Überblick

しかし、患者の診療データ（電子カルテや検査画像）は、個人情報保護法における最上位の機微データである「要配慮個人情報」に該当します。この要配慮個人情報をクラウドで安全に運用するためには、国が定める非常に厳しいセキュリティ基準を遵守しなければなりません。

日本において医療情報のセキュリティを規定する根幹のルールが、いわゆる「3省2ガイドライン」です。本稿では、医療DXツールの導入を検討するクリニック院長に向けて、ガイドラインに準拠したクラウド製品の安全な選定基準をわかりやすく解説します。

「3省2ガイドライン」とは何か？

「3省2ガイドライン」とは、日本の3つの省庁が管轄し、医療情報の安全性を担保するために策定された2つの大きな情報セキュリティガイドラインの総称です。

医療情報システムを自前で導入する医療機関（クリニックや病院）は厚生労働省のガイドラインを遵守する義務があり、その医療システムを提供するITベンダー（クラウド事業者）は経済産業省・総務省의ガイドラインを遵守する義務があります。

つまり、クラウドツールを導入する際、医師は単に「使いやすいから」という理由だけで選ぶのではなく、導入候補のベンダーが経産省・総務省のガイドラインに完全準拠していることを示す「適合宣言」やセキュリティ監査レポートを提示しているかをチェックしなければなりません。

• 管轄省庁: 厚生労働省、経済産業省、総務省
• 2つのガイドライン:
• 厚生労働省策定：「医療情報システムの安全管理に関するガイドライン」（2023年に改定され、現在は第6.0版が最新）
• 経済産業省・総務省策定：「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」

クラウド製品選定時に院長が確認すべき5つのチェックポイント

医療情報システムのガイドライン第6.0版では、ランサムウェア等のサイバー攻撃急増に伴い、より実践的なチェック要件が追加されました。選定時に必須となるチェックポイントは以下の通りです。

1. 通信および保存データの暗号化

患者のデータや診察音声が端末（PCやスマートフォン）からクラウドサーバーに送信される経路、およびサーバー内で保管されるデータ自体が、最高水準（AES-256規格等）で暗号化されている必要があります。また、可能であれば、データを送信する前の「クライアント端末側でのローカル暗号化」を行うシステムが理想的です。

2. 二要素認証（多要素認証）のサポート

IDとパスワードだけの認証は、第三者による不正アクセスの危険性が非常に高くなります。ログイン時に、スマートフォンの認証アプリやSMSによるワンタイムパスワードを利用した「多要素認証（MFA）」が設定可能であることが必須要件です。

3. アクセスログの記録と長期保存

誰が、いつ、どの患者のカルテ情報を閲覧・作成・編集したのかという詳細なアクセス履歴（ログ）が記録され、簡単には改ざん・消去できない形で保管されている必要があります。ガイドラインでは、これらの監査証跡ログの長期間の保持が求められます。

4. サーバーの設置場所とデータ主権（国内リージョン）

ガイドライン第6.0版において特に重視されるのが、クラウドで管理されるデータの物理的な保存場所です。データは「日本国内のデータセンター」（例えばAWSの東京リージョンなど）で管理されている必要があります。海外にデータセンターがある場合、現地の法律が適用され、日本の保護基準を下回るリスクがあるため選定から除外するのが賢明です。

5. SLA（サービス品質保証）とBCP対策

災害やサーバー障害が発生した際に、データが失われないよう多重のバックアップ（ミラーリング）が構成されており、迅速に復旧可能か。また、システム障害時のデータ保証やクリニック側の責任範囲が規約で明文化されているかを確認します。

医療ガイドライン準拠と導入製品の責任分界

• 要件カテゴリ: --- | 医療機関側（クリニック）の責任範囲: --- | 事業者側（クラウドベンダー）の責任範囲: --- | 3省2ガイドライン上の適合基準: ---
• 要件カテゴリ: ID・認証管理 | 医療機関側（クリニック）の責任範囲: スタッフごとのアカウント分離、パスワードの定期的更新 | 事業者側（クラウドベンダー）の責任範囲: 堅牢な暗号化アルゴリズム、多要素認証（MFA）の実装 | 3省2ガイドライン上の適合基準: 厚労省ガイドライン第6.0版要件
• 要件カテゴリ: 데이터보호 | 医療機関側（クリニック）の責任範囲: 患者からの音声録音・同意プロセスの管理 | 事業者側（クラウドベンダー）の責任範囲: 送信中および保管データのAES-256での暗号化 | 3省2ガイドライン上の適合基準: 経産省・総務省ガイドライン要件
• 要件カテゴリ: アクセス監査 | 医療機関側（クリニック）の責任範囲: スタッフごとの監査ログ監視と内部セキュリティ教育 | 事業者側（クラウドベンダー）の責任範囲: アクセスログの自動生成と改ざん防止技術 | 3省2ガイドライン上の適合基準: 監査証跡の確保（全般）
• 要件カテゴリ: サイバー対策 | 医療機関側（クリニック）の責任範囲: 院内LANルーター・端末のセキュリティパッチ適用 | 事業者側（クラウドベンダー）の責任範囲: サーバー側のWAF設置、ランサムウェア検知システムの導入 | 3省2ガイドライン上の適合基準: バックアップの物理的・論理的隔離

Doc Report AIの3省2ガイドライン準拠性について

日本の医師に向けて開発された「Doc Report AI」は、この3省2ガイドラインに完全準拠した設計を行っています。

録音された音声データや入力されたテキストデータは、送信前に先生方のWebブラウザ内（ローカル）で強固な暗号化キーによって処理され、安全な通信プロトコル（HTTPS/TLS）を介して送信されます。データはすべて日本国内のAWS東京リージョン内の厳重に保護されたサーバー環境で処理され、カルテが生成された直後に音声データはサーバー上から即座に完全に削除（揮発）されます。

個人情報保護法が規定する要配慮個人情報の「必要最小限の取扱い」をシステム仕様として保証しており、クリニック院長先生はセキュリティ上の不安を抱くことなく、安心してドキュメンテーションの自動化を導入いただけます。

まとめ：セキュリティと効率化を両立するクリニック経営

これからの時代、医療の質を向上させることと、患者データのセキュリティを守ることは、クリニック経営において完全に同義です。

3省2ガイドラインの要件を満たす適切なシステムを構築することは、一見するとハードルが高そうに見えますが、適合されたクラウドサービスを利用することで、小規模なクリニックであっても大病院と同等レベルの強固なセキュリティを容易に実現することができます。安全な情報基盤の上で業務効率を最大化させ、理想的なスマートクリニックの運営を目指しましょう。