2026年時点で、GmailはHIPAAに準拠しているのでしょうか？

医療ITにおいて、電子メールは最も危険な攻撃対象であり、かつ最も見過ごされがちなものです。フィッシングや 電子メールを悪用した攻撃 は、医療データ侵害における主要な初期侵入経路の一つであり続けています。平均して、医療分野でのデータ侵害による損害額は、実に 977万ドルものになります。 

この脅威を抑制するため、厳格な規制が導入されています。例えば、組織が電子メールを通じて保護対象の健康情報（PHI）を不適切に扱ったと判明した場合、HIPAAに基づく罰金は 10万ドルから150万ドル が科されます。

多くの医療従事者やそのITチームにとって、Gmailはすでに標準的なツールとなっています。使い慣れたツールであり、幅広いサポートが受けられ、日々の業務に深く組み込まれています。そこで当然の疑問として浮かぶのは、組織を法的・財務的なリスクにさらすことなく、Gmailを使い続けることは可能なのか、ということです。

このガイドでは、「GmailはHIPAAに準拠しているか」という疑問にお答えします。主な内容は以下の通りです：

• HIPAAが電子メールに関して求める要件は、
• どのGmailプランが対象となりますか、
• セットアップが満たすべき4つの条件、そして
• GmailをHIPAAに準拠させる手順。
  

まずは最初の質問から始めましょう：

GmailはHIPAAに準拠していますか？

簡単に言うと：GmailのほとんどのバージョンはHIPAAに準拠していません。プランごとの概要は以下の通りです：

一般ユーザー向けGmailアカウントおよび無料のGmailアカウント（無料版Gmailを除く）は、HIPAA準拠の対象外です。HIPAA準拠の設定が可能となるのは、有料のGoogle Workspaceサブスクリプション（具体的には、Enterprise Workspaceプラン）のみです。

Googleは、無料のGmail、Business Standard、またはBusiness Plusプランについてはビジネスアソシエイト契約（BAA）を提供していないため、これらのプランは対象外となります。非Enterpriseプランを通じて保護対象医療情報（PHI）を取り扱う医療機関やその他の対象機関は、コンプライアンスに準拠していない状態となります。

対象事業者およびその業務提携先は、PHI（個人健康情報）の取り扱いに使用されるすべてのワークスペース・サービスがBAA（業務提携契約）の対象となるよう確保しなければなりません。つまり、HIPAAの要件を満たすように設定できるのは、有料のGoogle Workspaceサブスクリプションのみとなります。

ただし、エンタープライズワークスペースプランにアップグレードするだけでは、GmailがHIPAAに準拠するわけではありません。HIPAAに準拠したGmailとするには、以下の4つの条件をすべて満たす必要があります：

• ご利用の組織は、Google Workspaceのエンタープライズプランに加入している必要があります。
  
• Googleとの間で署名済みの業務提携契約（BAA）を締結している必要があります。
  
• ITチームは、管理コンソール内で必要なセキュリティ対策の設定を行う必要があります。
  
• ドメイン内のすべてのユーザーに対して、組織のメールポリシーを徹底する必要があります。

これらの条件はいずれも同等の重要性を持ち、たとえ1つでも満たさない場合、組織は違反のリスクにさらされることになります。以下のセクションでは、各条件について詳しく解説し、Googleがデフォルトで提供している機能、手動での設定が必要な項目、および追加の安全対策が必要となる可能性のある箇所について説明します。

HIPAAが電子メールに実際に求めていること

HIPAA（医療保険の相互運用性と説明責任に関する法律）は、組織が保護対象となる医療情報をどのように取り扱わなければならないかについて、法的基準を定めています。電子メールに関しては、以下の7つの具体的な要件が適用されます：

