モバイル端末の使用とHIPAAへの準拠

　言うまでもなく、上述の条項はBYODに関して幾つか難題を提示する。組織はエンドユーザーの私物のモバイル端末を所有しているわけではないため、その設定まではコントロールできない。そうした端末は「そもそも根本的にセキュアではないもの」と想定すべきだ。

　同様に、モバイル端末はエンドユーザーが所有し、携帯することを念頭に設計されたものである。そのため、組織は「端末の所在を継続的に追跡する」というHIPAAの規制を満たせそうにない。

　HIPAAはワークステーションに対して幾つか厳しい必要条件を設定している。「この条件がある以上、モバイル端末は使えないのではないか」と最初は思うかもしれない。だが慎重に計画を立てれば、ユーザーにモバイル端末からデータへのアクセスを認め、なおかつHIPAAの準拠を維持するというのは不可能なことではない。

　一見したところ、モバイル端末の使用を阻む最大の障壁は「端末の所在を追跡すること」という要件に思える。だが、これについては「追跡が必要なのは端末にePHIが含まれる場合に限る」と明言されている。つまり、モバイル端末に直接ePHIを保存しないようにすれば（いずれにせよ、そうしたことは本来すべきではない）、端末の追跡という要件を回避できるということだ。

　端末追跡の要件を回避するための最も簡単な方法の1つは、モバイル端末をリモートデスクトップクライアントとして扱うというやり方だ。モバイル端末には、直接ソフトウェアをインストールしたりデータを保存したりするのではなく、会社のネットワーク上のコンピュータとのRDP（リモートデスクトッププロトコル）セッションを確立させる。そうすれば、ePHIは十分にセキュリティ対策が施され、既にHIPAAへの準拠が証明されているシステム上にとどまることになる。

　この手法はとりわけ、仮想デスクトップインフラ（VDI）を導入している組織に有効だ。VDI環境であれば、ユーザーはモバイル端末から通常のデスクトップ環境に直接アクセスできるからだ。

　もう1つ対処すべき重要な条件に、端末のセキュリティがある。HIPAAは患者の電子データにアクセスする全ての端末に対し、データの破棄やバックアップ、暗号化、各種ポリシーの策定など、さまざまなセキュリティ対策を義務付けている。モバイル端末を所有するのがエンドユーザーであるからには、端末のセキュリティ全般に関して油断は禁物だ。

　HIPAAのセキュリティ要件に対処するためには、重要なポイントが2つある。1つは、組織内のシステムにモバイル端末を接続させているユーザーにはシングルサインオン技術を使わせないよう徹底することだ。セキュリティの観点からすれば、ユーザーには組織のコンピュータに接続するたびに認証情報一式を毎回手作業で入力するよう義務付けることが望ましい。

　もう1つ実行すべきは、ユーザーのセッションを暗号化する措置を講じることだ。そのための方法は幾つかある。最も簡単なのは、モバイル端末ユーザーには仮想プライベートネットワーク（VPN）経由でネットワークにアクセスさせるという方法だろう。

　なお、無線LANを構築している組織はそのネットワークを安全ではない媒体として扱う必要がある。つまり、全ての無線トラフィックが暗号化され（Wi-Fiで提供されるハードウェアレベルの暗号化に加えて）、認証されていることを保証する手段として、その無線LAN専用のVPNを構築するということだ。

　HIPAA準拠を維持しつつ、ユーザーが私物のモバイル端末から医療システムにアクセスすることは確かに難しい取り組みだが、不可能ではない。セキュアな接続インフラを構築し、端末へのデータ保存を回避すれば、モバイル端末からのアクセスの実現に大いに役立つはずだ。