セキュリティ

医療情報は単なる個人情報ではなく「要配慮個人情報」に分類されます。
要配慮個人情報とは、個人の人種、信条、社会的身分、医療記録、犯罪歴など、特に慎重な取り扱いが必要とされる情報です。特に、医療情報に関しては、その内容が個人の健康状態や医療履歴に関わるため、医師、薬剤師、看護師などの医療従事者には守秘義務の責が法律で厳しく明文化されています(刑法134条）。
医療ヘルスケア領域においてDXを進める上では、このような医療情報を安全に、そして安心して利用してもらうために、情報セキュリティ対策が必要となります。本ページでは医療ヘルスケア・セキュリティについての説明をします。

1.情報セキュリティとは？

情報セキュリティとは、情報を保護し、不正アクセスや改ざん、漏洩を防ぐための一連の方針、プロセス、技術を指します。情報セキュリティにおいては一般的に「CIAトライアド」として知られる、セキュリティシステムの開発の基礎を形成する共通モデルがありますが、さらに以下のような7つの要素として拡張されることがあります。これら7つの要素を適切に管理することで情報の安全性が確保されます。

①機密性｜Confidentiality

情報が許可された者のみアクセス可能であることを保証します。これは、個人情報や医療情報の保護において最も基本的な要素です。
例）病院の電子カルテシステムでは、患者の診療記録にアクセスできるのは、認可された医師や看護師などの医療スタッフのみに限定されています。電子カルテシステムにアクセスする際には、厳格なID管理と多要素認証が行う仕組みを導入し、機密情報を保護しています。

②完全性｜Integrity

情報が正確であり、意図しない変更や破損が防止されることを保証します。
例）電子処方箋システムで、処方内容が医師によって入力された後、第三者によって勝手に改ざんされないようにするために、データの改変履歴がすべて記録されます。これにより、医師の指示通りに薬が処方されることが保証されます。

③可用性｜Availability

必要な時に情報やシステムが利用可能であることを保証します。特に医療分野では、可用性が患者の命に関わることがあります。
例）救急医療において、患者の過去の診療記録やアレルギー情報に迅速にアクセスできることが求められます。病院システムにおいては、24時間365日稼働しており、障害発生時にはバックアップシステムが即座に稼働するように設計されています。

④真正性｜Authenticity

情報が正当なものであり、情報源やユーザーが信頼できることを保証します。真正性は、不正な操作やデータの改ざんを防ぎ、情報の信頼性を確保するために重要です。
例）病院のシステムにアクセスする際、医療従事者は個人IDとパスワードに加え、指紋認証や顔認証といった生体認証を使用します。これにより、その医療従事者本人だけがシステムにアクセスでき、診療記録の入力や閲覧を行えることが保証されます。これに加えて、診療記録や患者データは暗号化されて保存されており、不正なアクセスやデータの改ざんから保護します。

⑤責任追跡性｜Accountability

情報の操作やアクセスの履歴を追跡できることを保証します。誰が何を行ったかを明確にすることで、問題が発生した場合に迅速に対応できます。
例）病院の電子カルテシステムでは、誰がどの患者の情報にアクセスしたか、いつどのような変更を行ったかがすべて記録されています。この記録により、誤った操作や不正アクセスがあった場合に、問題の特定と責任の追及が可能になります。

⑥否認防止｜Non-repudiation

情報に対して行った操作を後で否認できないように保証します。
例）医師が電子カルテに診断結果を記録した場合、その記録が医師本人によるものであることが証明できるように、電子署名が使用されます。これにより、後から「この診断は自分が行ったものではない」と否認されることが防止されます。

⑦信頼性｜Reliability

システムや情報が予測通りに動作し、安定していることを保証します。
例）患者の命を預かる手術室のモニタリングシステムでは、常に正確なバイタルサインデータを提供することが求められます。システムが不安定になると、誤ったデータに基づいて医療判断が行われるリスクがあるため、信頼性の高い機器とソフトウェアが使用されます。

---

2.医療ヘルスケアにおける情報セキュリティの重要性

医療ヘルスケア分野では、患者の個人情報や診療記録など、極めて機密性の高い情報が日々取り扱われています。これらのデータは、診断や治療に直接関連し、患者のプライバシーを保護するためにも、その安全性を確保することが不可欠になります。
医療ヘルスケアにおける情報セキュリティの重要性は、以下のようなリスクと関連しています。

---

3.医療ヘルスケアにおける情報セキュリティ対策

医療ヘルスケア分野で情報セキュリティを確保するためには、以下のような具体的な対策が求められます。以下は一例となりますが、システム的な面だけではなく運用面も含めて様々な視点での情報セキュリティ対策が必要となります。また医療分野においては、e文書法や個人情報保護法なども複雑に絡んでくることから、厚生労働省・経済産業省・総務省が医療情報ガイドライン（3省2ガイドライン）を出しています。
＊医療情報ガイドラインについては、後述します。

---

4.最新のセキュリティ技術と医療ヘルスケア

医療ヘルスケア分野では、急速に進化する技術を取り入れることで、情報セキュリティの強化が図られています。以下に、最新のセキュリティ技術を紹介します。

---

5.医療ヘルスケアにおける法的枠組みと規制

医療ヘルスケア分野における情報セキュリティは、法的な枠組みと規制に基づいて確立されています。これらの法規制を遵守することは、患者のプライバシー保護と診療データの信頼性を確保するために不可欠です。

