医療提供組織は、デジタル革命の真只中にある。この傾向は、医療提供組織が健康記録のデジタル化を開始した数年前に始まっており、ビジネスや保健医療データに対する需要も拡大し続けている。加えて、最近の新型コロナウイルス感染症（COVID-19）パンデミックが、データへの需要を拡大させ、遠隔医療の開発を加速させた。医療提供組織にとって、このようなデータおよび関連するプロセスを管理する能力が必要となる。ITガバナンス・リスク・コンプライアンス・プログラムの開発と実装は、適用可能な法規制を遵守するとともに、医療提供組織の情報とリスクの管理への関与を強化する
医療提供組織に求められるIT-GRCとは？
クラウドセキュリティアライアンス（CSA）のヘルス・インフォメーション・マネジメント・ワーキンググループ（HIM-WG）は、2021年10月15日に「医療における情報技術のガバナンス、リスク、コンプライアンス」（https://cloudsecurityalliance.org/artifacts/information-technology-governance-risk-compliance-in-healthcare/）を公開している。本文書は、ガバナンス、リスク、コンプライアンスそれぞれのプログラムの構築方法を提示し、単一のまとまりのある有効なプログラムに統合することを目的としており、以下のような構成になっている。
- 謝辞
- 概要
- イントロダクション
- ガバナンス
- 生成
- 保存
- 利用
- 共有
- アーカイブ
- 破壊
- リスク管理
- リスク選好
- リスク許容度
- 脅威
- 脆弱性
- 確率
- 影響度
- リスクプロファイル
- コンプライアンス
- 対策
- 監視・報告
- ガバナンス、リスク、コンプライアンス
- 例1 HIPAA規則
- 例2 GDPR規則
- 結論
- 参考文献
COVID-19を受けたGRCプロセスの標準的なフレームワーク
本文書では、GRCプロセスのうち、ガバナンスについて、以下のようなプロセスを挙げている。
- 法令／規制：（例）法律、法典、規制
- 標準規格：（例）ISO、NIST
- ポリシー：（例）組織、情報技術（IT）、情報セキュリティ
- 契約書／コミット：（例）PCI、顧客契約書、B2B同意書
- プロセス＆手順：（例）NISTサイバーセキュリティフレームワーク、ISO、組織
- 制御：管理的、物理的、技術的
リスクについてみると、以下のようなプロセスを挙げている。
- リスク評価：
- Tier 1 組織
- Tier 2 ビジネスライン
- Tier 3 資産
さらにコンプライアンスについてみると、以下のようなプロセスを挙げている。
- 監視：（例）脅威動向、実装済制御、インサイダー行動分析
- 自己評価：システム、プロセス、監査準備
- 外部監査：規制監査、標準規格監査（例．ISO）、契約監査（例．PCI）
- 報告：内部、規制主体、顧客
このようなプロセスを踏まえた上で、優れたGRCプログラムは、以下のようなベネフィットを提供するとしている。
- 患者のケアの質を向上させる
- データ品質を向上させた結果、公衆衛生の向上をもたらす
- 運用の効率性と有効性を拡大する
- 医療提供組織がリスクベースの意思決定を行い、自らのリスクを管理することを可能にする
ガバナンス・リスク・コンプライアンス管理を通じて、組織は、重要なリスクデータを収集・管理すると同時に、コンプライアンスを保証・検証し、結果を管理層に報告することが可能になる。このデータにより、管理層は、予算を設定し、リスクベースの意思決定を行い、コンプライアンスを管理することができる。加えて、GRCプログラムは、医療提供組織のリスクやコンプライアンスのポスチャを明らかにして、データライフサイクルを通したリソースアロケーションやリスク低減に関するリスクベースの慎重な意思決定を行うリーダーシップに力を与えるとしている。
医療提供組織は、幅広いタイプのデータ（例．個人識別情報（PII）、決済カード産業（PCI）データ、保護対象保健情報（PHI））を管理しなければならない。以下に示す通り、有効なGRCプログラムは、医療提供組織が、リスクやコンプライアンスをビジネスプロセスと統合することを可能にするとしている。
- ガバナンスは、管理情報と階層的な管理制御構造を利用して、経営層が組織全体を指揮・制御する経営アプローチである
- 組織のコアビジネス機能の実現に影響を及ぼす可能性があるリスクを特定、分析して（必要なところで）対応するために利用される一連のプロセスである
- コンプライアンスは、法律、規制、標準規格、契約、戦略、ポリシーによって定義される記載要件を遵守することを意味する
