あるヘルスケアスタートアップが2023年初頭に私に連絡をくれました。優秀な創業者、それなりの予算、明確な要件です：患者の入力フォーム、予約スケジューリング、将来的にはテレヘルスウィジェット。「WP Engineを使っています」とCTOが言いました。WP EngineがBAA契約に署名しているかを聞くと、長い沈黙がありました。「BAA契約って何ですか？」
問題はコードにはなく、プラグインスタックにもなく、ほとんどの開発者が読むことなく、ほとんどのホストが静かに避けている書類の痕跡にあります。
ここが重要な点です：HIPAA準拠は切り替えられる機能ではありません。これは法的フレームワークであり、事業関係者契約（Business Associate Agreement）はあなたのホスティングプロバイダーをそのフレームワークの正式な一部とする契約です。署名されたBAA契約がなければ、サーバーがTLS 1.3で実行されていてデータベースのすべてのフィールドを暗号化していても関係ありません。あなたも、あなたのクライアントも、リスクにさらされています。
2026年に署名するプラットフォームについて私が実際に知っていることを説明し、さらに重要なことに、正しいことを言っていながら署名しないプラットフォームはどれかを説明します。
---
BAAとは実際には何か（そして何ではないか）
Business Associate Agreement（BAA）はHIPAAプライバシー規則に基づく契約で、ベンダーが保護された健康情報（PHI）に関する特定の義務に拘束されることを意味します。ヘルスケアサイトをホストする場合、ホスティングプロバイダーはインフラストラクチャレイヤーでのみであっても、PHIに接触します。つまり彼らはBusiness Associateなのです。これで終わりです。
BAAが自動的にあなたを準拠させることはありません。これは絶えず誤解されています。BAAはホストが責任の一部を受け入れ、保護措置に同意することを意味します。あなたのアプリケーションレイヤー、フォーム、WordPressプラグイン、ログ記録は、すべてあなたの責任です。
Seahawk Mediaは2022年、WordPress サイトを運営する米国の物理療法グループのプロジェクトを担当しました。クライアントはメールプロバイダー（良い）、EHRベンダー（当然）とはBAAを持っていましたが、ウェブホストとは持っていませんでした。彼らのサイトはGravity Formsで症状データを収集していました。すべての送信はGmailアカウントにメール送信されていました。1つのワークフローで3つの違反です。私たちはこれを約6週間かけて解決しました。
---
2026年に実際に署名するホスト
AWS、GCP、Azure — 本気度の高いオプション
BAAが必要で、確実性が必要な場合、ハイパースケーラーがあなたの答えです。Amazon Web Services、Google Cloud Platform、Microsoft Azureの3つすべてがBAAを提供し、HIPAA対応サービスのリストを維持しています。
AWSが私が最も頻繁に使用するものです。BAAはEC2、RDS、S3、CloudFront、Lambdaなど、幅広いサービスをカバーしています。重要なのは、すべてのAWSサービスが適格ではないということです。DynamoDBはリストに含まれています。すべての実験的サービスは含まれていません。アーキテクチャを設計する前に、現在の適格サービスページを確認する必要があります。
GCPのBAAはBigQuery、Cloud SQL、Compute Engine、Cloud Storageなど多くのサービスをカバーしています。Azureはヘルスケア業界で最も広く採用されている企業ソリューションで、BAAとコンプライアンスドキュメントは成熟していて、クライアントがすでにMicrosoftエコシステムにある場合（ほとんどのエンタープライズヘルスケア組織がそうです）、Azureは組織的に理にかなっています。
3つ全てに共通の問題は、マネージドWordPressは提供されていないということです。インフラストラクチャが提供されるのです。スタックの構築と保守、OSパッチ、WAF設定、バックアップ、保存中および転送中の暗号化に誰かが対応する必要があります。Seahawkではヘルスケアクライアント向けにNginx、PHP-FPM、MySQLを実行している強化されたEC2インスタンスでAWSを使用しています。動作します。しかしWP Engineのログイン情報を誰かに渡すよりも運用上のオーバーヘッドは圧倒的に大きいです。
Kinsta — 状況に応じてイエス
KinstaはGCP上で動作する。彼らはより高い階層プラン（Business 1以上。最後に確認した時点で）のお客様向けにBAAに署名することを提供している。これは重要だ。なぜなら、Kinstaは本当に優れたマネージドWordPressホスティングだからだ。高速。信頼性がある。良いステージング環境がある。
しかし、ここは強調する価値があります。Kinstaの BAA カバレッジは、GCP に直接接続するよりもやや限定的です。Kinsta の内部統制と GCP の両方に依存することになります。多くのヘルスケア WordPress プロジェクトではそれで問題ありませんが、大量の非常にセンシティブなデータを扱う場合は、コミットする前に彼らのセキュリティドキュメントが具体的に何を述べているのかを理解したいところです。