• 転送中の暗号化： PHIを含むすべての電子メールは、 トランスポート層セキュリティ（TLS） を使用して暗号化する必要があります。これにより、配信中のデータが傍受されるのを防ぎます。TLSはサーバー間の接続を暗号化しますが、メッセージの内容そのもののエンドツーエンド暗号化を保証するものではありません。
• 保存時の暗号化： 受信トレイ、アーカイブ、またはサーバーに保存されたPHIは、保存場所が侵害された場合でも権限のない者が読み取れないよう、暗号化する必要があります。これは転送中の暗号化とは別の要件であり、電子メールの送受信が行われていない場合でも適用されます。
• アクセス制御： PHIへのアクセスは、権限のある担当者のみに限定する必要があります。つまり、誰でもアクセスできる共有受信トレイではなく、役割に応じた権限設定を実施する必要があります。アクセス権は「知る必要のある者」に限定して付与し、従業員が役職を変更したり組織を離職したりした場合は、速やかに取り消す必要があります。
• 監査ログ： システムは、誰が、いつ、どこから、どの情報にアクセスしたかを記録する必要があります。これらのログは保存され、監査や情報漏洩の調査の際に確認できるよう準備しておく必要があります。ログ記録の不備は、OCRの執行措置においてよく見られる指摘事項です。
• データの完全性： PHIは、許可なく改変または破棄してはならない。システムは、偶発的または悪意のある改ざんに対する保護措置を講じなければならない。これには、バージョン管理、アクセス制限、および適切な場合のチェックサムが含まれる。
• 業務提携契約（BAA）： 電子メールプロバイダーを含め、貴社に代わってPHIを取り扱うすべてのベンダーは、HIPAAの義務を遵守することを承諾する正式な契約書に署名しなければなりません。これにより、ベンダーはデータの処理、保管、保護の方法について法的責任を負うことになります。
• 情報漏洩の通知： PHIが漏洩した場合、漏洩の発見から60日以内に、影響を受けた患者および保健社会福祉省（HHS）に通知しなければなりません。メールプロバイダーから送付される契約上の通知は、この要件を満たすものではありません。

Google Workspace Enterprise が各要件にどのように対応しているかを以下に示します：

GmailがHIPAAに準拠するための4つの条件

Googleは、Workspace Enterprise内でこれらの要件をサポートするインフラストラクチャを構築しています。ただし、コンプライアンスを達成するには、組織がプランの階層、法的契約、技術的な設定、および内部ポリシーの4つの条件を満たす必要があります。

条件 1: Google Workspace Enterprise をご利用である必要があります

上記のプラン比較で示した通り、BAAの対象となるのは「Google Workspace Enterprise」のみです。その他のプランは、価格や機能セットにかかわらず、HIPAA準拠での利用要件を満たしていません。「Google Workspace Enterprise」には公表された定価がないため、組織はユーザー数や要件に基づき、Google Cloudの営業担当と直接価格交渉を行う必要があります。

条件2：業務提携契約書に署名する必要があります

BAA（業務提携契約）とは、メールプロバイダーがPHIをどのように取り扱うか、および情報漏洩が発生した場合の対応を定めた、法的拘束力のある契約です。この契約がなければ、メールプロバイダーはHIPAAに基づく法的責任を負わず、貴社のコンプライアンス体制も同様に法的責任を負うことはありません。

BAAは、単なる責任の承認にとどまりません。本契約では、Googleがお客様に代わってPHIをどのように利用・開示するか、Googleがどのようなセキュリティ対策を維持しているか、セキュリティ侵害やインシデントが発生した場合にGoogleがお客様に報告する義務、お客様のデータを処理する可能性のある下請業者に対する制限、および本契約を解除できる条件などが明記されています。これらの条項を弁護士と慎重に検討することは、単なる形式的な手続きではなく、不可欠な作業です。

GoogleとのBAAを締結するには、Google Cloudの営業担当に直接連絡し、BAAのテンプレートを請求した後、自社の法務部門と内容を確認し、署名してください。このプロセスには2～4週間かかる見込みです。締結後は、署名済みのコピーを、適用開始日に関する記録とともにコンプライアンス記録として保管してください。

条件3：セキュリティ対策を適切に設定する必要があります

「Enterprise」へのアップグレードとBAAへの署名により、法的および構造的な基盤は整いますが、コンプライアンスは自動的に有効化されるわけではありません。ITチームは、Google 管理コンソール内で以下の管理機能を手動で有効化し、適用する必要があります：

