BAAの「十分な保証」要件
HIPAAのプライバシー規則は明確です。対象エンティティは、ビジネスアソシエイト契約（BAA）を締結する必要があります。保護された医療情報（PHI）を扱うすべてのパートナーにBAAが必要です。各BAAには「十分な保証」を含める必要があります。この保証は、パートナーが適切な管理策を持っていることを確認します。主要な規則は45 CFR 164.308、164.310、164.312にあります。
「十分な保証」という用語は、法律上正確には定義されていません。しかし、OCRのガイダンスは一点について明確です。保証は、実際の文書化された証拠に基づく必要があります。パートナーの実際の管理策を確認せずにBAAに署名した病院は、相当な注意を示せません。後でそのパートナーがデータ侵害を起こした場合、病院は深刻な問題に直面します。
そこで、ISO 27001認証が役立ちます。この認証はHIPAAの管理策要件のほとんどをカバーします。完全な適合ではありません。HIPAAにはISO 27001が対応していない医療特有のルールがあります。しかし、ほとんどのBAA尽注意確認には十分な重複があります。
管理策のマッピング
ISO 27001附属書Aの管理策は、HIPAAの三つの保護措置カテゴリすべてに対応しています。
管理的保護措置（164.308）： 管理策A.5からA.8は、ポリシー、役割、人員規則、資産管理をカバーします。これらは、正式なプログラム、割り当てられた役割、人員規則、緊急時計画に関するHIPAA要件を満たします。
物理的保護措置（164.310）： 管理策A.11は物理的および施設の保護をカバーします。これは施設アクセス、ワークステーション使用、デバイス管理に対応します。
技術的保護措置（164.312）： 管理策A.9、A.10、A.12、A.13はアクセス、暗号化、運用をカバーします。これらはHIPAAの監査、完全性、データ転送要件に対応します。
医療分野でのユースケース
ある地域の医療システムがパートナー評価を更新します。コンプライアンスチームは、匿名化サービス会社に「適切な保護措置」の証拠を求めます。その会社はISO 27001証明書と管理策クロスウォーク表を提供します。この表は各ISO管理策を該当するHIPAAセクション（164.308、164.310、164.312）に結びつけます。
コンプライアンス担当者がこれをBAA記録に文書化します。その記録はOCR監査要件を満たします。150問のカスタム評価は不要です。
要するに、ISO 27001は対象エンティティにBAA尽注意のための確固たる証拠基盤を提供します。anonym.legalがこれらの要件をどのように満たしているかは、セキュリティおよびコンプライアンスページと法的適合文書でご確認ください。