データレイヤーにおける HIPAA コンプライアンスとは
HIPAA のセキュリティ規則は、データレイヤーでの管理策を求めています。行・カラムレベルのアクセス制御、ePHI へのアクセスの監査ログ、転送中および保存時の暗号化、そして文書化されたデータフローです。
Connect AI、Sync（オンプレミス版）、Arc（オンプレミス版）のいずれをご利用の場合でも、CData は BAA を締結し、HIPAA セキュリティ・プライバシー責任者を任命し、お客様のコンプライアンスチームが監査時に参照する ePHI のデータフローを文書化しています。各製品は、それぞれのデータの扱い方に適した形でこれらのセーフガードを適用します。
転送中および保存時の暗号化
ロールベースのアクセス制御（RBAC）
文書化された ePHI データフロー
ビジネスアソシエイト契約の締結
ePHI アクセスの監査ログ
HIPAA ワークロードに適した CData 製品を選ぶ
Connect AI、Sync（オンプレミス版）、Arc（オンプレミス版）は、対象となるユースケースについて CData の BAA のもとでご利用いただけます。Sync と Arc は、お客様ご自身の環境にデプロイして運用します。
ヘルスケア系・業務系の数百のデータソースを横断して、AI アシスタント、エージェント、アナリティクスに統制されたリアルタイムのデータアクセスを提供します。
Connect AI と HIPAAEHR、データベース、データウェアハウス間のデータレプリケーションとパイプラインを、お客様が管理するインフラ上で実行します。転送中の暗号化、PII マスキング、アクセスログにも対応しています。
Sync と HIPAAX12 HIPAA や HL7 を含むセキュアなファイル転送とヘルスケア EDI を、お客様が管理するインフラ上で実行します。暗号化、監査証跡、認証管理にも対応しています。
Arc と HIPAAConnect AI で AI アプリケーションとエージェントを本番展開
Connect AI は、HIPAA が求める技術的セーフガードをプラットフォームレベルで適用します。新しく追加したデータソースにも、同じ HIPAA 準拠のポリシーがただちに適用されます。
AI ツールやアシスタント、ワークフローを、Salesforce、Veeva、SAP といったリアルタイムデータソースを横断する統制されたデータレイヤーに接続。IT チームは、乱立しがちな MCP をようやく整理できます。
バックオフィスチームは、社内やオンプレミスの R&D・臨床・コマーシャル系システムを横断して、 リアルタイムなインサイトと自動化されたアクションを手にできます。規制当局が求める監査証跡、 データリネージ、GxP 文書もあわせて整います。
AI アーキテクトは、CRM やサポートチケット、通話録音、顧客プロファイルを 任意の AI ツールに接続できます。カスタマーサクセスチームは、次々に生まれる課題やアップグレードの 機会を先回りして捉えられるようになります。
マネージドプロバイダーは、EHR や ERP に接続したアシスタント、インサイトエンジン、 自動化ワークフローをネットワーク全体に展開しています。すでに利用している Microsoft CoPilot、 Claude、Azure OpenAI、Gemini から直接使えます。
医療現場を支えるシステムに接続
Connect AI には、ePHI を保持する臨床系・基幹系・データプラットフォーム系システム向けの 継続的に保守されるコネクタが用意されています。いずれも、お客様が締結した BAA のもとで、同じプラットフォームレベルの セーフガードによって統制されます。
数百のコネクタが利用でき、今も増え続けています—コネクタライブラリの全容を見る。
お客様の環境で稼働する、HIPAA 対象のデータパイプライン
Sync は、お客様がすでに運用しているシステム間で ePHI をレプリケーション・変換します。ソフトウェアは、お客様ご自身がオンプレミスまたは自社のクラウドアカウントにデプロイして運用します。
Sync による HIPAA ワークロードへの対応
- データソース、Sync、同期先の間を移動するデータの転送中の暗号化
- 下流のプラットフォームにデータが届く前に、パイプライン内で適用する PII のマスキングとハッシュ化
- 監査レビューに活用できる、ユーザーおよびジョブのアクティビティの詳細なアクセスログ
- ePHI を扱うパイプラインを構築・実行できるユーザーを限定する、ロールベースのアクセス制御やシングルサインオンなどのアクセス制御
- EHR、ERP、CRM、データベースのデータを、任意のデータウェアハウスやデータベースへレプリケーションできる数百のコネクタ
お客様の環境を、お客様の管理のもとで
- Sync はお客様が管理するインフラ上にデプロイ・運用するため、ネットワーク境界、ホストの堅牢化、サーバーレベルの暗号化はお客様が設定します。
- データソースと同期先のシステムは、お客様が選定し、保護します。保存時の ePHI は、それらのシステムの管理策によって保護されます。
- ユーザーアクセスの設定、Sync のログの保持、HIPAA ポリシーに沿ったログのレビューは、お客様が行います。
- どのパイプラインで ePHI を扱うかはお客様が判断し、対象となるユースケースの範囲内に収めます。
お客様の環境で稼働する、HIPAA 対象のファイル転送と EDI
Arc は、X12 HIPAA、HL7 などのヘルスケア関連ファイルを取引先と交換します。ソフトウェアは、お客様ご自身がデプロイして運用します。
Arc による HIPAA ワークロードへの対応
- AS2、AS4、SFTP、FTPS/TLS による転送中の暗号化
- OpenPGP と AES を標準でサポートした、ファイルの保存時の暗号化
- ユーザーイベント、ファイルアクティビティ、トランザクションの監査証跡（一元化された管理 API から検索可能）
- LDAP および Active Directory による認証と認可（サービスの利用を特定のユーザー・グループに限定可能）
- X12 HIPAA トランザクションと HL7/FHIR に対応したヘルスケア EDI（交換内容を証明する受領確認付き）
お客様の環境を、お客様の管理のもとで
- Arc はお客様が管理するインフラ上にデプロイ・運用するため、ネットワーク境界、ホストの堅牢化、ストレージの管理策はお客様が設定します。
- Arc が使用する暗号鍵と証明書は、お客様が生成し、保護します。
- 取引先との契約はお客様が管理します。交換するファイルに含まれる ePHI は、お客様の保持・廃棄ポリシーのもとで管理されます。
- ユーザーアクセスの設定、Arc のログの保持、HIPAA ポリシーに沿ったログのレビューは、お客様が行います。
データに関わるすべてのチームに、安心を
IT・セキュリティチーム
CData の HIPAA 対象製品は、HIPAA がビジネスアソシエイトに求めるセーフガードを備えています。暗号化、 アクセス制御、監査ログに加えて、ePHI のフローマップと締結済みの BAA もそろっています。
オペレーション・デリバリーチーム
コンプライアンスを守るために、医療データをサイロのままにしておく必要はありません。臨床・オペレーション・アナリティクスの各チームは、EHR、ペイヤープラットフォーム、データウェアハウス、業務アプリケーションを横断して、AI、データパイプライン、EDI を通じて ePHI を活用できます。
開発者
Connect AI と Sync の構築済みコネクタ、そして Arc に組み込まれた EDI・HL7・MFT 機能を活用すれば、IT 開発者は ePHI への接続をゼロから作り込む必要がありません。