健康保険の携行性と説明責任に関する法律（HIPAA）は、保護された健康情報（PHI）のプライバシーとセキュリティを守るための全国的な基準を定めたアメリカの法律です。これには、対象となるエンティティとそのビジネス関連付けにより、電子的、紙的、口頭形式を通じて PHI を使用、公開、保護、アクセス提供する方法を管理するルールが含まれています。
注意
MongoDB Atlas共有責任モデルは、安全で回復力のあるデータ環境を維持するためのMongoDBとそのカスタマーの補完的な役割を定義します。このフレームワークの下、 MongoDB は基礎のプラットフォームのセキュリティと運用上の整合性を管理しますが、カスタマーは特定の配置の構成、管理、データ ポリシーに責任を負います。所有者のセキュリティと運用の優れ性の詳細な内訳については、共有責任モデルを参照してください。
HIPAA の下:
MongoDBは ビジネス関連付け であり、対象のエンティティに代わって PHI の使用や公開に関連する特定の機能やアクティビティを実行する、または 対象のエンティティにサービスを提供するエンティティを指します。
保護医療情報（PHI）とは、対象組織またはビジネス関連者が保持する個別に識別可能な医療情報であり、例、住所、ソーシャル セキュリティ番号、医療レコード、テスト結果、保証情報などです。
HIPAA は、コンプライアンスのために次の主要ルールを確立します。
プライバシールール : 保護された医療情報（PHI）の使用および公開方法を管理し、個人情報を取得する権利を付与します
セキュリティ ルール: 対象エンティティとそのビジネス関連付けが個人の電子医療情報（ePHI）を保護する必要がある方法を決定します
違反通知ルール: 対象エンティティとそのビジネス関連付けが、安全でない PHI の違反が発生した後に通知を提供する方法を管理します
PHI 処理に関するビジネスアソシエイト契約（BAA）
HIPAA の下では、MongoDB などのデータベースサービスプロバイダーは、ビジネスアソシエイトとして行動する場合があります。医療情報等の取り扱いに関する契約（BAA）は、HIPAA に基づき必要とされる契約であり、当社の顧客が Atlas に保存する保護対象保健情報（PHI）に対して、MongoDB が適切な保護措置を実装することを義務付けます。BAA は、MongoDB による PHI の許容される利用と開示を明確化し、制限する役割も果たします。詳細については、HIPAA コンプライアンスに関する FAQをご覧ください。
セルフサービス型の従量課金制アカウントを通じて MongoDB Atlas を使用する場合、医療情報等の取り扱いに関する契約（BAA）が MongoDB Cloud 利用規約 の別紙として含まれます。個別の BAA をリクエストする必要はありません。MongoDB と既に BAA を締結している場合、その BAA が引き続き適用され、MongoDB Cloud 利用規約に含まれる BAA は、Atlas の利用には適用されません。
組織が注文フォームに基づいて請求書で請求される場合、BAA は MongoDB Atlas の使用に適用される条件に自動的には含まれません。保護された医療情報（PHI）を保存または処理する前に BAA をリクエストするには、MongoDB のアカウント担当者またはセールスチームまでお問い合わせください。
重要
MongoDB のプライバシーおよびデータ保護プログラム、ならびにデータ処理契約（Data Processing Agreement）に関する詳細は、以下をご参照ください。
MongoDB は、 HIPAA セキュリティ ルール へのコンプライアンスの独立した評価を完了しました。独立した実行者のレポートのコピーを取得するには、次の手順に従います。
既存のカスタマーは カスタマートラスト ポータル からコピーをリクエストできます
将来のお客様は、MongoDB セールスチームに連絡してアクセスをリクエストできます。
BAA は HIPAA コンプライアンスをサポートしますが、それだけで組織が HIPAA に準拠した状態になるわけではありません。Atlas を使用すると HIPAA に準拠したアプリケーションをビルドできますが、組織が独自のコンプライアンス要件を遵守する責任は変わりません。詳細については、MongoDB 信頼センターの「政府向け HIPAA および Atlas」ページを参照してください。
プライバシー ルール
MongoDB Atlas は、プライバシー ルールへのコンプライアンスをサポートする機能を提供します。
アクセスとレコード修正の個別の権限
プライバシー ルールは、ヘルスレコードのコピーを検査して取得し、必要に応じて修正をリクエスト権利など、自分の医療情報に関する権利を個人に付与します。
次のMongoDB Atlasの機能は、この領域におけるコンプライアンスをサポートしています。
Atlas UIとMongoDBドライバーを使用すると、承認されたユーザーはMongoDB Atlas配置に安全に接続し、ポリシーに従って個人のPHIを含むドキュメントを表示、作成、更新、または削除できます。
Atlas の堅牢なクエリ機能により、権限を持つユーザーは、豊富なフィルターと集計機能を使用して個人のPHIを検索、検索するできます。
データの保持と安全な破棄
プライバシー ルールは、対象となるエンティティが、PHI が不要で、安全に破棄する必要がある場合を含む、ライフサイクル全体にわたって PHI を保護する方法の標準を設定します。
以下の MongoDB Atlas Architecture Center の記事では、この分野のコンプライアンスをサポートする Atlas の機能について説明しています。
Atlas 障害復旧に関するガイダンス: 保持期間中にリカバリ目的でデータのバックアップを作成し、コンプライアンスポリシーを有効にしてバックアップが変更または削除されないようにし、不要になったバックアップは安全に削除します。
Atlas データ暗号化に関するガイダンス:暗号化機能を使用して、保管中、転送中、および削除時を含むライフサイクル全体で PHI を保護します。
必要最小標準（データ最小化）