• すべてのアカウントで二段階認証（2FA）を有効にする
  
• 組織全体で強力なパスワードポリシーを徹底する
  
• アクセスや操作の履歴を追跡するために、監査ログを有効にしてください
  
• データ漏洩防止（DLP）ルールを設定し、PHIが環境外に流出するのを防ぐ
  
• 不正な外部アクセスを防ぐため、ファイル共有を制限する
  
• 外部メールアカウントへの転送を無効にする

これらの設定はいずれもデフォルトでは有効になっておらず、1つでも欠けていると、監査や法執行機関から指摘されるような不備が生じます。

条件4：組織の方針を確実に実施すること

技術的な構成は、コンプライアンス要件の半分に過ぎません。HIPAAでは、チームが日常的にPHIをどのように取り扱うかを規定する、文書化された管理上の保護措置も義務付けています。組織では、以下のポリシーを策定しておく必要があります：

• 文書データの取り扱い手順を文書化すること
  
• 全従業員に対し、HIPAAの要件および電子メールの適切な利用方法について研修を実施し、人的ミス（宛先間違いや暗号化の不備など、HIPAA違反の一般的な原因）に対処するための継続的な教育を行う
  
• 役割ベースのアクセス制御を導入し、従業員が自身の職務に関連するPHIのみにアクセスできるようにする
  
• 不審な活動や人的ミスを継続的に監視する
  
• インシデントが発生する前に、文書化されたインシデント対応手順を策定しておく

こうしたポリシーがなければ、たとえGmail環境が完璧に設定されていたとしても、監査や執行審査の際にHIPAAの管理上の保護措置の要件を満たすことはできません。

署名済みのBAAがあってもGmailにまだ欠けているもの

これら4つの条件をすべて満たすことで、Google Workspace Enterpriseは HIPAA準拠が達成されますが、HIPAA専用に設計されたメールプラットフォームと比較すると、依然として顕著な不足点が残っています。Gmailを主要なPHI（個人健康情報）の通信チャネルとして採用する前に、組織は以下の制限事項を認識しておく必要があります：

• エンドツーエンドの暗号化は行われません： Gmailは転送中および保存中のデータを暗号化しますが、送信者と受信者のみがメッセージの内容を読み取れる真のエンドツーエンド暗号化は提供していません。
  
• 自動暗号化は行われません： 送信メッセージの暗号化は、PHIを含むすべてのメールにデフォルトで適用されるのではなく、手動での設定が必要です。
  
• 受信者向けポータルなし： 外部の受信者は、専用のHIPAAプラットフォームが提供するような、安全でパスワード保護されたポータルを通じてPHIを取得する手段を持っていません。
  
• 監査ログの制限： ログは利用可能ですが、調査やレポート作成のために専用に設計されたコンプライアンスプラットフォームが提供するような詳細度や深みには欠けています。
  
• 手動によるコンプライアンス報告： GmailではHIPAAコンプライアンスレポートが自動生成されないため、チームで手動で書類を作成する必要があります。
  
• 基本的な脅威の検出のみ： Gmailに組み込まれているフィルタリング機能は、医療業界レベルの脅威インテリジェンスに対応するようには設計されておらず、高度で標的を絞ったフィッシング攻撃を見逃す可能性があります。
  
• 包括的なセキュアメール通信機能が不足している： Gmailには、ePHIなどの機密情報を保護するために、HIPAA対応の専用メールソリューションが提供する高度な監視機能、アクセス制御、コンプライアンスツールなど、安全なメール通信に必要なすべての機能が備わっていません。

GmailをHIPAA準拠にする方法

組織としてGmailが最適なプラットフォームであると判断した場合は、コンプライアンスを適切に導入するために、以下の6つの手順に従ってください。導入には6～8週間、設定とトレーニングに40～60時間を要することを想定してください。

ステップ1：現在の環境を確認する（第1週）

何かを変更する前に、現状を把握してください。組織全体でのGmailの利用状況を精査し、どのアカウントがPHIを扱っているか、扱っていないかを特定してください。 

特に、複数のスタッフがアクセスする共有受信トレイ、患者データを外部アカウントに送信している可能性のある自動転送ルール、許可なくPHIを処理している恐れのあるGmailに連携されたサードパーティ製アプリケーション、および臨床コミュニケーションに暗号化されていない電子メールに依存している旧式のワークフローに注意を払ってください。 

