HIPAAはPHI（Protected Health Information、保護されるべき医療情報）を格納するシステムに、高い可用性と信頼性の確保を義務付けている。医師が必要な患者データを確実に利用できるようにするには、クラウドの稼働時間が重要だ。

　システム管理者はクラウドの稼働時間を確認し、クラウドベンダーと契約する際にサービス品質保証契約（SLA）を締結できるかどうか確認する必要がある。

2．医療情報のセキュリティ対策

　クラウドベンダーのデータセンター内で医療データを扱う場合、移動中も保管時も、全てのデータを暗号化する必要がある。ほとんどのクラウドベンダーは、顧客データのセキュリティを確保するために暗号化サービスを提供している。これによってHIPAAの暗号化要件の大部分は満たされる。

　医療機関は、暗号化層をさらに追加したり、データアクセスを権限のあるユーザーのみに制限したりするなど、追加のセキュリティ対策を導入した方がよい。

3．サービス終了後のデータの所有権とデータへのアクセス

　クラウドベンダーは契約が終了しても、医療機関が医療データを抽出できるようにしなければならない。医療データへのアクセスのブロックや拒否は、どのような場合でもHIPAAのプライバシー規則への違反と見なされる。

　Amazon Web Services（AWS）やMicrosoft、Googleといったクラウドベンダーは、顧客データのコピーを簡単にエクスポート、移行、ダウンロードする手段を提供している。医療機関はクラウドベンダーと契約するときに、必ずデータへのアクセス手段を確認しておく必要がある。

4．データセンター内のセキュリティ対策

　医療機関は、PHIにアクセスする全ての当事者とBAA（Business Associate Agreement：事業提携契約）を締結する必要がある。「全ての当事者」にはクラウドベンダーも含まれる。これはHIPAAが定める全ての技術要件と管理要件を、クラウドベンダーが満たさなければならないことを意味する。

　BAAへの署名を望まないクラウドベンダーはHIPAA要件を確保できない可能性が高い。そのため医療機関は、このようなクラウドベンダーのサービスを導入すべきではない。

5．コンプライアンスとセキュリティの標準と対応

　HIPAAに準拠できているかどうか、顧客が確認できる追加サービスを提供しているクラウドベンダーもある。例えばMicrosoftは「コンプライアンスマネージャー」や「セキュリティスコア」（Secure Score）などのサービスや機能を用意している。前者は、利用するシステムのアクティビティを追跡し、HIPAAに準拠しているかどうか確認するための手段を提供する。後者は、オフィススイート「Office 365」や、クラウドサービス「Microsoft Azure」におけるワークロード（システム）のセキュリティについての詳細スコアを確認するための機能だ。

　医療機関のIT部門が、自機関とHIPAAの要件を満たすことができる最善のクラウドベンダーを決めることは難しい可能性がある。幸いなことに大半の大手クラウドベンダーは、医療機関を引き付けるにはHIPAAに準拠しなければならないことを認識している。IBMやMicrosoft、Google、AWSといったクラウドベンダーは、HIPAAだけでなく、セキュリティフレームワークのHITRUST CSFなど、医療データを確実に保護するための認証制度や医療関連の規則に準拠していることをアピールしている。