オンライン資格確認や電子カルテのクラウド化が進み、医療機関にとってクラウドは前提の基盤になりつつあります。一方で、扱うのは要配慮個人情報である診療情報です。本記事では、医療機関が押さえるべきクラウドセキュリティを、責任共有・制度対応・技術対策の観点から専門的に整理します。
免責：本記事は一般的な情報提供です。制度・ガイドラインは改定され得るため、実務では最新の一次情報を確認してください。
前提：責任共有モデル
クラウドのセキュリティは、クラウド事業者と利用者（医療機関）で責任を分担する責任共有モデルが出発点です。提供形態によって分界が変わります。
- IaaS：基盤は事業者、OS・ミドル・アプリ・データ・設定は利用者側の責任が大きい。
- PaaS：基盤〜実行環境は事業者、アプリ・データ・アクセス制御は利用者。
- SaaS：多くを事業者が担うが、利用者アカウント・権限・端末・データ入力・運用は医療機関の責任として残る。
「クラウドだから事業者に任せれば安全」という前提は誤りです。自院に残る責任範囲を明確にし、契約・仕様で責任分界点を文書化することが第一歩です。
制度対応：3省2ガイドラインとクラウド
医療情報システムのクラウド利用は、3省2ガイドラインの枠組みで評価します。医療機関側は厚生労働省ガイドライン、事業者側は経済産業省・総務省の事業者向けガイドラインに従い、責任分界・安全管理措置・電子保存の三基準（真正性・見読性・保存性）を満たす必要があります（実務は3省2ガイドライン対応の実務ステップ参照）。
データの保管場所（越境移転）
クラウドでは、データの保管・処理が国外リージョンで行われることがあります。個人データを外国にある第三者へ提供する形になる場合、個人情報保護法の外国にある第三者への提供（28条）の規律がかかります。「国内リージョンで完結するか」「国外なら適法化の根拠（本人同意／基準適合体制）は何か」を導入時に必ず整理します（詳細は医療機関で生成AIを使うときの注意点参照）。
技術対策の要点
| 対策 | 内容 |
|---|---|
| 暗号化 | 転送時（TLS）・保存時（at rest）の双方を暗号化 |
| 鍵管理 | 暗号鍵をデータ本体と分離管理し、鍵アクセスも最小権限 |
| IAM・認証 | 役割ベースの最小権限、多要素認証（MFA）、退職者アカウントの確実な失効 |
| 監査ログ | 誰が・いつ・何にアクセスしたかを改ざんされにくい形で記録・監視 |
| ネットワーク | ゼロトラスト（境界に依存しない検証）、セグメンテーション |
| 可用性・BCP | 冗長化・バックアップ（イミュータブル推奨）・RTO/RPO・インシデント対応 |
特にクラウドでは「境界の内側だから安全」という前提が崩れるため、ゼロトラスト（アクセスのたびに検証）と最小権限が基本方針になります。
第三者認証で客観的に確認する
事業者のセキュリティ水準は、客観的な第三者認証で確認できます。
- ISMS（ISO/IEC 27001）：情報セキュリティマネジメントの国際規格。
- ISO/IEC 27017：クラウドサービスのセキュリティに特化した規格。
- ISMAP（政府情報システムのためのセキュリティ評価制度）：政府が求めるセキュリティ基準を満たすクラウドサービスを事前評価・登録する制度。
これらの認証・登録の有無は、事業者選定の重要な判断材料になります。
AIカルテのクラウドセキュリティ
クラウド型のAIカルテでは、上記に加えてAI固有の論点（学習利用の遮断、AIのアクセス境界、マルチテナント分離）も設計に織り込みます。設計の考え方はAIカルテのセキュリティ設計（責任共有モデル）で詳しく解説しています。
まとめ
医療機関のクラウドセキュリティは、責任共有モデルで分界を定め、3省2ガイドラインに沿って安全管理を設計し、暗号化・IAM・監査ログ・ゼロトラストで運用し、第三者認証で客観的に確認する——この一連の設計が要点です。クラウドは「任せれば安全」ではなく、「正しく設計・運用してこそ安全」です。
ポテックは、AIネイティブな医療情報システムの開発と、ISMS認証・3省2ガイドライン対応の支援を提供しています。クラウドセキュリティを制度対応まで含めて相談したい場合は、お気軽にお問い合わせください。
参考
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版（概説編）」
- ISMAP（政府情報システムのためのセキュリティ評価制度）ポータル
- 個人情報保護委員会「個人情報の保護に関する法律についてのガイドライン（外国にある第三者への提供編）」
※本記事は一般的な情報提供です。制度・ガイドラインは改定され得るため、実務では最新の一次情報を確認してください。