既存のセキュリティ対策内容を文書化し、上記の7つのHIPAA要件と照らし合わせて、それぞれの不備を洗い出してください。この監査結果は、コンプライアンス記録の一部となります。

ステップ 2: Google Workspace Enterprise へのアップグレード（第1～2週）

Google Cloudの営業担当にお問い合わせいただき、エンタープライズ版へのアップグレードを開始してください。 このプロセスでは、Googleの技術チームに支援を依頼することができます。同チームは、GmailがHIPAAのコンプライアンス要件を満たしていることを確認し、移行に必要なセキュリティ機能に関するガイダンスを提供します。この機会を利用して、ユーザー数に基づいた価格交渉を行い、同時にBAA（業務委託契約）の締結を申請してください。すべてのWorkspaceサービスが自動的にBAAの対象となるわけではないため、どのGoogleサービスがBAAの対象となるかを明確に確認してください。PHI（個人健康情報）の移行を進める前に、必ず書面による確認を求めてください。

ステップ3：BAAへの署名（第2～4週）

Google Cloudの営業担当者にBAAテンプレートの提供を依頼してください。その後、法務担当者と慎重に内容を確認し、特に以下の点に留意してください：情報漏洩時の通知期限、下請業者および第三者処理業者に関するGoogleの義務、責任条項、対象となるサービスの範囲、および本契約において報告義務のあるセキュリティインシデントの定義。 

BAAの対象から特定のWorkspace機能が除外されている条項がないか確認してください。そのような条項があると、コンプライアンス体制に不備が生じる恐れがあります。承認されたら、契約書を締結し、署名済みの写しをコンプライアンス記録として保管してください。

ステップ4：セキュリティ対策の設定（第4～5週）

各技術的対策について、体系的に実施してください。2段階認証（2FA）を必須化し、PHI（個人健康情報）の漏洩リスクが最も高いアカウントについては、ハードウェアセキュリティキーの使用を義務付けることを検討してください。NISTのガイドラインに沿った、パスワードの複雑性に関する最低要件を設定してください。 

監査ログの記録を有効にし、保存期間が組織のニーズに十分であるかを確認してください。社会保障番号や医療記録識別子など、一般的なPHI（個人健康情報）のパターンを検出するDLPルールを構築し、本番運用前にサンプルデータを用いてテストを行ってください。 

ドメインレベルで外部ファイル共有の設定を厳格化し、不正なメール転送を無効にしてください。各設定を有効にした後は、期待どおりに動作することを確認するためにテストを行う必要があります。

ステップ5：組織方針の実施（第5～6週）

データ取り扱い手順書を作成・公開し、PHI（個人健康情報）に関するGmailの適切な利用方法、必要な暗号化対策、および患者データを個人アカウントに転送するなどの禁止事項を明記してください。 

電子メールを利用する全従業員を対象にHIPAA研修を実施し、出席状況と修了状況を記録してください。Google 管理コンソールで役割ベースのアクセス制御を設定し、各従業員が自身の職務に関連するPHIのみにアクセスできるようにしてください。 

実際のインシデントが発生する前に、模擬的な侵害シナリオ（机上演習）を実施し、対応手順を検証するとともに、不備を洗い出してください。

ステップ6：展開と監視（継続的）

HIPAAへの準拠は、一度きりの作業ではありません。監査ログを定期的に確認し、大量のダウンロード、通常とは異なる地域からのログイン試行、またはDLPルールの違反といった不審な活動に対してアラートを設定してください。 

設定の逸脱を早期に発見するため、定期的にセキュリティレビューを実施してください。セキュリティ対策に影響を与える可能性のあるWorkspaceのアップデートがGoogleからリリースされた際は、その都度設定を見直してください。HIPAAに関する研修の更新を毎年実施し、受講状況を記録してください。 

PHI（個人健康情報）に関連するすべてのシステム、アカウント、およびサードパーティ製連携機能について、常に最新のインベントリを維持する。

導入にかかる総期間：6～8週間。

この導入スケジュールを確定する前に、GmailがHIPAA準拠のために特別に構築されたメールプラットフォームとどのように異なるのかを理解しておく価値があります。

Gmail 対 HIPAA 対応専用メールソリューション

HIPAA準拠のメールサービスはGmailだけではありません。HIPAA準拠に特化したメールプラットフォームには、Gmailとは異なるメリットとデメリットがあります。以下に直接比較を示します：

