医療分野におけるプライバシー保護、一番大切なのは「害」とならぬこと（CA Security Reminder）

ある精神疾患を持つ女性が「200ページにわたる非常に機密性の高い自分の臨床記録が、自分が明確な許可もせず知らされてもいないうちに、ある医療関連コンソーシアムの全メンバ企業に電子的に配布されていたことを知り愕然とした」という話をしました。

特集特集

2012年8月6日（月） 13時26分

CA Technologies社 John Sabo氏

CA Security Reminder は、コンシューマライゼーションが進行する企業情報システムの情報セキュリティとアイデンティティ管理について考えます。
プライバシーとアイデンティティ管理に詳しい CA Technologies の John Sabo氏による、北米の医療分野におけるプライバシー保護に関する寄稿を通じて、病院などの医療現場における情報セキュリティ対策の課題を明らかにする。日本国内でも、病院等医療現場におけるセキュリティ対策は急務となっている。

--

プライバシは、テクノロジ・ポリシの問題で最も難しいものの1つと位置づけられつつあります。ワシントンDCにあるジョージタウン大学O’Neill Institute for National and Global Health Lawの主催で最近開催された Health Privacy Summitでも、この点が非常にはっきりと打ち出されました。

このカンファレンスは、PatientPrivacyRights（健康医療プライバシ保護団体）の創立者であり代表を務めるDeborah Peel博士が開催したもので、患者中心のプライバシに焦点をあて、「電子的ヘルス・レコードやシステムにはどの程度の規制が必要なのか」「どの程度が過剰なのか？」「ITは患者に悪影響を及ぼすのか？」「『ビッグデータ』の時代に患者はどれだけのリスクに直面するのか」といった重要な問題を検討しました。

カンファレンスの冒頭では、まず「リスク」の問題が浮き彫りにされました。興味深かったのは、最初に登壇したパネリストの中に精神疾患を持つ女性が含まれており、「200ページにわたる非常に機密性の高い自分の臨床記録が、自分が明確な許可もせず知らされてもいないうちに、ある医療関連コンソーシアムの全メンバ企業に電子的に配布されていたことを知り愕然とした」という話をしたことです。彼女は、ある医者から精神疾患とは関係のない病気の治療を受ける際、臨床記録から得た情報を突きつけられ、臨床記録の配布を知ったのでした。屈辱的な体験を語った女性の話は心に響き、とても説得力がありました。

このプライバシ侵害（この女性から見れば）の一件は、ポリシの不整備によるものだったのでしょうか？ITが悪かったのでしょうか？それとも両方に問題があったのでしょうか？または、精神疾患関係の医療関係者が言ったと女性が語ったように、こうした情報を公開することは「良い習慣」だったのでしょうか？彼女の話によれば、このような（他の医療従事者が通常知る必要があるものより機密性が高い）精神科の臨床記録を区分しておくために必要なセキュリティ/プライバシ・ポリシや統制はありませんでした。また、こうした高機密性データについて、追加のアイデンティティ認証やアクセス制御は導入されていませんでした。そのためのテクノロジはあるのに、必要な制御の導入をポリシが求めていなかったのです。適切なポリシや必要かつ詳細なアイデンティティ、認証、アクセス制御を組み込むことなく基盤的役割を果たすテクノロジ（医療記録のネットワーク化）を採用するのでは、患者の信頼を得ることはできません。

私は次のパネルに参加したのですが、「一番大切なのは『害』とならぬこと ― テクノロジは患者の『害』となるのか？」という物議を醸す議題に取り組むよう依頼されていました。私以外には、電子プライバシ情報センタ、国立衛生研究所、連邦取引委員会、ジョージタウン大学ロースクール、テキサス大学から、健康医療プライバシの専門家がパネリストとして参加していました。

このパネル・ディスカッションでは、ネットワーク化された健康医療電子システムでの「透明性」と患者と医療提供者の信頼関係構築が大きなテーマでした。私は、標準化されたポリシと標準にもとづいたIT機能で想定通りかつ安全にプライバシルールと優先項目を徹底させることが重要だという話をしました。

興味深かったのは、カンファレンスの基調講演で、国家医療IT調整官のFarzad Mostashari 博士が、ポリシ、テクノロジ、文化を「患者を中心に」リンクさせることの難しさについて語ったことです。博士は、システムやテクノロジの信頼はゼロサムゲームではなく、プライバシを後付けすることなく「仕様として存在」させることが主な課題なのだと言いました。また、システムがプライバシをサポートし、医療提供者と患者の間に信頼の絆を築く必要があるとも語りました。

今回のカンファレンスで、私は多くの課題があることを知りました。しかし私達は、ヘルスケア/プライバシ保護コミュニティと連携し、医療提供者と患者が信頼の絆を築くことができるように支援しなければならないということも学んだのでした。

（John Sabo）

筆者略歴：CA Technologies　Global Government Relations 担当ディレクター

医療分野におけるプライバシー保護、一番大切なのは「害」とならぬこと（CA Security Reminder）

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

ガートナークラウドクッキング教室～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

ソース・関連リンク

関連記事

Scan PREMIUM 会員限定記事

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

OWASP データブリーチ

悪夢の検証 大英図書館ランサムウェア ～ 過ちが語る普遍的な物語

AI アプリ標的 ゼロクリックワーム開発／北 韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追 ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

