米国トランプ政権下のヘルスIT戦略とサイバーセキュリティ
•
1 j'aime•576 vues
先行き不透明感のあるトランプ政権ですが、ベビーブーマー高齢化に対応する健康医療ビッグデータの共通基盤としてクラウドを活用する姿勢は変わりません。米国のヘルスITイノベーション推進戦略と、それを支えるサイバーセキュリティ対策について俯瞰します。
Recommandé
Contenu connexe
Tendances
Tendances (20)
Similaire à 米国トランプ政権下のヘルスIT戦略とサイバーセキュリティ
Similaire à 米国トランプ政権下のヘルスIT戦略とサイバーセキュリティ (20)
Plus de Eiji Sasahara, Ph.D., MBA 笹原英司
Plus de Eiji Sasahara, Ph.D., MBA 笹原英司 (20)
米国トランプ政権下のヘルスIT戦略とサイバーセキュリティ
- 1. 米国トランプ政権下のヘルスIT戦略と サイバーセキュリティ 2017年5月23日 博士（医薬学） 笹原英司 特定非営利活動法人ヘルスケアクラウド研究会 理事 在日米国商工会議所・ヘルスケアIT小委員会 委員長 一般社団法人日本クラウドセキュリティアライアンス 代表理事
- 3. AGENDA 1. 米国のヘルスITを取り巻く政策動向 2. ヘルスITを取り巻くプライバシー対策 3. ヘルスITを取り巻くサイバーセキュリティ対策 4. まとめ／Q&A 3
- 5. 1. 米国のヘルスITを取り巻く政策動向 5 1-1. 高齢化が進行する米国社会 1-2. ジョージ・W・ブッシュ政権下のヘルスIT 1-3. バラク・オバマ政権下のヘルスIT 1-4. ドナルド・トランプ政権下のヘルスIT
- 6. 1-1. 高齢化が進行する米国社会 (1) 6 「An Aging Nation」 出典: U.S. Census Bureau 「2014 Population Projections」 (2014年10月） 米国の65歳以上人口予測 (2015年 2060年） 全体：105.2% 米国内生まれ：75.9% 海外生まれ：294.8% 第1次ベビーブーマー世代 の高齢化が第1波に （日本と同じ）
- 7. 1-1. 高齢化が進行する米国社会 (2) 7 「An Aging Nation」 出典: U.S. Census Bureau 「2014 Population Projections」 (2014年10月） 米国の年齢階層別 人口推計 (2015年 2060年） 65歳以上 2014年：4,600万人 2020年：5,600万人 2030年：7,400万人 2060年：9,800万人
- 8. 1-2. ジョージ・W・ブッシュ政権下のヘルスIT (1) 8 「Health IT」 ＝健康医療情報を蓄積、共有、分析する一連の 技術を包含する広義の概念 半構造化データ 構造化データ 非構造化データ 相互運用性 （リアルタイム処理） （バッチ処理）
- 9. 1-2. ジョージ・W・ブッシュ政権下のヘルスIT (2) 9 米国における電子カルテの定義 出典：NAHIT「Defining Key Health Information Technology Terms」（2008年4月）を基に ヘルスケアクラウド研究会作成
- 10. 1-2. ジョージ・W・ブッシュ政権下のヘルスIT (3) 10 医薬品ライフサイクルとビッグデータ 基礎 研究 臨床 開発 製造 物流 営業・ マーケ ティング 市販後 対策 薬事 申請 薬局 患 者 ・家 族 医療 機関 (非構造化データ) (構造化データ) (個人データ)(in vitro)(in vivo) (センサーデータ／半構造化データ) ビ ッ グ デ ー タ リアルワールド データ （構造化データ） （非構造化データ） （半構造化データ） 相互運用性（Interoperability） 出典： ヘルスケアクラウド研究会（2017年5月）
- 11. 1-2. ジョージ・W・ブッシュ政権下のヘルスIT (4) 11 「Health Care IT Collaboration in Massachusetts: The Experience of Creating Regional Connectivity」 J Am Med Inform Assoc. 2005 Nov-Dec; 12(6): 596–601. doi: 10.1197/jamia.M1866 （https://www.ncbi.nlm.nih.gov/pmc/articles/PMC1294029/） 2004年、米国保健福祉省（HHS）が国家医療IT調整室 （ONC）を設置 電子カルテ採用の推進 国家医療情報ネットワークの構築 連邦政府における医療IT支出の調整 地域医療情報組織（RHIO）の構築促進 ICT戦略
