[PaaS のみ]{class="badge informative" title="Adobe Commerce on Cloud プロジェクト（Adobeが管理する PaaS インフラストラクチャ）およびオンプレミスプロジェクトにのみ適用されます。"}

Adobe Commerceに対する HIPAA 対応

HIPAA （Health Insurance Portability and Accountability Act：医療保険の相互運用性と説明責任に関する法律）

HIPAA （Health Insurance Portability and Accountability Act：医療保険の携行性と責任に関する法律）は、米国では主要な連邦医療プライバシー法であり、米国保健福祉省（Department of Health and Human Services:HHS）によって施行されています。 HIPAA は、対象事業者 （医療機関、保険会社、クリアリングハウスなど）および ビジネスアソシエイト （対象事業者にサービスを提供する事業者など）に適用されます。 HIPAA の要件は、「Privacy Rule」、「Security Rule」、「Breach Notification Rule」の 3 つの異なるルールで設定されます。 Adobeは、特定の製品のビジネスアソシエイトとして機能します。Adobeはこれを HIPAA 対応サービスに分類しています。 HIPAA で規制されるデータは、保護された医療情報 PHI と呼ばれます。 PHI とは、（1）医療提供者、健康計画若しくは医療情報交換所が作成または受領した健康情報、（2）個人の過去、現在または将来の心身の健康若しくは状態、個人への医療提供または個人への医療提供の過去、現在または将来の支払いに関する情報、（3）個人または個人を識別するために利用できると信ずるに足る合理的な根拠を特定する情報です。 HIPAA のプライバシーおよびセキュリティに関するルールでは、対象となるエンティティは、ビジネス・アソシエイトからビジネス・アソシエイト契約（BAA）の形式で書面による保証を取得し、ビジネス・アソシエイトが対象となるエンティティの PHI のプライバシーおよびセキュリティを保護するʼとを求めています。 詳しくは、Adobeのセキュリティセンターにある HIPAA およびAdobe製品およびサービスを参照してください。

Adobe Commerce HIPAA 対応

Adobe Commerce HIPAA 対応の拡張機能により、Adobe Commerceのインストールに機能が追加され、マーチャントが HIPAA の各義務に準拠できるようになりました。

Adobe Commerce HIPAA 対応の拡張機能は、クラウドインフラストラクチャー上のAdobe CommerceまたはAdobe Managed Services プロジェクトで利用で magento/hipaa-ee ます。 Adobe Commerce HIPAA 対応のインストールプロセスは、HIPAA の要件に準拠するために、一部のネイティブサービスと機能を無効にします。 無効にされたサービスと機能を参照してください。

これらの資料は情報提供のみを目的としています。 この情報の提供は、受信者に契約上またはその他の権利を与えるものではありません。 また、提供日現在の情報の正確性については保証しておりますが、正確かつ完全なものであることを示すものではありません。 Adobeは、法令またはAdobeの商品の変更に伴い、この情報を更新する義務を負いません。 また、Adobeの書面による同意なく、対象者以外の者に配布してはなりません。

必要システム構成

次の表に、Adobe Commerceのバージョンと HIPAA 対応の拡張機能の互換性を示します。

インストール

前提条件

Adobe バージョン 2.4.7-p5 または 2.4.6-p3 から 2.4.6-p8 を実行しているインスタンスに、Adobe Commerceの最新バージョンの HIPAA 対応サービス拡張機能（magento/hipaa-ee）をインストールします。 拡張機能は、repo.magento.com リポジトリからコンポーザメタパッケージとして提供されます。 メタパッケージには、Adobe Commerce インスタンスに対して HIPAA 機能を有効にするモジュールのコレクションが含まれています。

インストールの確認

アップデートがデプロイされたら、Hipaa* 拡張機能がインストールされていることを確認します

HIPAA 対応の機能の強化

magento/hipaa-ee 拡張機能では、Commerceの基本製品にいくつかの変更と機能強化が導入されています。 次のセクションでは、これらの変更の詳細と、基本製品の変更方法について説明します。