プライバシー ルールの必要最低限の基準は、対象エンティティが の使用、公開、またはリクエストの意図を実行するために必要な最小限の PHI 量のみを使用、公開、リクエストするために適切な手順を実行しなければならないリクエストです。
以下の MongoDB Atlas Architecture Center の記事では、この分野のコンプライアンスをサポートする Atlas の機能について説明しています。
Atlas の監査とログのガイダンス: PHI へのアクセスに影響ユーザー認証の試行や権限の調整など、データベースイベントを監視、レコード、および確認します。
Atlas データ暗号化に関するガイダンス: クライアント側フィールドレベル暗号化（CSFLE） やQueryable Encryptionなどの使用技術で暗号化を適用し、機密 PHI データの露出を許可されたアプリケーションコンポーネントとユーザーのみに制限します。
セキュリティ ルール
MongoDB Atlas は、セキュリティ ルールへのコンプライアンスをサポートする機能を提供します。
暗号化と転送セキュリティ
セキュリティ ルールは、対象エンティティが、電子ネットワーク経由で送信される ePHI への不正アクセスを保護する技術的セキュリティ対策を実装するなど、 ePHI の機密性、整合性、可用性を確保する必要がある方法の標準を設定します。
MongoDB Atlasアーキテクチャセンターの次の記事では、この領域のコンプライアンスをサポートする Atlas の機能について説明しています。
Atlas データ暗号化に関するガイダンス: 転送中（TLS）、保存中（AES-256、BYEK、CMK、KMS、または TDE）、使用中（CSFLE、 ランダム暗号化、または queryable encryption）のデータ暗号化を確保します。
Atlas ネットワークセキュリティのガイダンス: Atlas クラスターへのネットワークアクセスを保護し、送信中 ePHI を転送中の暗号化、IP アクセスリスト、ファイアウォール構成、プライベートエンドポイント、ネットワーク分離で保護します。
アクセス制御
セキュリティ ルールでは、承認されたユーザーのみが ePHI にアクセスできることを要求しています。
以下の MongoDB Atlas Architecture Center の記事では、この分野のコンプライアンスをサポートする Atlas の機能について説明しています。
Atlas 認証に関するガイダンス: Atlas データベースへのアクセスを制御するには、Idp、Amazon Web Services、IAMロール認証、多要素認証（MFA）などのフェデレーティッド認証のような認証メカニズムで、安全なアイデンティティ管理を実装する必要があります。
Atlas 承認のガイダンス: 権限を持つ関係者のみが特定の職務と責任に基づいて ePHI にアクセスできるようにするには、ロールベース アクセス制御（RBAC）で安全なアクセス管理を実装します。
違反通知ルール
MongoDB Atlas は、違反通知ルールへのコンプライアンスをサポートする機能を提供します。
監査と情報システム アクティビティの検討
違反通知ルールは、対象となるエンティティとビジネス関連付けに、ePHI を含む情報システムまたは ePHI を使用する情報システムのアクティビティをレコードて検査するメカニズムを実装することを求めます。
以下の MongoDB Atlas Architecture Center の記事では、この分野のコンプライアンスをサポートする Atlas の機能について説明しています。
Atlas の監査とログのガイダンス: ユーザー認証の試行や権限の調整などのデータベースイベントを監視、レコード、レビューします。
Atlas のモニタリングとアラートに関するガイダンス: クラスターの健全性、パフォーマンス、運用メトリクスを追跡し、ePHI に関連する異常アクティビティが表示される可能性のあるアラートを構成します。
Atlas Stream Processing を活用して、 Kafkaトピック、 Kinesis 、 Atlas Change Streams などのリアルタイムデータストリーム上にカスタム データ処理パイプラインを構築できます。これはMongoDB のネイティブ機能で、変更イベントの順序付きストリーム（挿入、更新、削除する など）を公開します。MongoDBコレクション、データベース、またはクラスターから。You can integrate Atlas Stream Processing をサードパーティのモニタリングおよびロギング ツールと統合すると、ePHI を処理するアプリケーションのシステム アクティビティの包括的なビューを作成できます。
違反通知とインシデント応答
違反通知ルール は、対象となるエンティティとビジネス関連付けが、保護されていない PHI の違反が発生した後に通知を提供する方法の標準を設定します。
- サードパーティ統合は、SIEM ツールとの連携により、PagerDuty、Microsoft Teams、Prometheus などのアラートルーティング、オンコール通知、調整されたインシデント応答ワークフローをサポートします。
コンテキスト プランニング：高可用性と障害復旧
MongoDB Atlas は、緊急イベントなど、ePHI を含むシステムに影響を与えるイベントが発生しイベントに、ePHI の可用性と回復可能性を確保するために、コンフィギュレーション計画をサポートする機能を提供します。
以下の MongoDB Atlas Architecture Center の記事では、この分野のコンプライアンスをサポートする Atlas の機能について説明しています。
Atlas 高可用性のガイダンス: 可用性のニーズを満たすクラスター構成を作成し、フェイルオーバーとデータレプリケーションの自動化で災害復旧を迅速化します。
Atlas 障害復旧のガイダンス：Atlas クラスターのバックアップを作成および管理し、お客様の RPO および RTO の目標を達成します。
Atlas 障害復旧に関するガイダンス:停止時、プロビジョニング データの誤削除などが発生した場合に実行する手順を含む、障害復旧プランを作成します。