HIPAA（技術的セーフガード） とは？

そうだよ。HIPAAは米国の医療情報保護法で、患者の電子カルテや健康情報（PHIって呼ぶよ）をどう守るか定めているんだ。技術的セーフガードはその中のIT要件のまとまりだよ。

5つの柱があるよ。①アクセス制御（必要な人だけがデータを見られる）、②監査ログ（誰がいつ何を見たか記録する）、③完全性保護（データが改ざんされていないか確認する）、④送信セキュリティ（通信を暗号化する）、⑤個人認証（本人確認をしっかりする）だよ。

RequiredとAddressableの2種類があってね。Requiredは必ず実装しなきゃいけない。Addressableは自社の状況に合わせて代替手段を選べるんだ。でも「やらなくていい」という意味じゃないから注意が必要だよ。

最大190万ドル（約3億円）の罰金が年間で科される可能性があるんだ。しかも病院だけじゃなく、医療データを扱う開発会社やクラウドサービス（ビジネスアソシエイトと呼ぶ）も対象になるよ。

米国向けの医療アプリやSaaSを開発・運用するなら関係があるよ。たとえば電子カルテのクラウドサービスを米国の病院に提供するなら、HIPAA準拠は必須条件として契約に入ってくることが多いんだ。

AWS・GCP・Azureはすべて医療業界向けにBAA（ビジネスアソシエイト契約）を提供しているよ。ただしクラウド基盤がHIPAA対応でも、その上で動くアプリの設計は開発者が責任を持たなきゃいけないから、責任共有モデルをちゃんと理解することが大事だよ。