COVID-19パンデミック緊急対応下、遠隔医療に関わるルールは、劇的に変化した。医療提供組織がこのような変化を捉えて遵守するためには、有効なGRCプログラムを必要とする。医療提供組織が、パンデミックからの復旧期間を通じて運用する – 特に、ビッグデータ分析と遠隔医療について、急速に進化する需要と規制要求事項を考慮するためには、有効なGRCプログラムが不可欠である。GRCプロセスを確立すれば、現行のリスクポスチャを維持しながら、新たな要求事項をシームレスに遵守することが可能になる。本文書では、ガバナンス、リスク、コンプライアンスを個別に検証した上で、結合力のあるGRCプログラムに統合する方法を説明するとしている。完全なGRCプログラムは、医療提供組織全体及びすべてのビジネスプロセスをカバーするが、ここでは、情報技術に関連するGRCに焦点を当てる。
データライフサイクル管理を起点とする医療のITガバナンス
情報ガバナンスは、保健医療組織が遵守すべき構造、ポリシー、手順、法律、規制を定義し、情報の価値と、データライフサイクルを通して管理する方法を抽出することを追求する。時間とともにデータの価値は下がっていくので、データライフサイクル管理は重要だが、データ保存には費用がかかる反面、リスクの暴露にはかからない。データライフサイクルを見直す際には、クラウドコンピューティングで定義された用語を利用することが有効だとしている。標準的なデータライフサイクル用語には、以下のようなものがある。
- 生成：新たなデータが生成された時または既存のデータが修正された時
- 保存：データは、ストレージのレポジトリに関わる
- 利用：どんな活動でも、データを処理、閲覧または利用する時
- 共有：データや情報を他者がアクセスできるようにする
- アーカイブ：長期ストレージに置かれたデータ
- 破壊：データが必要なくなった時、物理的に破壊する
[ステージ1：生成]
データライフサイクルの最初のフェーズは、生成・修正である。医療提供組織は、財務、サプライチェーン、人事、患者ケアなど、多数のトピックに関わる様々なデータを生成・収集する。このステージにおける重要なガバナンスのファクターは、以下の通りである。
- データは、どのようにして生成・収集・修正されたか？ 外部ソースが生成したデータか？ 他のデータソース向けにデータを収集して、生成されたものか？ キーボード入力、モバイルアプリケーション、またはデータ結合によって生成されたものか？ 医療提供組織は、すべてのデータの起源を知る必要がある。
- データは、何のために利用されるか？ PIIやPHIの法律は、医療提供組織に対して、データ収集の理由をデータ主体に告知するよう求めるので、この参照は必要不可欠である。
- 誰がデータの生成または収集をできるか？ 誰がデータを生成または収集できるかを特定することは、データがPHIを含む場合特に重要である。この状況における「誰」は、データの完全性を反映している。
- データの分類やカテゴリー分けは何か？ データ分類は、データのタイプに関する機密性の要求事項に関連する。たとえば、データは内部利用のみを目的としたものであり、ビジネスやPHIに対してセンシティブである可能性がある。連邦政府情報処理基準（FIPS）199で定義されたカテゴリー分けは、3つの潜在的な影響度のレベル（低、中、高）を設定している。これらのレベルは、3つのセキュリティ目標（機密性、完全性、可用性）において、情報セキュリティや情報システムとの関係性が強い。
データソースを理解することにより、組織は、堅牢なガバナンス基盤を構築することができる。
[ステージ2：保存]
医療提供組織のストレージ管理ポリシーは、ストレージのリソースを効率的に管理しながら、適用可能な法規制を遵守できるようにすることが求められる。ただし、ストレージの要求事項を決定する前に、医療提供組織は、保存するデータの容量や種類を理解する必要がある。保存のステージでは、以下のような点に留意する必要がある。
- データをどこに保存するか？ それはクラウドか、組織のデータセンターか、ローカル保存か、それともリムーバブルメディアか？ それぞれ異なる要求事項があるので、医療提供組織は、ストレージのタイプごとに影響を考慮する必要がある。
- クラウドベースのデータについて、どこに保存するか？ データの保存場所（プライマリーおよびバックアップの双方）を知ることは重要である。データをオフショアに保存しているか？ 規制の要求事項は、ストレージのロケーションによって異なる可能性がある。
- どれくらいの期間、データを必要とするか？ 維持に関する要求事項が、ストレージの手法を決定する可能性がある。
- 保存時のデータ暗号化に関する要求事項はあるか？ データの機微性のニーズにより、暗号化に関する規制／ビジネスの要求事項がある可能性がある。
どんなデータが保存されているか、どこに保存されているか、どれくらいの期間かを知ることによって、医療提供組織は、データストレージ向けの適切なポリシー・手順を構築することが可能になる。