Gmailを選ぶ最大の理由は、その使い慣れた環境にあります。もし従業員がすでにGmailを利用しており、IT部門がGoogle Workspaceの管理に慣れているのであれば、プラットフォームを切り替える際の移行コストは確かに存在します。ただし、導入コスト全体を考慮すると、Gmail Enterpriseはユーザー1人あたり月額30ドル以上となり、多くの場合、最初からより充実したコンプライアンス機能を備えた専用ソリューションよりも高額になる点に留意する必要があります。

組織で大量のPHIを扱っている場合や、リスクの高い専門分野で事業を展開している場合は、Gmailの暗号化機能や監査機能における不備を、導入判断において十分に考慮すべきです。

どのプラットフォームを選んだとしても、GmailやHIPAA対応の専用メールソリューションだけでは提供されないセキュリティ対策が1つあります。

医療分野におけるメールセキュリティにおけるPowerDMARCの役割

GmailのBAA（業務提携契約）も、御社の内部セキュリティ設定も、以下の重大な脆弱性に対処できていません： ドメインスプーフィング。

Gmail Enterpriseの設定が完璧であっても、攻撃者が貴社のドメインを装い、医師や経理部門、経営陣になりすまして、患者、パートナー、またはスタッフを標的にしたメールを送信することを防ぐことはできません。これは単なる仮定上のリスクではありません。医療関連のドメインを偽装するフィッシング攻撃は、平均977万ドルのコストを招く情報漏洩の主な侵入経路となっています。

DMARC (Domain-based Message Authentication, Reporting, and Conformance) は、このギャップを埋める電子メール認証プロトコルです。これは SPF (Sender Policy Framework) および DKIM (DomainKeys Identified Mail)と連携して動作し、あなたのドメインから送信されたと主張するメールが実際にあなたの承認されたメールサーバーから発信されたものであることを検証し、そのチェックに失敗したメッセージを拒否または隔離するよう受信メールサーバーに指示します。適切な DMARCポリシー を設定することは、ドメインを脆弱な状態から保護された状態へと移行させる仕組みとなります。

PowerDMARCは、Gmailを含む既存のメールプラットフォームを補完するように特別に設計された、管理型のエンタープライズグレードのメール認証レイヤーを、医療機関に提供します：

• DMARCの監視と適用： 正当なメールの流通を妨げることなく、寛容な「none」ポリシーから、積極的な隔離または拒否の適用へと移行します。
• SPFおよびDKIMの設定と検証： すべての送信元が正しく認証されていることを確認してください。
• BIMI (メッセージ識別用ブランド指標): 患者の受信箱に組織のロゴを表示することで、信頼を築き、なりすましメールの効果を低減します。
• コンプライアンス報告： HIPAA、PCI-DSS、およびSOC 2の要件に準拠したレポートを自動的に生成します。
• 脅威インテリジェンス： ドメインを悪用する不正な送信者をリアルタイムで特定します。
• マルチドメイン管理： 単一のダッシュボードから、すべての診療所ドメインにわたる認証を一元管理できます。

医療機関にとってのビジネスへの影響は直接的なものです：

• 自社のドメインを悪用して患者を標的とするフィッシング攻撃を防止します
• ドメインスプーフィングによる侵害リスクを低減します。これは、BAAだけでは対処できない攻撃経路です
• 受信トレイにBIMIロゴを表示することで、ブランドの信頼性を可視化し、患者の信頼を高めます
• 自動レポート機能により、HIPAAコンプライアンス体制を支援します
• ユーザー1人あたり月額8ドルで、単一のセキュリティ侵害によるコストのほんの一部という価格で、確かな保護を提供します

