NIST CSF 2.0の視点で見るHIPAAセキュリティルール

HIPAAセキュリティルールは簡潔で、意図的に柔軟な設計になっています。電子的保護対象医療情報（ePHI）に対する管理的、物理的、技術的セーフガードを定め、標準および実装仕様を「必須」または「アドレッサブル」として区分しています。NIST CSF 2.0はより広範な枠組みです。医療機関のセキュリティチームは、CSFを用いてプログラムを運用し取締役会に報告するとともに、そこからHIPAAへの適合を示す手法を増やしつつあります。その方法はどの程度うまく機能するのでしょうか。

最も重要な数字

HIPAA の 69 件の規格・仕様のうち、38 件（55%）は NIST CSF 2.0 の何らかの項目にマッピングされ、29 件は緩やかに関連するのみで、2 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

セキュリティルールの要件はほぼすべてCSF 2.0の成果に対応づけられます。これらの対応関係の多くは、NISTが公表しているHIPAAセキュリティルールからSP 800-53への対応表に基づいており、ControlMappingはそれをCSFまで辿っています。

セーフガード別

HIPAA セクション	マッピング済み	緩やかに関連	マッピングなし
§164.308 Administrative safeguards	30 件中 19 件	11	0
§164.310 Physical safeguards	12 件中 9 件	2	1
§164.312 Technical safeguards	12 件中 7 件	5	0
§164.314 Organizational requirements	10 件中 1 件	8	1
§164.316 Policies and documentation	5 件中 2 件	3	0

NIST CSF 2.0 を保有、HIPAA が必要。 要件ごとの内容： ギャップレポートを開く →

対応づけられない2つの項目

当サイトのデータでマッピングがない要件は、範囲の限定された2つの項目です。ひとつはメディアの再利用に関する仕様（電子メディアを再利用する前にePHIを削除すること）、もうひとつはビジネスアソシエイト契約に関する仕様です。いずれも成熟したプログラムには明確な置き場所があります（データ破棄手順や取引先契約）が、CSFの成果としてこれらを直接指すものはなく、当サイトでも編集による対応づけは追加していません。HIPAAの管理策セットには明示的に記載しておく価値があります。

HIPAAを超えてCSFが追加するもの

NIST CSF 2.0 の 106 件のサブカテゴリのうち、63 件（59%）は HIPAA の何らかの項目にマッピングされ、27 件は緩やかに関連するのみで、16 件は当サイトのデータにマッピングがありません。 ギャップレポートを開く →

逆方向を見ると、HIPAAのみのプログラムで欠けがちな点がわかります。HIPAAへの対応づけがないCSFの成果は、主に統治（Govern）機能に集中しています。この機能はCSF 2.0で2024年に追加されたもので、組織の状況、リスク戦略と許容度、プログラムとしてのサプライチェーンリスク管理、監督を含みます。セキュリティルールはリスク分析とリスク管理を求めていますが、組織がリスク戦略をどのように定めるか、第三者リスクを体系的にどう管理するかについては多くを述べていません。CSFを採用することで、これらのギャップが埋まります。

主なポイント

• NIST CSF 2.0のプログラムは、HIPAAセキュリティルールの標準および実装仕様のほぼすべてに対応します。
• 例外は範囲の限られた2つ（メディア再利用とビジネスアソシエイト契約仕様）で、追加は容易です。
• CSFは、特にリスク戦略とサプライチェーンリスク管理など、HIPAAにはないガバナンスを補完します。
• どのフレームワークを運用するにせよ、HIPAAのリスク分析は独立した文書化された成果物として維持してください。

CSFを使ってHIPAAプログラムを運用する

1. CSF 2.0で現状プロファイルと目標プロファイルを作成し、各サブカテゴリがどのセキュリティルールの標準を支えるかを記録してください。
2. HIPAAのリスク分析（§164.308(a)(1)(ii)(A)）を、独立した文書化された成果物として維持してください。これはセキュリティルールの中核であり、HHSの調査官が最初に求める資料です。
3. 各実装仕様について必須とアドレッサブルの判断を、その理由とともに記録してください。提案されている規則変更が確定するまでの間も同様です。
4. 経営層にはCSFの用語で、監査人や調査官にはHIPAAの用語で報告してください。両者は同じ管理策セットから導かれます。

CSF 2.0 → HIPAAのギャップレポートでは、すべての標準と仕様を対応するCSFの成果とともに一覧できます。NIST CSFとHIPAAの比較では双方向を扱っています。当サイトに掲載しているセキュリティルールの本文はNIST SP 800-66r2に基づきます。

よくある質問

NIST CSFへの準拠はHIPAAを満たしますか？

単独でHIPAAを「満たす」フレームワークはありません。HHSが執行するのはセキュリティルールそのものです。ただし、CSF 2.0のプログラムはセキュリティルールの要件のほぼすべてに対応しており、HHSはその実装のためのNISTのガイダンス（SP 800-66）を示しています。

HIPAAセキュリティルールは変更されますか？

HHSは2025年1月に、必須仕様とアドレッサブル仕様の区別を撤廃することを含む大幅な変更を提案しました。その区別に依拠する前に、現在の状況を確認してください。

HHSはHIPAAに関してNIST CSFを認めていますか？

HHSは、セキュリティルールの実装ガイダンスとしてNIST SP 800-66を公表しており、執行を検討する際には、NIST サイバーセキュリティフレームワークなどの認められたセキュリティプラクティスを関連するものとして挙げてきました。CSFを使用しても、文書化されたリスク分析を含むセキュリティルール自身の要件が置き換わるわけではありません。