サイバー攻撃が高度化するなか、「あとからセキュリティを足す」やり方には限界があります。そこで重要になるのがセキュリティ・バイ・デザイン——企画・設計の段階からセキュリティを組み込む考え方です。本記事では、その基本原則、開発ライフサイクルでの実践、そして医療情報システムでの適用を、公式ガイドラインをもとに専門的に整理します。
免責：本記事は一般的な情報提供です。制度・ガイドラインは改定され得るため、実務では最新の一次情報を確認してください。
セキュリティ・バイ・デザインとは
セキュリティ・バイ・デザイン（Security by Design）とは、製品・システムの企画や設計のフェーズからセキュリティ対策を組み込み、開発から運用までの各工程で継続的に確保する考え方です。運用開始後に脆弱性が見つかってから対処する「後付け」に比べ、手戻りコストを抑えつつ、根本的に堅牢なシステムを実現できます。
政府もこの重要性を明確にしており、デジタル庁は「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」を、IPA（情報処理推進機構）は「セキュリティ・バイ・デザイン導入指南書」を公表しています。
基本原則
セキュリティ・バイ・デザインを支える代表的な原則は次のとおりです。
- 最小権限（Least Privilege）：利用者・システムに必要最小限の権限のみを付与する。
- 多層防御（Defense in Depth）：単一の対策に依存せず、認証・認可・暗号化・監視を層状に組み合わせる。
- デフォルトで安全（Secure by Default）：初期設定が安全側に倒れている状態にする。
- フェイルセーフ：障害時にも安全側で停止・縮退する設計。
- プライバシー・バイ・デザイン：個人情報保護を設計段階から織り込む（特に医療では必須）。
開発ライフサイクルでの実践
セキュリティ・バイ・デザインは、開発の各工程に具体的な活動として落とし込みます。
| 工程 | 実践 |
|---|---|
| 要件・設計 | 脅威モデリング（想定攻撃の洗い出し）、セキュリティ要件の定義、責任分界の明確化 |
| 実装 | セキュアコーディング、機密情報のハードコード禁止、依存ライブラリの脆弱性管理 |
| テスト | 脆弱性診断（SAST/DAST）、ペネトレーションテスト、コードレビュー |
| 運用 | 監査ログ、監視・検知、パッチ適用、インシデント対応と継続的見直し（PDCA） |
医療情報システムでの適用
医療情報システムは、診療情報という「要配慮個人情報」を扱うため、セキュリティ・バイ・デザインの実践がとりわけ重要です。
- 3省2ガイドラインとの接続：設計段階から、電子保存の三基準（真正性・見読性・保存性）や安全管理措置を織り込む（実務は3省2ガイドライン対応の実務ステップ参照）。
- クラウド前提の設計：クラウド利用時は責任共有モデルを前提に、境界だけに依存しない設計にする（医療機関のクラウドセキュリティ参照）。
- AI駆動開発との両立：AIで開発を高速化するほど、設計段階からのセキュリティ組み込みが不可欠になります（AI駆動開発とは何か参照）。
まとめ
セキュリティ・バイ・デザインは、「後から守る」のではなく「最初から安全に作る」ための考え方です。最小権限・多層防御・デフォルト安全といった原則を、脅威モデリングから運用まで一貫して実践することで、医療情報システムに求められる高い安全水準を、根本から満たせます。
ポテックは、AIネイティブな医療情報システムの開発と、ISMS認証・3省2ガイドライン対応の支援を、セキュリティ・バイ・デザインの発想で提供しています。詳細はお気軽にお問い合わせください。
参考
- デジタル庁「政府情報システムにおけるセキュリティ・バイ・デザインガイドライン」
- IPA「セキュリティ・バイ・デザイン導入指南書」
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第6.0版（概説編）」
※本記事は一般的な情報提供です。制度・ガイドラインは改定され得るため、実務では最新の一次情報を確認してください。