2026年のメールセキュリティに何が期待できるか

医療分野の電子メールを取り巻く規制や脅威の状況は、ますます厳しさを増しています。2026年に貴組織が想定すべき点は以下の通りです：

• HIPAAの執行強化： HHSは、監査活動の強化と罰則基準の引き上げを示唆しています。以前は見過ごされていたコンプライアンス上の不備も、現在は取り締まりの対象となっています。
• AIを活用した脅威検知： 攻撃者はAIを活用して、より巧妙なフィッシングメールを作成しています。防御側は、これに追いつくためにAIを活用した検知が必要です。基本的なフィルタリングだけではもはや不十分です。
• 情報漏洩の通知要件が厳格化： 通知期間がさらに短縮される可能性が高く、情報漏洩の検知および対応の自動化体制が整っていない組織の業務上の負担が増大する見込みです。
• 多要素認証の義務化： MFAはすでにHIPAAのベストプラクティスとなっていますが、認証情報に基づく情報漏洩の多発を受けて規制当局が対応を進める中、今後、明示的な要件となる見込みです。
• メール認証が標準化されつつある： DMARC、SPF、DKIMは、ベストプラクティスから必須要件へと移行しつつあります。ドメインのなりすましは医療機関にとって現実的かつ深刻な脅威であり、DMARCの適用こそがこれを阻止する手段であるため、規制当局や大手メールプロバイダーは、これらの一律導入を推進しています。

よくあるご質問

GmailはHIPAAに準拠していますか？ 

必ずしもそうとは限りません。無料版のGmailは、HIPAA準拠のGmailとは見なされません。HIPAA準拠となるのはGoogle Workspace Enterpriseのみであり、かつ本ガイドに記載されている4つの条件を満たす場合に限られます。

GmailのHIPAA準拠にかかる費用はいくらですか？ 

Google Workspace Enterpriseでは、Google Cloudの営業部門と交渉した独自の価格体系が適用されます。BAA（業務委託契約）自体は無料です。設定とトレーニングには、社内スタッフの作業時間が40～60時間必要となるほか、BAAのレビューを行う外部の法律顧問への費用も別途かかります。総費用は通常、ユーザー1人あたり月額30ドルを超えます。

BAAなしでGmailは利用できますか？ 

いいえ。PHIを取り扱う場合は、メールプロバイダーと署名済みのBAAを締結している必要があります。たとえ技術的な設定をどれほど厳重に行っていたとしても、BAAなしで運用することはHIPAAへの直接的な違反となります。

もしGmailがハッキングされたらどうなるでしょうか？ 

たとえGmailの設定によりHIPAAに準拠していたとしても、GoogleはBAAの条項に基づき、契約上、お客様に通知する義務を負っています。ただし、影響を受けた患者への通知および保健社会福祉省への情報漏洩の報告は、発見から60日以内に行う責任がお客様にあります。

Gmailは、HIPAA対応の専用メールサービスよりも優れているのでしょうか？ 

Gmailはより馴染み深いサービスですが、コンプライアンス要件を満たすためにはかなり多くの設定が必要であり、エンドツーエンドの暗号化や監査の深度という点で依然として課題が残っています。一方、HIPAA対応の専用メールサービスは、コンプライアンスへの対応設定が簡単ですが、従業員が新たに操作方法を習得しなければならないという課題があります。どちらが適切な選択かは、組織の既存のワークフローやコンプライアンスリスクに対する許容度によって異なります。

転送中の暗号化と保存中の暗号化の違いは何ですか？ 

転送中の暗号化とは、メールがメールサーバー間を移動する際に暗号化され、配信中の傍受から保護されることを意味します。保存時の暗号化とは、メールがサーバー上に保存されている間に暗号化され、保存システムが侵害された場合でも不正アクセスから保護されることを意味します。HIPAAでは、この両方が義務付けられています。

• について
• 最新記事

Ahona Rudra

ドメインとメールセキュリティのエキスパートPowerDMARC

AhonaはPowerDMARCのマーケティングマネージャーで、サイバーセキュリティのトピックについて5年以上の執筆経験があり、ドメインと電子メールのセキュリティを専門としている。ジャーナリズムとコミュニケーションの卒業後学位を取得し、2019年からセキュリティ分野でキャリアを固めている。

最新記事 by Ahona Rudra(全て見る)

• DMARC MSP 事例：Digital Infinity IT Group が PowerDMARC を活用して顧客の DMARC および DKIM 管理を効率化した方法 - 2026年4月21日
• DANEとは？DNSベースの命名エンティティ認証の解説（2026年） - 2026年4月20日
• VPNセキュリティ入門：プライバシーを守るためのベストプラクティス - 2026年4月14日