そもそも医療ガイドラインとは？
医療機関における情報システムの活用は、医療の質の向上や患者の利便性の向上など、さまざまなメリットをもたらしました。その一方で、情報システムの脆弱性を狙ったサイバー攻撃や、うっかりミスによるインシデントの発生などが増えているのも事実です。
医療は人命に関わる分野であり、また患者の個人情報を扱う以上、より安心・安全なシステムの運用管理が求められます。そこで厚生労働省は、そのための指針として、2005年に医療ガイドラインを策定。その後も、世の中の動きや法制度の整備、利用環境の変化に対応するため、継続的に改定を行ってきました。
そして2023年5月、サイバー攻撃のさらなる多様化・巧妙化や、クラウドサービスの普及、オンライン資格確認の導入の原則義務化に伴う、内容および構成の見直しが行われた第6.0版が、厚生労働省のWebサイトに公開されました。
第6.0版における改訂の基本方針
それでは、今回の改定の基本方針について見ていきましょう。まず全体構成が大きく見直され、これまで「本編」「別冊」の2分冊であったものが、以下の4編になり、読者対象別に内容が整理されました。
・ 概説編［Overview］
全ての読者を対象に、ガイドラインの目的や対象、全体構成を説明するとともに、各編を理解する上で前提となる考え方などを示しています。
・ 経営管理編［Governance］
医療機関の経営層（組織の経営方針を策定し意思決定を担う層）などを対象に、遵守・判断すべき事項や、企画管理・システム運営の担当部署・担当者に対して指示・管理すべき事項、および考え方を示しています。
・ 企画管理編［Management］
医療情報システムの管理者（システムの企画管理・運営や安全管理の実務管理者）などを対象に、遵守すべき事項や、担当者への指示・管理の際に遵守すべき事項、および考え方を示しています。
・ システム運用編［Control］
医療情報システムの実装・運用の実務担当者を対象に、経営層や企画管理者の指示に基づき、医療情報システムのハードウェアやソフトウェアの設計・実装・運用などを行う際に対応すべき事項、および考え方を示しています。
図：ガイドライン第6.0版を構成する各編（出所：厚生労働省）
また、医療情報システムの運用部門の組織・体制や、システム環境／構成、利用するサービスの形態などによって、参照すべき医療ガイドラインのページが異なってくるため、4つの参照パターンが示されました。たとえば、以下の表におけるⅡとⅣ（クラウドサービスを活用して医療情報システムを運用）のケースでは、「企画管理編」と「システム運用編」においてすべてを参照する必要がないことがわかります。
表：医療機関等の特性に応じた本ガイドラインの参照パターン（出所：厚生労働省）
具体的な改定ポイント
ここからは、厚生労働省のサイトに掲載されている「医療情報システムの安全管理に関するガイドライン 第6.0版 概要」を参考に、具体的な変更内容についてご紹介します。主な改定ポイントは以下の5つです。
① 外部委託、外部サービスの利用に関する整理
クラウドサービスの利用が一般化する中、その特徴を踏まえたリスクや対策を深掘りするとともに、医療情報システムの利用形態に応じた責任の範囲などが整理されました。
② ネットワーク境界防御型思考／ゼロトラストネットワーク型思考
従来は境界防御に基づいた情報セキュリティの考え方が一般的でしたが、これではサイバー攻撃によるリスクを防ぐことが困難になりつつあるため、いわゆるゼロトラストの考え方に基づいた多層防御の考え方が記載されるようになりました。
③ 災害・サイバー攻撃・システム障害など、非常時における対応や対策
災害やサイバー攻撃、システム障害などの発生を想定して、それぞれに必要な対応・対策が整理されました。
④ 本人確認を要する場合での運用（eKYCの活用）の検討
サイバー犯罪などの増加に伴い本人確認の厳格化が求められていることから、eKYC（オンライン本人確認）の仕組みの活用などについて記載されるようになりました。
⑤新技術、制度・規格の変更への対応
オンライン資格確認の導入に合わせたネットワーク機器などの安全管理措置や、ローカル5Gなど新しいネットワーク技術の可能性・利用場面、医療情報の共有・提供に関連する法令などの規定や技術・規格の動向について新たに記載されました。