[ステージ3：利用]
データ利用における最初のステップは、データおよびその利用方法について理解することである。医療提供組織は、以下のような点に留意する必要がある。
- データの利用者は誰か？
- データの目的は何で、どのように利用されるのか？
- データのタイプや規制の要求事項に基づいて、利用は適正か？
- データは、将来、どのような方法で利用されるか？
データ収集の速度や規模が拡大するにつれて、これらのデータセットを処理するために利用される分析手法もより洗練されたものになっており、データ使用法の多様化が進んでいる。ビッグデータ分析は、保健医療研究における適用の相当な可能性など、保健医療データの使用法を継続的に拡張させる。その一方で、データの損失や悪用を防止するために、適切な処置を講じる必要がある。医療におけるデータガバナンスは、ポジティブなアウトカムを実現し、ネガティブな結果を防止するために取組んでいる。加えて透明性は、医療データガバナンスに対して、複雑な課題を示している。医療提供組織は、プライバシーやセキュリティを維持しながら、データの利用方法に関して透明でなければならない。
[ステージ4：共有]
長年の間、医療提供組織は、データが制限され孤立したところで、ストーブの煙突のようなデータレポジトリを構築してきた。このようなシステムの利用により、データの複製が促進された。優れたデータガバナンスは、データを効率的に共有するために要求されるプロセスを提供できる。有効なガバナンスなくして、医療提供組織は、共有されたデータや情報が、最新で、正確で、適切なものであることを確信することができない。医療提供組織は、データガバナンスにより、どのデータを共有できて共有すべきであるかを明確化するようなポリシーや手順の構築を実現できる。加えて、ガバナンスは、誰がデータを共有できるか、データを共有する理由、データ共有のための手法（電子メール、インターネット、クラウドなど）、共有されるデータをセキュア化するためのプロセスの要求事項について、明確に表現する必要がある。
[ステージ5：アーカイブ]
実際に利用されないデータは、将来のニーズや規制の要求事項に準じて、破壊もしくはアーカイブ化すべきである。データが長期間のアーカイブ化を必要とするかについて理解することは不可欠であるが、このステップには相当の財務的・技術的なハードルがある。医療提供組織は、数年間データを維持するための要求事項に合わせて、高度に規制されたデータを構築する。ただし、データストレージには費用がかかる。データのアーカイブ化は、ストレージ費用を削減し、長期ストレージは短期ストレージよりも安価である。医療提供組織は、データ成長率を制御できない反面、将来のアクセスに対するニーズや費用削減のために提供される有効なアーカイブソリューションの計画を策定することは可能である。
アーカイブソリューションを含む念入りなデータガバナンス戦略は、規制遵守の取組を支援し、データアクセスや検索を可能にする。ただし、データのアーカイブ化は、様々な維持期間を可能にするアプローチを要求するので、医療提供組織は、データ維持に関する要求事項を詳細に研究する必要がある。
[ステージ6：破壊]
情報ガバナンスの観点から見落としがちなのが、データ破壊である。古くなり制限されたデータの破壊に関する明確で適正なポリシー・手順に対するニーズはますます高まっている。このような課題に取り組むためには、有効で防御可能なデータ破壊ポリシーが要求される。医療提供組織は、以下のような点に留意する必要がある。
誰にデータ破壊の責任があるか？
- 同一データのために複数のロケーションを検索することを避けるために、どのようにして情報のレポジトリを最小化・簡略化できるか？
- どれくらいの頻度で、潜在的な削除のために、スペースが枯渇するアイテムをスキャンすべきか？
- データが本当になくなり復旧不可能であることを保証するために、どのような破壊対策を設定するか？
- データは、訴訟ホールドにより、ホールドの結論がでるまでの間、その状態で保全されているか？
さらに注意しなければならないのは、どのようにして、クラウドデータの破壊を保証するかである。クラウドデータは、マルチテナント環境で保存可能なため、他のテナントのデータを破壊することなしに、メディアを消去することは不可能である。そこで、データ破壊を保証する有効な手法としてデータの暗号化がある。データがもはや必要ない時には、鍵を破壊することになる。そうすれば、データが物理的にクラウド上にある時でも利用できなくなる。この手法を採用する場合、医療提供組織は、契約上の義務を通じて、各テナントが暗号化のために異なる鍵を保有することを保証しなければならない。
(後編に続く)
CSAジャパン関西支部メンバー
健康医療情報管理ユーザーワーキンググループリーダー
笹原英司