療所、医師、歯科医師、薬局など |
| ヘルスプラン | 健康保険会社、メディケアなどの政府プログラム、HMO など |
| ヘルスケア・クリアリングハウス | プロバイダー・システムと保険会社間の請求データを分析する第三者機関である。 |
HIPAA要件はどのようなデータを保護するのか？
一般的に言って、HIPAAは、氏名、生年月日、社会保障番号、試験などを含むすべての機密患者データを保護する。
クラウド・プロバイダーは対象事業体か？
クラウドプロバイダーは、HIPAA法の下では、対象事業者ではなく、業務提携者である。以下は、45 CFR § 160.103によるビジネス・アソシエイトの定義である。
上記の定義に基づき、HIPAAはクラウドプロバイダをPHIデータを受信、伝送、維持する下請け業者として扱う。
BAA（業務提携契約）とは？
BAAは、PHIデータへのアクセス、保護措置、データ破棄のプロセス、および契約終了の 規定について詳述した、対象事業者と業務提携者との間の法的契約である。
サービスとしてのバックエンドの概要
Backend as a Service（BaaS）は、開発者や組織がすぐに使えるビルディング・ブロックを使ってバックエンド開発を自動化し、サーバー・インフラを管理するのを支援するクラウド・サービスである。
サービス・プラットフォームとしてのバックエンドを利用する利点は、開発プロセスの迅速化、開発チームの生産性向上、エンジニアリング・コストの削減である。制限事項としては、柔軟性の低いコーディング環境とサーバーレベルのアクセスがないことが挙げられる。
バックエンド・アズ・ア・サービスの核となる機能とは？
サービスとしてのバックエンドの最も重要な特徴は、すぐに使えるデータモデル、API、サーバーレス機能、ストレージである。
バックエンドのサービス・プロバイダーはHIPAA認定を受けているか？
バックエンド・アズ・ア・サービス・プラットフォームのようなクラウド・コンピューティング・プロバイダーに対するHIPAA認証はない。対象事業者とクラウドプロバイダーは、責任共有モデルの下で業務を行う。
例えば、クラウドプロバイダーは、ハードウェア、ネットワーク、ストレージなどのインフラを保護する責任がある。
顧客の責任の例としては、適切なセキュリティポリシー、システムアクセス手順、監査ログプロセスなどがある。
HIPAA準拠のアプリケーションを開発するために、バックエンドをサービスとして利用する利点は何ですか？
HIPAAの要件は複雑で、実装には多くの技術的労力を要し、実行するのは難しい。
例えば、アプリ開発者は、モバイルバックエンドを使用して、HIPAA規制の健康データをホストすることで、静止時および転送時のデータの暗号化、バックアップルーチン、ファイアウォール、災害復旧手順などの恩恵を受けることができます。
BaaSまたはmBaaSプラットフォームは、ウェブアプリとモバイルアプリで動作し、両方の実装に適しています。HIPAAバックエンドの実行をBaaSプロバイダーに委託することで、時間とコストを節約し、インフラプロバイダーで各ステップを直接実装する手間を省くことができます。
HIPAA準拠のバックエンドをサービスとしてお探しですか？
Back4Appは、病院アプリケーション、患者ポータル、一般的なヘルスケアアプリなどの開発に最適です。
同社はインフラをAWSに依存し、PHIデータを保護するために以下のセーフガードを実施している：
- PHIデータを処理する本番アプリケーションのための完全冗長アーキテクチャ；
- 米国を拠点とするデータセンター；
- データ転送中の暗号化；
- 静止状態のデータの暗号化；
- マルチリージョンバックアップ；
- 災害復旧；
- などなど。
詳しくは、こちらのカレンダーリンクから電話会議のご予約をいただくか、[email protected] までEメールをお送りください。
結論
この記事では、HIPAAの概要、中核的なセキュリティおよびコンプライアンス要件、定義、保護すべきデータの例について説明した。
また、対象事業者とクラウドプロバイダーとの間に求められる契約の種類、当事者間の責任モデル、HIPAA実装にBaaSを使用する利点についても説明した。
最後に、Back4AppがHIPAA関連アプリに対して実施しているセーフガードの例を紹介した。
HIPAAとは何ですか？
HIPAAという略語は、Health Insurance Portability and Accountability Act（医療保険の携行性と責任に関する法律）を意味し、患者の健康情報を保護するための基準と安全対策を定めた米国の連邦法です。
なぜHIPAA関連アプリの開発にBaaS（Backend as a Service）を使うのですか？
HIPAAの要件は非常に複雑で、実装には多くのエンジニアリング作業が必要です。BaaSプロバイダーにその実装を委託することで、時間とコストを削減でき、インフラプロバイダーで直接各ステップを実装する手間を省くことができます。
HIPAAに対応しているBaaSプロバイダーの例は？
Back4Appは、病院向けアプリケーション、患者ポータル、一般的な医療アプリなどの開発に最適な選択肢です。