【図】医療システムの安全管理に関するガイドライン第6.0版 主な改定ポイント（概要）（出所：厚生労働省）
ALSIが考える改定の留意点
ALSIは今回の改定について、特に留意すべき点は以下の2点と考えています。
① 境界防御を前提にした上で、ゼロトラストを取り入れること
今回の改定では、ゼロトラストネットワーク型思考を重視した記載となりましたが、境界防御が不要になるわけではありません。ネットワーク分離など境界防御をしっかり固めた上で、さらに入口／内部／出口対策が必要になると認識すべきでしょう。
② クラウドサービス利用を考慮した運用を確立する
今回の改定では、クラウドサービスの利用を前提とした記載が追加されました。今後は医療機関がクラウドサービスを利用するケースは増えていくと考えられますが、その際には患者データの院外での管理や、システム運用の一部が外部委託になることを考慮した対応が必要になります。
以上の2点を踏まえた上で、医療ガイドラインを読み込んで的確に内容を理解し、現場の状況と照らし合わせ、足りない部分を補いつつ、医療情報システムの安全対策に取り組む必要があります。そのためには、情報セキュリティに関する専門的かつ広範な知識が必要なのは言うまでもなく、かつ多くの手間や時間がかかることでしょう。
ガイドラインへの対応を支援
そこでALSIでは、ゼロトラスト実現の第一歩として医療ガイドラインに沿ったソリューションの導入を提案しています。
ALSIのセキュリティソリューションは、ネットワーク分離での境界防御を固めた上で入口・出口対策として活用できます。
例えば、「Secure Gateway Suite」は、WebフィルタリングとWeb分離、ファイル無害化を実現する3つのソリューションを統合した「Web分離/無害化」パッケージであり、入口・出口対策として有効です。
Webの実行環境のみを分離するため、VDIなどOSごと分離する方式と比べてリソースやOSのライセンス費用を抑制でき、さらに利便性を損なわずインターネットアクセスできるので、業務効率の向上にも繋がる利点があります。
【図】Secure Gateway Suiteの概要
【図】インターネットでのセキュリティ
・ Webフィルタリング「InterSafe WebFilter」
プロキシ型の国産Web/URLフィルタリングソフトです。業務を妨げる不適切なサイトへのアクセス、ファイルのアップロードや書き込みによる内部からの情報漏洩を防止するとともに、ウイルスやスパイウェアの侵入予防、外部との不正通信のブロックなどに有効です。
・ Web分離「InterSafe WebIsolation」
仮想ブラウザ方式によるWeb分離／無害化を行い、Web閲覧を妨げることなく、安全なWebアクセス環境を実現します。同製品では、インターネットへアクセスすると、その内容は画像変換されてローカルブラウザへ転送され、危険なスクリプトなどは自動的に除去されます。つまり、ユーザビリティを損なうことなく、安全なWebアクセス環境が実現します。
・ ファイル無害化「InterSafe FileSanitizer powered by OPSWAT」
WebサイトやWebメールからダウンロードしたファイルから、マクロやハイパーリンク、スクリプト、埋め込みオブジェクトなど取り除いて無害化するソリューションです。139類以上のファイル形式に対応しており、未対応のファイル形式についても、30以上のアンチマルウェアエンジンを利用したマルチスキャンにより自動的に脅威を判定して除去します。また、SSL通信のような暗号化された通信も、復号処理しファイルを無害化します。なお、マルチスキャン機能には、グローバルで評価の高いOPSWAT社製品が活用されています。
ALSIはこのほかにも医療ガイドラインへの対応を支援するさまざまなソリューションを提供しています。
他にも、エンドポイントのセキュリティソリューションとして以下の製品も取り扱っております。
・デバイス制御「InterSafe DeviceControl」
・デバイス利用の承認管理「InterSafe WorkFlow」
・個人情報検出「InterSafe PIS」
・自動ファイル暗号化「InterSafe FileProtection」
新たな医療ガイドラインへの対応についてはさまざまな課題が存在します。今後どう取り組むべきかお悩みの医療機関の皆さまはぜひ一度、ALSIまでご相談ください。
