米国保健福祉省が4事業者にHIPAA違反で制裁金総額1,165,000 米ドルを科す (2026年5月6日公開)

2026年4月23日、米国保健福祉省(HHS)の公民権室(OCR)は、1996年医療保険の相互運用性と説明責任に関する法律（HIPAA）のセキュリティ規則に基づく個別のランサムウェア調査に関連して、4つの適用対象主体（CE）との和解を発表した。ランサムウェアとは、攻撃者のみが知る鍵でデータを暗号化するなどしてデータへのアクセスを遮断し、身代金が支払われるまで利用不能にする悪意あるソフトウェアを指す。今回発表された解決事案により、ランサムウェア侵害に関する調査は19件、OCRのリスク分析イニシアチブにおける調査は13件が完了したことになる。

OCRは、保護対象保健情報（PHI）のプライバシーとセキュリティを守るために、適用対象主体（CE：医療機関、医療保険者、医療情報クリアリングハウス）および事業提携者（BA）が遵守すべき要件を定めるHIPAAプライバシー規則、セキュリティ規則、侵害通知規則を執行している。HIPAAセキュリティ規則は、電子保護対象保健情報（ePHI）の機密性、完全性、セキュリティ、可用性を確保するために、管理的・物理的・技術的な安全対策を求めることにより、医療システムを保護する国家基準を確立している。

リスク分析の規定では、規制対象組織に対し、自らが保有するePHIの機密性、完全性、可用性に対する潜在的なリスクと脆弱性について、正確かつ徹底した評価を実施することが求められている。

今回発表した和解は、総計427,000 人以上に影響を与え、未保護のePHI が露出した個別のランサムウェア侵害に関する調査を受けたものである。影響を受けた ePHI の種類には、人口統計情報、社会保障番号（SSN）、財務情報、検査結果、処方薬、診断名または疾患などが含まれている。これらの和解に基づき、HIPAA適用対象組織は OCR による 2 年間の監視下で是正措置計画を実施することに同意し、OCR に対して合計 1,165,000 米ドルを支払ったという。

この日の発表は、以下のHIPAA適用対象組織との和解を対象としている。

・Regional Women’s Health Group, LLC（RWHG）（Axia Women’s Health の名称で事業を展開）は、ニュージャージー州、ペンシルベニア州、オハイオ州、インディアナ州、ケンタッキー州に拠点を持つ女性医療機関ネットワークである。今回のランサムウェア侵害は 37,989 名に影響を与えた。侵害された ePHI には、氏名、住所、生年月日、社会保障番号（SSN）、運転免許証番号、診断名または疾患、検査結果、処方薬などが含まれていた。 RWHG は 2020 年 12 月、第三者が同組織の IT ネットワークに不正アクセスし、患者 ePHI を保管する電子医療記録データベースからデータが流出した可能性があると報告した。OCR の調査では、RWHG が自社の ePHI の機密性・完全性・可用性に対する潜在的リスクと脆弱性を把握するための 正確かつ徹底したリスク分析を実施していなかったことが判明した。是正措置への取り組みに加え、RWHG は OCR に 320,000 米ドルを支払った。

・Assured Imaging Affiliated Covered Entities（Assured Imaging） は、アリゾナ州およびカリフォルニア州に本社を置く医療画像診断・スクリーニングサービス提供機関である。今回のランサムウェア侵害は 244,813 名に影響を与えた。影響を受けた ePHI には、患者の氏名、住所、生年月日、診断名・疾患、検査結果、処方薬、治療情報などが含まれていた。 Assured Imaging は 2020 年 5 月、自社ネットワーク上のサーバーがランサムウェアに感染したと報告しました。OCR の調査では、Assured Imaging が PHI を不適切に開示したこと、ePHI の機密性・完全性・可用性に対する潜在的リスクと脆弱性を把握するための正確かつ徹底したリスク分析を実施していなかったこと、そして影響を受けた個人への通知が遅れたことが判明した。是正措置への取り組みに加え、Assured Imaging は OCR に 375,000米ドルを支払った。

・Consociate, Inc.（Consociate Health の名称で事業を展開）は、従業員向け福利厚生プログラムの外部管理者であり、HIPAA 適用対象事業者に対して、健康保険プランの管理、プラン分析、コンサルティングサービスを提供する事業提携者（BA）である。今回のランサムウェア侵害では、約 136,539 名が影響を受けた。影響を受けた ePHI には、氏名、住所、生年月日、運転免許証番号、社会保障番号（SSN）、クレジットカード／銀行口座番号、診断名または疾患が含まれていた。Consociate は 2021 年 11 月および 12 月に、一部の情報システムがランサムウェア攻撃により暗号化されたと報告した。その後、2020 年 7 月のフィッシング攻撃が成功した結果、脅威行為者が ePHI を保管するサーバーにアクセスしていたことが判明した。OCRの調査では、Consociate が自社で保有する ePHI の機密性・完全性・可用性に対する潜在的リスクと脆弱性を把握するための正確かつ徹底したリスク分析を実施していなかったことが明らかになった。是正措置への取り組みに加え、Consociate は OCR に 225,000米ドルを支払った。