アクションログ

監査ログは HIPAA 要件の 1 つです。 Adobe Commerceでは、 アクションログ機能は、ストアで作業している管理者ユーザーが行ったすべての変更を記録します。 監査ログの HIPAA 要件を満たすために、機能が更新され、管理 UI および API 呼び出しを使用して実行されたすべての管理ユーザーおよび顧客操作を記録するようになりました。

アクションログでは、Adobe サービスがストアデータにアクセスする際のイベントも取り込みます。 アクションログレポートの「外部に送信されたデータ」アクションをフィルタリングすることで、これらのイベントを識別できます。

アクションログレポート

アクションログ レポートグリッド（System/アクションログ/レポート）は、管理 UI および API を使用して実行された顧客のアクションに対応するように変更されます。

ログ用の管理者アクションの設定

すべてのアクションがデフォルトで記録される必要があるので、この機能は使用できません。

HIPAA 顧客検索結果制限

Adobe Commerceの HIPAA 顧客検索結果制限機能は、保護された医療情報（PHI）および個人を特定できる情報（PII）へのアクセスを制限することで、HIPAA 規制へのコンプライアンスを確保します。 この機能により、ユーザーの役割に基づいて顧客レコードを検索および表示する機能が制限され、許可されたユーザーのみがこの情報にアクセスできるようになります。

主な機能

設定

検索結果の顧客数を制限する設定は、管理パネルの Stores/Configuration/Advanced/Admin/Admin Grids にあります。 この設定は、hipaa-ee 拡張機能がインストールされる際にデフォルトで有効になります。

影響を受けた機能領域

管理者による注文の作成ページ（Sales/Orders/Create New Order）および顧客ページ（Customers/All Customers）の顧客グリッドは、検索結果制限機能の影響を受けます。

検索結果の制限機能は、顧客検索の REST API （/V1/customers/search）にも適用されます。

機能の読み込みと書き出し

読み込み機能と書き出し機能の強化は、管理エクスペリエンスの向上と、ユーザーのアクションの可視性の向上に重点を置いています。

管理アクションログ

読み込みおよび書き出し機能における主な改善点の 1 つは、管理アクションのログの機能強化です。 この機能強化により、データのインポートとエクスポートに関連するアクティビティをより深く掘り下げる機能が導入され、トラッキングと監査性の向上に貢献します。 以下のアクションがログに記録され、System/ Action Logs/Report ​グリッドに反映されるようになりました。

ディスプレイの強化と、フィルタリングと並べ替えの改善

管理者ユーザーがより多くの情報を持つグリッドを使用できるように、HIPAA 対応サービスでは、データの表示、フィルタリング、並べ替えにいくつかの機能強化を提供しています。

インポート履歴（System/Data Transfer/Import History）

書き出し（System/Data Transfer/Export）

スケジュールされたインポートおよびエクスポート（System > Data Transfer> Scheduled Import/Export）

HIPAA 対応のサービスとツール

ここでは、Adobe Commerceの HIPAA 製品で使用できる HIPAA 対応のAdobe サービスについて説明します。 また、ストアの主要なセキュリティとコンプライアンス制御の監視に役立つツールについても説明します。

Adobe Commerce サービス

次の表に、HIPAA 対応ソリューションで使用可能なAdobe Commerce サービスを示します。 これらのサービスには以下が含まれますが、これらに限定されません。

ツール

Adobe Commerceの セキュリティスキャンツールを使用すると、ストアを監視して、必要なすべてのセキュリティコントロールが有効で機能していることを確認できます。 Adobeでは、標準のセキュリティチェックに加えて、Adobe Commerceの HIPAA 製品を使用しているお客様に対して HIPAA 固有のチェックを表示するツールを強化しました。 セキュリティスキャンツールの HIPAA チェックは、次のことを保証するように設計されています。

ツールを設定して、スケジュールされたスキャンの詳細を含むメール通知を送信したり、 レポートを手動で表示したりできます。

無効にされた機能

HIPAA の要件に準拠するために、Adobe Commerceでサポートされている一部の機能は、デフォルトでは使用できないか無効になっています。 マーチャントは、これらの機能を自分の責任で再度有効化または使用するオプションがあります。

次の機能は、HIPAA 対応モジュールでデフォルトで無効になっています。 マーチャントは、独自の責任でこれらの機能のいずれかを有効にすることができます。