Cloudways、対応していません
Cloudwaysはエージェンシー業界で人気がある。良い価格対パフォーマンス比率だ。非センシティブなプロジェクトで数十個のプロジェクトで使用している。だが、最後に確認した時点では、CloudwaysはHIPAA BAAを提供していない。AWS と GCP の下で実行していさえし、それはやや皮肉だ。マネージドレイヤーは、HIPAA目的のために契約上サポートする意思がない不確実性をもたらす。
Pantheon、対応していません（ほとんどのプランで）
PantheonはDrupalおよびWordPressエージェンシー向けに優れている。HIPAA準拠は彼らの市場ではない。彼らは明確にしている。エンタープライズブランディングに騙されないでほしい。
WP Engine、対応していません
わかっている。彼らはコンプライアンスドキュメンテーションを持っている。セキュリティについて話している。だがHIPAA BAAには署名しない。彼らのサービス利用規約は明確にプラットフォーム上でのPHI（保護対象医療情報）の保存を禁止している。これはあらゆる真のヘルスケアユースケースから除外される。この投稿の冒頭で言及したスタートアップ？ここが正確に彼らの状況だった。
Liquid Web / Nexcess、可能性あり、ただし注意事項あり
Liquid Webは、BAA署名を伴ったHIPAA準拠のマネージドホスティングを提供していますが、通常は共有プランではなく専用サーバーやVPS製品を対象としています。営業チームとの直接的な会話の価値があります。彼らのコンプライアンス体制は改善されてきました。ただし、何かを構築する前にBAA文書を手に入れたいところです。
---
WordPressスタックがBAA以上に必要とするもの
BAAは基礎です。建物そのものではありません。HIPAA準拠のWordPressサイトがアプリケーション層で実際に必要とするものはここにあります。
フォームとデータ収集
- Gravity Forms は適切なセットアップで使用できますが、ネイティブの Gravity Forms はデフォルトで WordPress データベースに送信を保存します。PHI の場合、データベース ストレージを無効にして、HIPAA 準拠の送信先にデータを安全にパイプするか、Encrypted Fields アドオンを慎重に使用する必要があります。
- Cognito Forms と FormAssembly は、どちらも BAA 付きの HIPAA 準拠ティアを提供しています。フォームがデータ収集の主なポイントである場合、これらはしばしば Gravity Forms と格闘するよりもシンプルです。
- 第三者サーバーにデータを送信する無料のコンタクトフォームプラグインは決して使用しないでください。その企業のコンプライアンス体制を確認する前に。
メール
これが問題を引き起こすのです。WordPress サイトはおそらく wp_mail() 経由でメール送信しており、これは PHP mail またはプラグイン接続の SMTP にデフォルト設定されています。標準的な Gmail、標準的な Mailchimp、標準的な SendGrid、これらのどれもエントリーレベルのティアで HIPAA BAA に署名していません。
小から中規模のヘルスケアクライアントには、私は Paubox を一貫して推奨しています。HIPAA 準拠のメール、BAA 付属、シンプルな価格設定です。Google Workspace もヘルスケアクライアント向けに BAA を提供していますが、特定のプランが必要で正式なリクエストプロセスが必要です。標準的な Google アカウントには適用されません。
プラグインとサードパーティ統合
外部に連絡するあらゆるプラグイン、あらゆる分析スクリプト、あらゆるライブチャットウィジェット、ページ上のデータが何であるかに応じて、すべてが PHI に触れる可能性があります。適切な監査を実施してください。私は Query Monitor を使用して外部リクエストを特定し、その後各ベンダーのコンプライアンスドキュメントと相互参照します。
HubSpotはBAAに署名します。Intercomは署名しません（標準レベルでは）。Hotjarはかなり慎重なスコーピング作業なしでは、ヘルスケアサイト上で実行すべきではありません。
---
実際にBAAに署名させる方法
これは技術的というより手続き的ですが、このステップでプロジェクトが停滞するのを見てきました。
- PHI に接触する、または接触する可能性のあるあらゆるベンダーを特定します。ホスト、CDN、メール、フォーム、分析、サポートチャット、バックアッププロバイダー。
- 各ベンダーのセールス チームまたはコンプライアンス チームから BAA ドキュメントをリクエストしてください。想定しないこと。書面で取得してください。
- スコープを確認してください。特定のサービスまたは特定のデータタイプのみをカバーする BAA は、署名前に理解される必要があります。
- 署名済み契約をクライアントの法務チームがアクセスできる場所に保存してください。あなたの受信トレイだけではありません。
- 毎年見直してください。ベンダーはポリシーを変更し、サービスは廃止され、2024年にスタックをカバーしていたBAAが2026年には穴が生じている可能性があります。
