HIPAA
概要
Oracle Eloqua Advanced Data Privacy Cloud Serviceを使用すると、金融サービスなどの規制産業のマーケティング担当者は、PIIおよびNPIプライバシ規制に準拠するセキュアな方法でコンシューマと直接やりとりできます。
Oracle Eloqua HIPAA Advanced Data Security Add-on Cloud Service (HIPAAアドオン)を使用すると、マーケティング担当者は、セキュアで準拠した方法で医療コンシューマと直接やりとりできます。
注意: このアドオンは、すべてのEloquaトリム(Basic、StandardおよびEnterprise)に使用できます。詳細はアカウント担当者に連絡してください。
注意: HIPAAアドオンは、一部の業界固有トリムに組み込まれています。アドオンは、すべてのEloquaトリム(Basic、StandardおよびEnterprise)にも使用できます。詳細はアカウント担当者に連絡してください。
注意: Oracle Eloqua Advanced Data Privacy Cloud Serviceアドオンは、HIPAA規制に準拠していません。HIPAAに準拠する必要がある場合は、
NPIおよびPIIの概要
非公開情報および個人識別可能情報
非公開情報(NPI)は、金融サービスを受けるためにアプリケーション(クレジット・カードまたはローン・アプリケーション)上に表示されるすべての情報、または口座履歴(銀行またはクレジット・カード)上に表示されるすべての情報を表す包括的な用語です。これには、その組織に対して顧客が現在の顧客であるか、以前の顧客であるかという顧客の状態も含まれます。NPIに含まれるのは、名前、住所、電話番号、社会保障番号、PIN、パスワード、口座番号、給与、医療情報および口座残高です。通常、NPIは、その対応する用語である個人識別可能情報(PII)より広義です。
一般的に、情報セキュリティおよびプライバシ分野では、PIIは個人を一意に識別、連絡または特定するために使用できる可能性がある情報のあらゆる部分と考えられます。PIIに含まれるのは、国民識別番号、番地、運転免許、電話番号、IPアドレス、Eメール・アドレス、車両登録および年齢です。
事前セキュリティ戦略の実施
電子通信は、ビジネスを行う組織にとって不可欠で有効なチャネルとなっています。ただし、事業取引が容易になり、その展開が世界的規模になるとともに、データ漏洩のリスクも発生します。漏洩のリスクおよび脅威から情報アセットを保護するための確実な解決策はありませんが、電子通信のコンテンツのモニターおよびフィルタなど、堅実な実務を包括する事前セキュリティ・プログラムは、NPIおよびPIIのセキュリティと守秘義務の保証、および機密情報の保護を必須とする規制への準拠に役立ちます。規制への準拠は必ず達成する必要がありますが、それが事前セキュリティの実施のための唯一の理由にならないようにする必要があります。
HIPAAの概要
医療保険の相互運用性と説明責任に関する法令(1996) (HIPAA)は、米国の法律です。保護医療情報(PHI)は、HIPAA準拠アドオンの使用の理由となる中心コンセプトです。コンタクトは、自分のデータが、それを要求する医療組織以外の第三者によってアクセスできないこと、およびそのアクセスに対する必要な権限がある組織内の人物のみがアクセスできることを確信できる必要があります。PHIおよびそのHIPAAとの関連の詳細は、HIPAAのWebサイト「HIPAA PHI Discussion」を参照してください。
Oracle Eloquaアドオンのセキュア通信プロセス
マーケティング担当者がデータ・プライバシHIPAA規制に準拠するために、コンタクトとのやりとりは、プロセス全体のセキュリティを保証する厳密なパスに従う必要があります。
次に、Eloquaとコンタクト間のやりとりの詳細な内容を示します。
-
コンタクトは、オプトインして、インスタンス用のフォームを提出することによってセキュア・コンテンツを受信します。
重要: データ・プライバシHIPAA
-
EloquaでコンタクトがEメール・グループに登録されます。コンタクトに対して一時アクセス・トークンが自動的に作成され、これがEloquaのコンタクト・データベースに暗号化されて保存され、このコンタクトに直接マップされます。
-
Eloquaでは、新規にオプトインしたコンタクトを確認するために、Eメール・グループを定期的に(約5分間隔)問い合わせます。新規オプトイン・コンタクトが識別されると、コンタクトに、パスワード設定ページへのリンクが含まれる、ようこそEメールが自動的に送信されます。
注意: ようこそEメールはセキュア・コンテンツが含まれていないため、Eメール・グループに関連付けられていません。
-
コンタクトがようこそEメールをオープンし、パスワード設定リンクをクリックします。
-
パスワード設定ランディング・ページが表示されます。
-
コンタクトは、パスワードの設定ページで必要なパスワードを提出します。
-
パスワードが検証されます。
- パスワードが正しく設定された場合は、パスワード設定成功ランディング・ページが表示されます。これで、コンタクトは個人のセキュア・ポータルからセキュア・コンテンツにアクセスできます。
- パスワードが正しく設定されない場合は、パスワードの設定失敗ランディング・ページが表示されます。
次に、Eloquaとコンタクト間のやりとりの詳細な内容を示します。