---

6.医療情報ガイドラインの詳細

「医療情報ガイドライン」とは

「医療情報ガイドライン」とは、個人の医療に関する情報（病歴等）を扱う「医療情報システムやサービス」を利用する医療機関・介護事業者および外部委託された情報処理事業者（開発会社やデータセンター、クラウド事業者など）に対して、厚生労働省、経済産業省、総務省が定めたルールです。厚生労働省のガイドラインは医療機関・介護事業者向けであり、経済産業省と総務省のガイドラインは情報処理事業者（開発会社やデータセンター、クラウド事業者など）を対象としています。

2010年に厚生労働省によって「診療録等の保存を行う場所について」の一部改正が通知されるまで、電子化された診療録は、医療機関や医師会・自治体など、医療機関に準ずる場所に設置されたサーバーで管理されていましたが、本改正によって一定の基準を満たした民間業者が運用するサーバーで管理することが認められました。このように、医療分野でのクラウドサービス利用が解禁された一方で、「要配慮個人情報」である医療情報を取り扱うクラウドサービスには、非常に高いセキュリティ品質が求められます。そのため、厚生労働省、経済産業省、総務省の3省が、医療機関および医療情報を取り扱うクラウドサービス事業者・情報処理事業者に対するガイドラインを策定し（医療情報ガイドライン）、医療分野においてクラウドサービスを利用する際のルールと守るべき規範を公開しています。

「医療情報ガイドライン」の内容

「医療情報ガイドライン」では、医療情報システムやサービスのセキュリティ対策を「組織的な対策」「物理的な対策」「技術的な対策」に分け、対策項目を要求事項として提示しています。「医療情報」は個人情報の中でも特に機微にあたる情報と位置付けられており、一般的な個人情報を扱う情報システムに比べて対策項目が多く設定されています。対策項目には「必須項目」と「推奨項目」が定められており、「必須項目」については最低限守るべきルールで、満たしていない場合に情報セキュリティ事故が発生した際には、管理責任を問われることがあります。

「医療情報ガイドライン」への対策

3省のガイドラインはそれぞれの位置付けが異なりますが、クラウド環境を用いて医療機関が「医療情報システム」を利用する場合、すべてのガイドラインの対策項目を満たす必要があります。これまで3省がそれぞれガイドラインを定めていましたが、2020年8月に経済産業省・総務省によりシステムやサービスの提供事業者に対するガイドラインが統合され、「3省2ガイドライン」と総称されることもあります。

---

7.ヘルスケア領域におけるセキュリティ

デジタル技術とヘルスケアの進展

デジタル技術の進展に伴い、医療機関における診療時などの医療領域でのデジタル活用にとどまらず、予防や健康増進といったヘルスケア領域でのデジタル活用が広まりつつあります。ヘルスケア領域においては、個人が自身の医療情報やデータを記録し、それをもとに企業などがサービスを提供する「PHR（Personal Health Record｜個人健康記録）」が普及し始めています。これに伴い、ヘルスケア領域でのセキュリティ対策にも一定の基準が求められるようになっています。

PHRに関するセキュリティ対策

PHRに関しては、以前は医療情報ガイドラインで触れられていましたが、現在では明確な記述はありません。しかし、現状においてPHRに関する基本的なセキュリティ対策として参考になるのは、厚生労働省・総務省・経済産業省が2021年4月に公表した「民間PHR事業者による健診等情報の取扱いに関する基本的指針」の別紙「本指針に係るチェックシート」です。このチェックリストでは、組織的・技術的・人的・物理的セキュリティ対策が含まれており、中小規模の事業者でも着手しやすい基本的な内容となっています。PHRサービス事業者はこれを参照することで、基本的なセキュリティ対策を実装できると考えています。
PHRには、マイナポータルで参照可能な健診等情報も含まれており、マイナポータルと連携したサービス提供にあたっては、指針に定められた対策が求められます。

PHR情報を扱う医療機関について

PHR情報を扱う医療機関が、その情報を診療で利用する場合、医療情報ガイドラインに従う必要があります。厚生労働省の「医療情報システムの安全管理に関するガイドライン 第6.0版 概説編」の「2.本ガイドラインの対象」において、医療情報とは、医療に関する患者情報（個人識別情報）を含む情報を想定すること、すべての医療情報システムの導入、運用、利用、保守及び廃棄に関わる者を対象とするとなっています。また、ガイドラインで対象とする文書は、医療情報を含む文書全般を想定し、法定の保存義務の有無を問わないとされています。

関連する第三者認証

医療情報ガイドラインおよび「民間PHR事業者による健診等情報の取扱いに関する基本的指針」では、対象となる事業者に対して、プライバシーマークまたはISMS認証（ISO27001）の取得が推奨されています。経済産業省・総務省のガイドラインの要求事項は、これらの第三者認証の要求事項と類似する部分も多いため、第三者認証の取得に向けた活動を行うことも、ガイドラインへの対策として有効です。

---

8.メディエイドにおける情報セキュリティへの取り組み

メディエイドでは、医療ヘルスケア分野における情報セキュリティを最優先課題として位置づけ、徹底した取り組みを行っています。当社が提供するPHRプラットフォーム「LiNQ-CIRCLE｜リンクサークル」は、厚生労働省・経済産業省・総務省が定める医療情報ガイドライン（3章2ガイドライン）に対応をしており、医療機関や関連事業者が安心して利用できる環境を提供しています。

---