- 12. 1-2. ジョージ・W・ブッシュ政権下のヘルスIT (5) 12 「Toward a National Framework for the Secondary Use of Health Data: An American Medical Informatics Association White Paper」 J Am Med Inform Assoc. 2007 Jan-Feb; 14(1): 1–9.doi: 10.1197/jamia.M2273 （https://www.ncbi.nlm.nih.gov/pmc/articles/PMC2329823/） ＜フレームワークへの提言＞ ・ヘルスデータ2次利用のための透明性のあるポリシーと実践 ・データの所有権よりも、データコントロールの所有権に注目 ・プライバシー、ポリシー、セキュリティに関するコンセンサス ・一般市民の認識と信頼 ・包括的な視野 ・国家的なリーダーシップ ICT戦略
- 13. 1-3. バラク・オバマ政権下のヘルスIT (1) ホワイトハウス 「2009年米国復興・再投資法（ARRA）」（2009年2月可決成立） リーマンショック後の景気刺激策 •ブロードバンドインターネット普及推進策 •スマートグリッド普及推進策 •電子カルテ普及推進策（”Meaningful Use”） 「HIPAA／HITECH総括的規則」(後述） ホワイトハウス科学技術政策局（OSTP） 「ビッグデータ研究開発イニシアティブ」（2012年3月） （領域）教育・人材開発、国防・軍事、健康医療、エネルギー、 地質調査など 13 包括的
- 14. 1-3. バラク・オバマ政権下のヘルスIT (2) 保健福祉省・国家医療 IT 調整室（ONC） 「連邦ヘルスIT戦略計画2011－2015」（2011年9月） ビジョン：情報を利用して個人に力を与え、集団健康管理を 向上させるヘルスシステム 目的：情報技術の利用によって全米国民の健康とヘルスケ アを向上させる 目標 ヘルスITの意味のある利用による電子カルテの採用と情報交換の達成 ヘルスITの利用によるケアの改善、集団健康管理の改善、ヘルスケア 費用の削減 ヘルスITにおける確信と信頼の鼓舞 ヘルスITにより、個人の健康とヘルスケアシステムの改善を可能にする 高速学習と技術的進歩の達成 14 ICT戦略
- 15. 1-3. バラク・オバマ政権下のヘルスIT （3） 「連邦ヘルスIT戦略計画2011－2015」の戦略マップ 15 出典：Office of the National Coordinator for Health Information Technology 「Federal Health Information Technology Strategic Plan 2011－2015」（2011年9月） ICT戦略
- 16. 1-3. バラク・オバマ政権下のヘルスIT (4) 保健福祉省・国家医療 IT 調整室（ONC） 「相互運用性のあるヘルスITインフラストラクチャ達成のため の10年ビジョン」（2015年8月） 2024年までに、個人、医療提供者、地域、研究者が、医療シ ステムによって継続的な学習や、改善された医療目標の促 進を可能にする、相互運用性のある一連の医療IT製品・サー ビスを有するべきである •3年間のアジェンダ：医療の質を改善するために、医療情報 を送信、受信、発見、利用する •6年間のアジェンダ：医療の質の改善と費用の低減のために 情報を利用する •10年間のアジェンダ：学習するヘルスシステム 16 ICT戦略
- 17. 1-3. バラク・オバマ政権下のヘルスIT (5) 「相互運用性のあるヘルスITインフラストラクチャ達成のため の10年ビジョン」（2015年8月）（続き） 17 出典：Office of the National Coordinator for Health Information Technology 「A 10-Year Vision to Achieve an Interoperable Health IT Infrastructure」（2015年8月） ICT戦略
- 18. 1-3. バラク・オバマ政権下のヘルスIT (6) 国立標準技術研究所（NIST）:「ビッグデータ相互運用性フレ ームワーク・バージョン1.0」（NIST SP 1500-1） （2015年9月） ＜構成要素＞ • システムオーケストレーター • データプロバイダー • ビッグデータアプリケーション プロバイダー • ビッグデータフレームワーク プロバイダー • データコンシューマー • セキュリティ／プライバシー ファブリック • マネジメントファブリック 18 出典出典：NIST「NIST Big Data interoperability Framework Version 1.0」（2015年9月）： 相互運用性