・Star Group, L.P. Health Benefits Plan（SG Health Plan）は、コネチカット州に拠点を置くエネルギー企業の自家保険型従業員福利厚生プランである。今回のランサムウェア侵害では、約 9,316 名が影響を受けた。影響を受けた ePHI には、氏名、住所、生年月日、社会保障番号（SSN）、および加入者 ID 番号、請求データ、給付選択情報などの健康保険情報が含まれていた。SG Health Plan は 2021 年 10 月、第三者が SG Health Plan の情報システムにランサムウェアを展開し、PHI を流出させたと報告した。OCR の調査では、SG Health Plan が PHI を不適切に開示したこと、さらに自らが保有する ePHI の機密性・完全性・可用性に対する潜在的リスクと脆弱性を把握するための正確かつ徹底したリスク分析を実施していなかったことが判明した。是正措置への取り組みに加え、SG Health Plan は OCR に 245,000米ドルを支払った。

参考までに、OCRは、HIPAAの適用対象主体（CA：Covered Entity）および事業提携者（BA：Business Associate）に対して、以下のようなサイバー脅威軽減・防止策を推奨している。

・組織内でePHIがどこに存在するかを特定し、ePHIがどのように組織の情報システムに入り、流れ、出ていくかを把握する ・リスク分析とリスク管理を組織のビジネスプロセスに統合する ・情報システムの活動を記録し、調査するための監査コントロールを確立する ・情報システムの活動を定期的にレビューする ・ePHIにアクセスするのが認可されたユーザーのみであることを保証するための認証メカニズムを利用する。 ・必要に応じて、ePHIが転送時および保存時に不正アクセスから保護されるように暗号化する ・インシデントから学んだ教訓を組織の全体的なセキュリティ管理プロセスに組み込む ・組織固有および各従業員の職務に応じた定期的なHIPAAトレーニングを実施する

（参考文献） ・U.S. Department of Health and Human Services (HHS), “HHS’ Office for Civil Rights Settles Four HIPAA Security Rule Ransomware Investigations”, April 23, 2026 https://www.hhs.gov/press-room/ocr-settles-four-ransomware-investigations.html ・U.S. Department of Health and Human Services (HHS), “Regional Women’s Health Group, LLC Resolution Agreement and Corrective Action Plan”, April 23, 2026 https://www.hhs.gov/hipaa/for-professionals/compliance-enforcement/agreements/ra-cap-with-rwhg/index.html ・U.S. Department of Health and Human Services (HHS), “Assured Imaging Resolution Agreement and Corrective Action Plan”, April 23, 2026 https://www.hhs.gov/hipaa/for-professionals/compliance-enforcement/agreements/ra-cap-with-assured-imaging/index.html ・U.S. Department of Health and Human Services (HHS), “Consociate, Inc. Resolution Agreement and Corrective Action Plan”, April 23, 2026 https://www.hhs.gov/hipaa/for-professionals/compliance-enforcement/agreements/ra-cap-with-consociate-health/index.html ・U.S. Department of Health and Human Services (HHS), “SG Health Plan Resolution Agreement and Corrective Action Plan”, April 23, 2026 https://www.hhs.gov/hipaa/for-professionals/compliance-enforcement/agreements/ra-cap-with-sg-health-plan/index.html

笹原英司 https://www.linkedin.com/in/esasahara/ 旧労働省（現厚生労働省）労働基準監督官を経て、デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク管理関連調査研究／コンサルティングに従事する 現在は、クラウドセキュリティアライアンス、在日米国商工会議所、在日デンマーク商工会議所などで、スタートアップ企業支援活動を行っている。 千葉大学大学院医学薬学府博士課程修了（博士・医薬学）

Eiji Sasahara, Ph.D., MBA After serving as a Labor Standards Inspector at the former Ministry of Labour (now the Ministry of Health, Labour and Welfare), engaged in various areas, including digital marketing (B2B/B2C) and research, studies, and consulting related to governance and risk management within the healthcare, nursing, welfare, and life sciences industries. Currently, get involved in supporting startup companies through organizations such as the Cloud Security Alliance, the American Chamber of Commerce in Japan, and the Danish Chamber of Commerce in Japan. Hold a Ph.D. in Medical and Pharmaceutical Sciences from the Graduate School of Medical and Pharmaceutical Sciences, Chiba University.