-
セキュア・コンテンツをコンタクトに通信する必要がある場合は、コンタクトに対して、新規メッセージに関して通知する通知Eメールが送信されます。通常、この通知Eメールには「ログイン」ページへのリンクが含まれています。コンタクトは「ログイン」ページに直接ナビゲートすることもできます。
注意: 通知Eメールは、セキュア・コンテンツが含まれていないため、Eメール・グループに関連付けられていません。
-
コンタクトは、通知Eメールの「ログイン」リンクをクリックするか、「ログイン」ページに直接ナビゲートします。
-
「ログイン」ページが表示されます。
-
コンタクトは、「ログイン」ページでユーザー名とパスワードを提出します。
- 資格証明が正しい場合は、コンタクトにランディング・ページ(セキュア・コンテンツを含む)が表示されます。
- 資格証明が正しくないか、エラーが発生した場合は、認証失敗ランディング・ページが表示されます。
ロール(個人)
Oracle Eloqua Advanced Data Privacy Cloud ServiceOracle Eloqua HIPAA Advanced Data Security Add-on Cloud Serviceのインストール、構成、管理および使用に関連するロールがいくつかあります。
注意: さらに、実装の一部に対する前提条件として、弊社のOracle Eloquaプロビジョニング・チームがEloquaインスタンスでのアドオンを有効化する必要があります。
顧客管理者の職責およびタスク
Eloquaの顧客管理者セキュリティ・グループのメンバーである場合は、NPIおよびPIIHIPAA環境の構成で次のステップを実行できます。
-
セキュア通信アプリケーションの構成。
-
セキュアなマイクロサイト証明書の作成。
-
ePPIセキュリティ・グループePHIセキュリティ・グループに対するメンバーシップの管理。このグループは、アドオンのインストール時にデフォルトで作成され、コンタクトまたはアカウント・データを表示するためにそのグループのメンバーシップが必要です。
-
セグメントの作成。これは、マーケティング担当者にePPIセキュリティ・グループePHIセキュリティ・グループに対するアクセス権がなく、顧客管理者が、マーケティング担当者がキャンペーンで使用する顧客セグメントを作成できる場合です。
-
マーケティング担当者が表示できるテスト・コンタクトのセットの作成。これは、セグメントおよびキャンペーンを作成する必要があるマーケティング担当者に、ePPIセキュリティ・グループePHIセキュリティ・グループに対するアクセス権がない場合です。
- クラシック・インサイト・レポートの実行。
マーケティング・ユーザー(キャンペーン・マネージャ)の職責およびタスク
通常、Oracle Eloquaのデータ・プライバシHIPAA環境のマーケティング・ユーザーは、PII
-
データ・プライバシHIPAA準拠キャンペーンで使用するためのEメール、ランディング・ページおよびその他のアセットは、Oracle Eloqua顧客管理者が作成します。環境およびキャンペーンが準拠するようにするには、ユーザーは特定のコンテンツを含むアセットのグループを作成する必要があります。
注意: Eloquaには、HIPAA準拠マーケティングをサポートするためのベスト・プラクティスのキャンペーン・ワークフローおよびアセットを含む、ライフサイエンスDTCマーケティングに対する業界ソリューションが用意されています。詳細は、アカウント・マネージャに問い合せてください。
-
キャンペーンの作成。
-
「キャンペーン・キャンバス」の「処理」メニューを使用したオペレーショナル・レポートの実行。
コンタクト
コンタクトは、Eメール通信のターゲット・オーディエンスです。コンタクトには、NPIおよびPIIPHIに対するセキュア・アクセス権があり、データにアクセスする前にセキュア・ランディング・ページを介してデータ・プライバシHIPAAサイトにログインする必要があります。
Oracle Eloquaおよびデータ・プライバシHIPAA
Oracle Eloqua Advanced Data Privacy Cloud ServiceOracle Eloqua HIPAA Advanced Data Security Add-on Cloud Serviceは、組織が、
-
ユーザーの認証およびユーザー・アクセスの承認 - PII
Eloquaアプリケーションおよびアドオンには、ユーザーがアプリケーション・リソースにアクセスする前にユーザーIDを検証する方法が用意されています。Eloquaアプリケーションでは、システムに対するコンタクトおよびユーザーIDの作成、変更、非アクティブ化または削除ができます。Eloquaアプリケーションには、ユーザーがアプリケーション・リソースにアクセスする前にユーザーIDを検証できる認証メカニズムも用意されています。セキュア通信ポータルにアクセスするすべてのEメール・コンタクトは、最初にセキュア通信に登録して、正しいユーザー名とパスワードを指定する必要があります。
PIIePHIアプリケーションでは、機密機能に従ってユーザー権限を割り当て(認証)、ユーザーのアクセスを、そのユーザーの職務を実行するために必要最低限のアプリケーション機能、リソースおよびデータに制限できる必要もあります。
