HIPAA / HITECH 侵害通知ルール

要件： 対象事業者（Covered Entities）およびビジネスアソシエイト（Business Associates）は、保護対象無暗号化保健情報（Unsecured PHI）の漏洩を認識した場合、不当な遅延なく、かついかなる場合も発見から60日以内に影響を受けた個人に通知しなければなりません（45 CFR 164.404）。500人以上に影響を及ぼす漏洩については、米国保健福祉省（HHS）の市民権局（OCR）への報告も義務付けられています。

Salesforceにおけるリスク： 患者ポータル、サポートケース、AIエージェントのワークフロー、および連携インテグレーションなど、Salesforce内を移動するPHIは、組織のフォーマルなリスク分析の対象外となっているケースが多々あります。OAuthトークンの悪用、ゲストユーザーポータルでのデータ露出、AIエージェントへのプロンプトインジェクションなどは、いずれも標準のアラートを1つも発生させずにPHIを環境外へ流出させる可能性があり、検知と影響を受けたレコードの特定双方に遅れを生じさせます。

当社のソリューション： Salesforce内部でのリアルタイム検知と監査の可視性により、侵害範囲を迅速に特定するために必要な証拠をセキュリティチームに提供します。これにより、発見日の特定分析や、OCRによる法執行の焦点となりつつある「60日間の通知期限」への対応を支援します。

SEC サイバーセキュリティ開示規則（上場医療機関およびメドテック企業向け）

• 要件： 上場企業は、重要（Material）なサイバーセキュリティインシデントであることを決定してから4営業日以内に、その内容を開示しなければなりません。

• Salesforceにおけるリスク： 患者、医療従事者、または商用データに及ぶSalesforceの侵害は、特にAIエージェントや連携インテグレーションによって実際にどれだけのデータが奪われたかが不透明な場合、迅速に「重要（Material）」の閾値に達する可能性があります。

• 当社のソリューション： インシデントの範囲を迅速に特定し、重要性の決定および4日間の開示ウィンドウを支えるために不可欠なリアルタイム検知と監査ログを提供します。

GDPR

要件： EUの医療データ（第9条に定める特別カテゴリー）を処理する組織は、不正アクセスから当該データを保護するとともに、データ漏洩を認識してから72時間以内に監督当局に通知しなければならない。

Salesforceのリスク： Salesforce内の患者記録、紹介データ、および医療提供者との通信は、GDPRにおける「特別な種類のデータ」に該当します。統合機能の侵害、ポータルの設定ミス、または悪意のある入力に基づいて動作するAIエージェントを介したデータ漏洩が発生した場合、ネイティブなアラート機能がなく、どの記録が影響を受けたかを迅速に特定する手段もありません。

当社の支援内容： Salesforce内でのリアルタイム脅威検知により、発生した事態を正確に把握し、72時間以内の通知要件を満たすために必要な可視性をチームに提供します。

NIS2指令

要件： NIS2は、医療を重要事業セクターの一つに指定しており、リスク管理措置、サプライチェーンのセキュリティ対策、および検知から24時間以内のインシデント報告を義務付けています。

Salesforceのリスク： 対象となる医療提供者にとって、Salesforceは重要な業務システムであると同時に、EHRシステム、検査機関、薬局、紹介パートナーと接続されているため、サプライチェーン上のリスクベクトルでもあります。ほとんどの医療機関は、NIS2に基づくSalesforce固有のリスクに対して、まだ正式な対応を講じていません。

当社の支援内容： 連携された統合システムやパートナーポータルからのコンテンツを検査することで、サプライチェーンおよびICTリスクを低減し、NIS2の24時間以内報告要件の基盤となる検知機能を支援します。

1988年プライバシー法／報告義務のあるデータ漏洩制度；マイ・ヘルス・レコード法

要件： 個人情報および健康情報を保有する組織は、報告義務の対象となるデータ漏洩が発生した場合、実行可能な限り速やかにOAICおよび影響を受けた個人に通知しなければなりません。マイ・ヘルス・レコード法は、連携する医療提供者に対して独自の報告義務を課しています。

Salesforceのリスク： Salesforceのワークフローに含まれる患者データは、データ漏洩届出制度の対象となります。ポータルやAIエージェントの侵害を介した漏洩については、専用のSalesforce監視システムがなければ、その範囲の特定や原因の究明が困難となる可能性があります。

当社の支援内容： 対象となる漏洩を特定し、影響を受けた記録の範囲を把握し、OAICへの適時な届出を支援するために必要な検知および監査機能を提供します。

英国GDPR／NHSデータセキュリティ・保護ツールキット

要件：英国の患者データを処理する組織は、データ漏洩が発生した場合、72時間以内にICO（情報コミッショナー事務局）に報告しなければなりません。また、NHSに関連する組織は、NHSデータセキュリティ・保護ツールキット（DSPT）の年次保証要件も満たす必要があります。

Salesforceに関するリスク：SalesforceポータルやAI駆動のワークフローを通じて処理される英国の患者データは、英国GDPRの通知対象となりますが、DSPTの証拠資料において、Salesforce固有の統制措置が明示的に言及されることはほとんどありません。

当社の支援内容： 英国GDPRコンプライアンスに向けたSalesforceのコンテンツ検査におけるギャップを解消し、Salesforceに接続されたワークフローに関するDSPT保証を裏付けるために必要な監査証拠を提供します。