カテゴリ別新着記事

脆弱性と脅威 記事一覧へ

Proscend Communications 製 M330-W および M330-W5 に OS コマンドインジェクションの脆弱性

Oracle Java に攻撃された場合の影響が大きい脆弱性、修正プログラムの適用を呼びかけ

Ivanti Connect Secure と Ivanti Policy Secure Gateways に複数の脆弱性、1 月以降の状況を整理

Windows DNS の脆弱性情報が公開

バッファロー製無線 LAN ルータに複数の脆弱性

Palo Alto Networks 社製 PAN-OS GlobalProtect に OS コマンドインジェクションの脆弱性

インシデント・事故 記事一覧へ

東京高速道路のメールアカウントを不正利用、大量のメールを送信

組込み機器のイーアールアイに不正アクセス、スパムメール送信の踏み台に

インフォマート 公式 Facebook ページに不正ログイン

フュートレックにランサムウェア攻撃、本番環境への侵入形跡は存在せず

転職先で営業活動に活用、プルデンシャル生命保険 元社員 顧客情報持ち出し

東芝テックが利用するクラウドサービスに不正アクセス、取引先や従業員の個人情報が閲覧された可能性

調査・レポート・白書・ガイドライン 記事一覧へ

セキュリティ対策は株価を上げるのか ～ 株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍 時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

プルーフポイント、マルウェア配布する YouTube チャンネル特定

IT部門か全員かそれとも政府か ～ サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠 ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い ～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス 記事一覧へ

ガートナー クラウドクッキング教室 ～ CCoE 構築の重要性

Reject 運用のポイント他 ～ 日本プルーフポイント「DMARC Conference 2024」5 月末 大手町で開催

韓国の 2024年 セキュリティ市場規模 8,000 億円見込 ～ SECON & eGISEC 2024 開催

エーアイセキュリティラボ、脆弱性診断の自動化・内製化のための無料ツールと AI 活用解説 4/18 セミナー開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校 チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント ～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向 記事一覧へ

脆弱性診断自動化ツール「AeyeScan」の SSO 機能が SAML 認証に対応

セキュリティ診断会社と開発会社が業務提携 ～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ 国内 1 位

警察庁、サイバー事案通報の統一窓口を設置

脆弱性診断自動化ツール「AeyeScan」にシングルサインオン機能、大規模ユーザーにも対応

ALSI、国産脅威インテリジェンスサービス「InterSafe Threat Intelligence Platform」提供

おしらせ 記事一覧へ

創刊25周年記念キャンペーンのノベルティが届きました！（25周年記念キャンペーンは本日終了です）

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン 読者特典]

Scan PREMIUM 創刊25周年記念キャンペーン実施中

ScanNetSecurity 創刊25周年御礼の辞（上野宣）

小説内に登場するバーで直筆サインをいただきました ～ 創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート ～ 創刊24周年キャンペーン実施のおしらせ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

悪夢の検証大英図書館ランサムウェア～過ちが語る普遍的な物語

AI アプリ標的ゼロクリックワーム開発／北韓国半導体企業へ攻撃／米司法省 APT31 メンバー訴追ほか [Scan PREMIUM Monthly Executive Summary 2024年3月度]

脆弱性と脅威記事一覧へ

インシデント・事故記事一覧へ

インフォマート公式 Facebook ページに不正ログイン

転職先で営業活動に活用、プルデンシャル生命保険元社員顧客情報持ち出し

調査・レポート・白書・ガイドライン記事一覧へ

セキュリティ対策は株価を上げるのか～株主総利回り（TSR）の平均値は高い傾向

被害額オレオレ詐欺の３倍時間かけ信頼醸成「SNS型投資詐欺」～トビラシステムズ独自調査

IT部門か全員かそれとも政府か～サイバー攻撃から守る責任は誰にある？ KnowBe4 調査

初動対応者同士の情報共有が不可欠ランサムウェア攻撃への対応

復旧失敗確率 3 分の 2、ランサムウェア身代金支払い～ JIPDEC、ITR 調査

研修・セミナー・カンファレンス記事一覧へ

ガートナークラウドクッキング教室～ CCoE 構築の重要性

Reject 運用のポイント他～日本プルーフポイント「DMARC Conference 2024」5 月末大手町で開催

韓国の 2024年セキュリティ市場規模 8,000 億円見込～ SECON & eGISEC 2024 開催

中高生サイバーセキュリティ競技会「CyberSakura」第3回、京都府立嵯峨野高等学校チーム「HEXAGON」優勝

「引っかかるのは当たり前」が前提、フィッシングハンターが提案する対策のポイント～ JPAAWG 6th General Meeting レポート

製品・サービス・業界動向記事一覧へ

セキュリティ診断会社と開発会社が業務提携～ SHIFT SECURITY とフォージビジョン

賞金総額 1 万ドル「LINE CTF 2024」GMOイエラエ国内 1 位

おしらせ記事一覧へ

人気連載 Scan PREMIUM Monthly Executive Summary の岩{丼}先生の著作にサインいただきました [Scan PREMIUM 創刊25周年記念キャンペーン読者特典]

小説内に登場するバーで直筆サインをいただきました～創刊24周年キャンペーン 11/30 迄

「果たされた約束」アフタヌーンティー開催レポート～創刊24周年キャンペーン実施のおしらせ