アドオン・プロビジョニング時に、新規ePPIePHIセキュリティ・グループおよびラベル・マーキングが作成され、顧客管理者のみがこのグループにアクセスできます。EloquaのePPIセキュリティ・グループePHIセキュリティ・グループのメンバーシップは、NPIおよびPIIHIPAA提出済データに関連するコンタクトおよびアカウント・データを表示するために必要です。マーケティング・ユーザーは、ePPIセキュリティ・グループePHIセキュリティ・グループに明示的に追加されないかぎり、デフォルトでは、個人識別可能情報(PII)または
-
ユーザー・アカウントの保護機能の強化 - パスワード認証の使用時に、弱いパスワード・ポリシーによるアプリケーション・セキュリティ侵害を防止するために、NPIおよびPIIePHIアプリケーションで特別な制御を実装する必要があります。
データ・プライバシHIPAAアドオンのプロビジョニング時に、すべてのデータ・プライバシHIPAAサイトに対して、Eloquaパスワード・ポリシーがデフォルトで適用されます。さらに、データ・プライバシHIPAAアドオンでは、パスワード・リセット試行が制限され、第三者によるサービス拒否攻撃を防止しています。弱いパスワードがセキュア・コンテンツの表示を許可されないようにするための、最小パスワード複雑度も必要です。また、アドオン・サービスでは、セキュア・コンテンツURLを別のユーザーと共有できる機能を無効にすることによって、セキュア通信ユーザーがアプリケーション内に維持できる同時セッションの数も制限されます。
-
機密情報へのアカウント管理アクセスの保守 - 組織は強力なユーザー・アカウント管理プロセスを実装して、アプリケーション・アクセス・リストの妥当性を維持し、未承認の個人による機密情報へのアクセスを防止する必要があります。これらのプロセスは、「必要最小限」、「ビジネス上の必知事項」および「最小可能権限」の原則が厳密に守られていることを保証しようとするものです。
データ・プライバシHIPAAアドオンは、複数の方法でこの制御を満たすことで組織を支援します。
-
承認済ユーザーのみが、コンタクトのPIIおよび
-
コンタクトは、明確にオプトインするか、フォーム提出または他の手段によってデータ・プライバシHIPAA Eメール・グループに登録するまで、グループの一部として送信されたEメールを受信できません。
-
次のアクティビティの監査証跡を提供するログを使用できます: Eloquaシステムのコンタクト、アカウントに対するアクセス、データ・エクスポートを介したコンタクトおよびアカウントへのアクセス、Eメール・セキュリティ・グループの登録および登録解除、クラウドAPIコンポーネントを介したコンタクトおよびアカウント・データに対するアクセス。すべてのコンタクト・アクセスおよびEメール・グループ・メンバーに対する変更が、アプリケーションによってトラッキングされます。
-
コンタクト・フィールドに「保護」のマークを付けて、Webデータ参照を介した不正表示またはアクセスを防止できます。Webデータ参照を使用すると、Javascriptまたはフォームのデフォルト値によって、Eloquaから動的にデータを抽出できます。「保護」のマークが付けられたフィールドは、Webデータ参照でアクセスできなくなります。
-
コンタクトにアクセスするオペレーショナル・レポートは、ePPIセキュリティ・グループePHIセキュリティ・グループに対するアクセス権のあるマーケティング・ユーザーに制限されます。
-
コンタクトおよびアカウント・データにアクセスするクラシック・インサイト・レポートは、すべてのマーケティング・ユーザーに対して無効化されています。
-
-
停止中および使用中の機密情報の暗号化 – PIIePHIアプリケーションでは、効果的な暗号化テクノロジを実装して、その機密情報の継続的な整合性および守秘義務を保証しています。これには、停止中および使用中のPIIePHIを暗号化および復号化するためのメソッドを実装する必要があります。
アドオンでは、この制御を複数の方法で実現します。
-
セキュア・チャネルを使用したEメール通信Eloquaインスタンスでアドオンとともに使用するために、新しいセキュア通信アプリケーションが作成されました。セキュア通信アプリケーションでは、明示的なオプトインおよびセキュア・チャネルを介したEメール送信のために、新しいEメール・グループ機能が利用されます。すべてのEメール通信が、SSL暗号化を含むセキュアなランディング・ページに表示されますが、これは、SSL証明書を使用するセキュアなマイクロサイトであり、データ・セキュリティの特別なレイヤーが提供されます。
-
PIIおよび
-
PIIおよび
-
-
監査証跡および処理可能なイベント情報を作成する、セキュア・ネットワーク用のアプリケーションを強化しています。
PIIePHIアプリケーションは、機密情報の送信および保管を保護するために、セキュア・ネットワーク構成がデプロイされていることを保証する必要があります。これらは、監査証跡および処理可能なイベント情報を作成する必要もあります。
セキュリティ・グループ・メンバーシップに対する変更が記録されるため、メンバーシップ・アクセスに関する監査証跡が存在します。アプリケーション・アクセス、コンタクト・アクセスおよびセキュリティ・グループ・アクセスに関する監査ログがアドオンとともに組み込まれています。クラウド・セキュリティ・オペレーションでは、イベント・ログ・レポートが作成され、考えられるセキュリティ侵害に対するイベント・ログが定期的にモニターされます。
タスク
関連項目