HHS のビジネス・アソシエイトに関するガイダンスは、実は読みやすいものです。これが初めての場合は、30 分かける価値があります。
---
誰も話さないCDN問題
ホストは決めた。BAAも取得した。アプリケーション層もロックダウンした。その後、Cloudflareをその前に置きました。
Cloudflareはbaaに署名しますが、エンタープライズプラン上でのみです。このプランは、ほとんどの小規模ヘルスケアクライアントの予算を超えています。無料プランとProプラン？BAAなし。つまり、Cloudflareは技術的には、BAAなしでHTTPSトラフィックを復号化して検査しており、その対象はPHIが含まれているかもしれないサイトです。
より小規模なプロジェクトの場合、サイトがすでにEC2上にあるか、Application Load Balancerの背後にある場合、AWS CloudFront（BAA適格）をCDNレイヤーとして使用することでこれを回避しています。Cloudflareダッシュボードほど派手ではありませんが、コンプライアンスの観点からは問題ありません。
---
2026年に実際に構築するもの
もし医療クライアントが明日WordPressの要件を持ってやってきたら、大まかにこのような構成にします：
- ホスティング：AWS EC2（署名済みBAAあり）で強化されたLEMPスタックを実行するか、またはBAAを手にしたKinsta Businessを使用する
- メール：Pauboxをトランザクションメールおよびプロバイダー向けメール用に使用
- フォーム：FormAssemblyまたはGravity Formsでデータベースストレージを無効にし、暗号化されたサブミッションルーティングを使用
- CDN：Cloudflare無料/ProではなくAWS CloudFront
- 分析：同じBAAでカバーされたインフラストラクチャ上の自社ホスティングMatomo。URLやパラメータにPHIが含まれる可能性のあるものにはGoogle Analyticsは使用しません。
- バックアップ：AWS S3（BAA対応）サーバーサイド暗号化付き
標準的な WordPress ビルドより費用がかかるのか？はい。運用的にはより複雑か？これもはいです。しかし、代替案はクライアントが HIPAA 違反通知プロセスに直面し、1 日あたり違反ごとに 100 ドルから始まる罰金を受け、開発者がなぜこのことについて一切言及しなかったのかという非常に気まずい会話です。
---
FAQ
「HIPAA準拠ホスティング」は法的に意味がありますか？
いいえ。これはマーケティング用語です。法的効力を持つのは署名済みのBAAです。どのホストでもHIPAA対応、HIPAA互換、またはHIPAA関連と自称できます。BAAなしでは、これらの言葉は装飾的なだけです。常に具体的に尋ねてください。「ビジネスアソシエイト契約書に署名していただけますか？」
単に問い合わせフォームがあるだけなら、サイトはBAAが必要ですか？
コンタクトフォームが症状、診断、予約理由、患者のアイデンティティと健康状態に関連する情報など、PHIを構成する可能性のある情報を収集する場合、そのデータチェーン内のすべてのベンダーがBAAを持つべきです。名前、電話番号、希望時間のみを収集する一般的な「予約予約」フォームはグレーゾーンですが、それでもBAAを取得するほうが慎重です。
ヘルスケアサイトにWordPress.comを使用できますか？
WordPress.com（ホスト型プラットフォーム。自己ホスト型WordPressソフトウェアではなく）はHIPAA BAAを提供していません。以上です。これは準拠インフラストラクチャで実行されている自己ホスト型WordPressとは異なります。ソフトウェア自体は問題ありません。ホスト型プラットフォームはPHIに適していません。
使用しているベンダーが買収され、新しい所有者がBAAを廃止したらどうなりますか？
これは実際のリスクであり、小規模なSaaSツールで起こるのを見たことがあります。BAAには、ベンダーがもはやHIPAA義務を満たすことができない場合に発動する終了条項が含まれるべきです。買収発表メールが来たら削除せず、新しい事業体の下で法令遵守のコミットメントが維持されているかどうかを確認してください。
HIPAAは米国のみの関心事ですか？
はい、HIPAAは米国の連邦法です。しかし、英国またはEUのヘルスケアクライアント向けに構築している場合、同等のものであるNHS Digital基準、Data Security and Protection Toolkit、健康データに適用されるGDPRは、データ処理契約に関する同様の要件があります。フレームワークは異なりますが、ロジックは同じです。
---
ほとんどの開発者は、正直なところ、誰かに聞かれるまで BAA のことは考えません。その時点では、あなたは大丈夫か（運がいいか）、それとも神経質なクライアントが電話に出ている中で、プレッシャーの下でスタックを改造しているかのどちらかです。
プロジェクトを開始する前にランドスケープを知っておく方が、ビルドの途中でホストが実際に重要な 1 つのドキュメントに署名してくれないことに気付くよりもずっと良いです。
関連記事：2026年のヘッドレスとWordPressのセキュリティ：Next.jsとAstroがヘッドレスである理由。