hipaa-compliance

hipaa-compliance skill の概要

hipaa-compliance は、米国の医療プライバシーとセキュリティ対応に向けた HIPAA 専用の入口です。PHI、covered entities、business associates、BAA、漏えいリスク、またはあるワークフローが HIPAA リスクを生むかどうかが明示的に論点になるときに、hipaa-compliance skill を使ってください。

この skill は何のためのものか

製品、機能、ワークフローが HIPAA 対象になり得るか、また実装前にどのガードレールが重要かを判断するのに役立ちます。ここでの主な仕事は一般的なセキュリティレビューではなく、「この設計は HIPAA の露出を生むか、そして出荷前に何が満たされていなければならないか」に答えることです。

ほかと何が違うのか

この skill は意図的に薄く、かつ正準的です。より広い医療プライバシー実装や一般的なセキュリティレビューの代わりにはなりません。その代わり、HIPAA に関する問いを適切な観点でさばくことで、関係のない作業に HIPAA ルールを過剰適用したり、本当に重要なコンプライアンス課題を見落としたりするのを防ぎます。

どんな人に向いているか

患者向けシステム、医療従事者向けツール、社内サポートフロー、ログ基盤、分析基盤、あるいは PHI に触れる可能性のある LLM 支援ワークフローをレビューまたは構築するなら、hipaa-compliance を入れる価値があります。特に、より深いレビューに入る前に素早く一貫した切り分けが必要な、コンプライアンス、プロダクト、エンジニアリングの各チームに有用です。

hipaa-compliance skill の使い方

skill をインストールして確認する

リポジトリに記載されている hipaa-compliance の install コマンドを使い、エージェントのワークフローで skill が利用可能になっていることを確認してください。まずディレクトリを確認する段階であれば、本番作業で頼る前に SKILL.md を読んでスコープを把握するのが先です。

skill に適切な入力を与える

hipaa-compliance は、コンプライアンス上の問い、データ種別、関係者、ワークフローを 1 つのプロンプトで明示すると最もよく機能します。たとえば、「このサポート用チャットボットが予約メモを閲覧できるか、それが PHI の露出になるか、必要最小限のコントロールは何かをレビューしてください」といった形です。

正準フローから始める

まず SKILL.md を読み、リポジトリ内にリンクされた追加ガイダンスがあればそれに従ってください。このリポジトリでは、重要なのは次の判断順です。依頼が HIPAA 対象かを見極めること、具体的な実装の詳細はより広い医療プライバシー skill に委ねること、そして HIPAA を単独のアーキテクチャ計画ではなくコンプライアンスの上書き層として使うことです。

より良い結果につながるプロンプトの形

良い hipaa-compliance プロンプトには、システムの文脈、対象機能、そして必要な判断が含まれます。弱いプロンプトは「HIPAA 準拠にして」とだけ書きます。より良いのは、「患者の受付ボットから取得したチャット文字起こしを保存してよいか、除外すべきデータは何か、必要な監査・ログの制限は何かを評価してください」といった依頼です。

hipaa-compliance skill の FAQ

hipaa-compliance だけで十分か

通常は十分ではありません。リポジトリでは、hipaa-compliance は HIPAA 判断のための上位オーバーレイであり、healthcare-phi-compliance が具体的なプライバシーと取り扱いのルールを担当することが明確にされています。実際に PHI ワークフローを扱うなら、両方を使ってください。

どんなときにこの skill を使うべきではないか

一般的なアプリのセキュリティ、通常のプライバシーデザイン、あるいは PHI に一切触れない非医療プロダクトには hipaa-compliance を使わないでください。論点が一般的な認証、シークレット、入力検証、デプロイ強化なら、security-review のほうが適しています。

初心者向けか

はい、ワークフローの基本的な事実をすでに把握しているなら向いています。HIPAA に関係する判断ポイントに問いを絞り込んでくれるので初心者にも役立ちますが、どのデータが関与し、誰がアクセスできるのかは明確に伝える必要があります。

コンプライアンスレビューに役立つか

はい。hipaa-compliance は、ログ、分析、サポートツール、または PHI を露出させる可能性のある LLM プロンプトを素早く事前確認したいときの Compliance Review に向いています。正式な法務レビューやセキュリティレビューの前段に置く切り分け層として特に強みがあります。

hipaa-compliance skill を改善するには

足りないコンプライアンス情報を補う

品質を最も大きく上げるのは、データ、関係者、目的を明示することです。システムが診療メモ、予約データ、支払い情報、文字起こし、画像、識別子のどれを扱うのか、また利用者が covered entity、business associate、それともベンダーなのかをはっきり書いてください。

要約ではなく判断を求める

hipaa-compliance の結果をより良くするには、「リスク評価」「Go/No-Go 判断」「コントロールチェックリスト」「出荷前に何を変える必要があるか」など、具体的な出力を求めてください。そうすることで、HIPAA 上の懸念を実務のアクションに変えやすくなります。

典型的な失敗パターンに注意する

最もよくあるミスは、医療に関連する機能をすべて同じように規制対象だと扱ってしまうことです。もう 1 つは、ログ、分析、サポートチケット、プロンプト経由の間接的な露出を見落とすことです。そうした経路があるなら明示し、skill が必要最小限のアクセスと漏えい時の姿勢を評価できるようにしてください。

初回ドラフトをもとに反復する

最初の回答のあとで、PHI がどこに現れるか、どのくらい保持されるか、誰が見られるか、どの外部サービスが関与するかを 1 段深く追加してください。それだけで、一般論の回答を、実装判断に使える実用的な hipaa-compliance ガイドへ変えられることが多いです。