HIPAAセキュリティ規則の改訂案を読んでいるが、これはかなり大きな変更だな。前回の改訂は2013年。実に10年以上ぶりの大規模改定となる。

2003年の最終規則で導入された「必須」と「対応可能」という実装仕様の区分けも、今回で廃止される。この「対応可能」という柔軟性が、かえって解釈を曖昧にし、セキュリティ対策を弱める原因になっていた。日本の医療情報システムの安全管理ガイドラインにも似たような柔軟性があるが、見直しが必要かもしれないな。

最も注目すべきは定義の追加と修正。「電子情報システム」「多要素認証」「リスク」など、現代のサイバーセキュリティに欠かせない概念が明確に定義される。これは単なる言葉の定義ではなく、実際の対策に直結する。日本の医療機関も、グローバル展開を考えるなら、このレベルの定義を意識する必要がある。

特に「多要素認証」の定義追加は時宜を得ている。最近のサイバー攻撃の増加を考えれば、3要素（知識、所有物、生体情報）から最低2要素を使用する認証は必須だろう。日本でも、オン資確認や電子処方箋の普及で、同様の認証強化は避けられない。

物理的・技術的保護措置、組織的要件も明確化される。全体として、セキュリティ対策を強化する方向性が明確。

量子コンピューティング、AI、VR/ARといった新技術への対応も求められている。医療分野のテクノロジー進化を見据えた動きとして評価できる。日本のデジタルヘルスケア企業も、このレベルの対応を求められることになるだろう。

病院へのサイバー攻撃による被害は深刻化している。2018年から2023年の間に、医療機関へのサイバー攻撃は102%増加。被害者数は実に1,002%増だ。電子情報システムの破壊が患者の死亡に繋がるケースも。チェンジ・ヘルスケアへの攻撃では80%の医師が収入を失った。日本の医療機関も他人事ではない。

暗号化の義務化も重要なポイントだ。「弾丸のような保護」は不要とした過去の判例解釈は誤りだった。ePHIは常に暗号化する必要がある。日本の個人情報保護法の要求水準も、脅威アクターの増加に伴いこれに近づいていく可能性が高い。

医療機器の暗号化については、2023年3月29日を境に、FDAへの提出日による例外規定が設けられる。現実的な対応だ。

結論として、今回のHIPAAセキュリティ規則の改訂案は、10年以上ぶりとなる大規模改定であり、グローバルなサイバーセキュリティ基準として機能するだろう。多要素認証、暗号化、リスク分析の強化は、日本の医療機関にとっても避けられない流れ。新しいテクノロジーへの対応も不可欠となっていくだろう。