- 19. 1-3. バラク・オバマ政権下のヘルスIT (7) 保健福祉省・国家医療 IT 調整室（ONC） 「連邦ヘルスIT戦略計画2015－2020」」（2015年9月） ビジョン：高品質のケア、より低いコスト、健康な集団、関与 する個人 ミッション：最も重要な時、どこでもアクセスできる技術と健康 医療情報の利用を通して、個人および地域の健康や幸福を 向上させる 目標 人間中心で自己管理による健康の促進 医療供給と地域保健の変革 研究・科学知識・イノベーションの促進 国家のヘルスITインフラストラクチャの強化 19 ICT戦略
- 20. 1-3. バラク・オバマ政権下のヘルスIT（8） 保健福祉省:「連邦IT調達改革法 HHS実行計画（FITARA実行 計画）」（2015年9月） HHSのITガバナンス フレークワークを策定 • IT投資における透明性の 強化とガバナンスの改善 • 包括的なIT戦略 • 計画から実行までの効率 • 的なIT管理 • 強力で効率的なIT要員 20 出典：Department of Health and Human Services「Federal Information Technology Acquisition Reform Act HHS Implementation Plan」 （2015年9月） ICT戦略
- 21. 1-3. バラク・オバマ政権下のヘルスIT （9） 国立標準技術研究所（NIST）:「電子健康記録の技術評価、試 験、バリデーション：安全が強化されたユーザビリティを検証確 認するための経験に基づくユースケースと標準化ガイドライン （NISTIR 7804-1）」（2015年10月） 重要なユーザーリスク領域 情報の識別性 情報の一貫性 情報の完全性 21 出典：NIST「NISTIR 7804-1 Technical Evaluation, Testing, and Validation of the Usability of Electronic Health Records: Empirically Based Use Cases for Validating Safety Enhanced Usability and Guidelines for Standardization」 （2015年10月） UI/UX
- 22. 1-3. バラク・オバマ政権下のヘルスIT （10） 保健福祉省・国家医療 IT 調整室（ONC） 「国家のためのコネクテッドヘルスとケア：相互運用性ロード マップバージョン1」（2015年10月） 米国の2025年問題対応～第1次ベビーブーマーの高齢化 2015～2017年：ヘルスデータの利活用基盤整備 2018～2020年：相互運用性を備えたヘルスITの拡張 2021～2024年：学習するヘルスシステム（例．AI活用） 22 出典：Office of the National Coordinator for Health Information Technology 「Connecting Health and Care for the Nation: A Shared Nationwide Interoperability Final Version 1.0」（2015年10月） ICT戦略
- 23. 1-3. バラク・オバマ政権下のヘルスIT （11） 連邦政府一般調達局」（GSA） 「FedRAMPセキュリティ評価フレームワーク 2.1版」 （2016年10月） 連邦政府共通のクラウドサービス調達のためのセキュリテ ィ基準（2011年12月発表） 連邦政府の各機関に対して情報および情報システムのセキュリティを 強化するためのプログラムの開発・文書化・実践を義務付けた「連邦 情報セキュリティマネジメント法（FISMA）」がベース 政府調達や予算執行については、行政管理予算局（OMB）が調整 第三者評価機関（3PAO）が、クラウドサービスを評価してFedRAMPの 認定を行う 23 クラウド
- 24. 1-3. バラク・オバマ政権下のヘルスIT （12） 連邦取引委員会（FTC）/保健福祉省・国家医療 IT 調整室 （ONC）/公民権局（OCR）/食品医薬品局（FDA） 「モバイルヘルスアプリケーション開発者向けガイドライン」 （2016年4月） 開発者向けの推奨事項 • データを最小化する • アクセスと許可を制限する • 認証を心に留める • モバイルのエコシステムを考慮する • セキュリティ・バイ・デザインを実践する • 車輪の再発明をしない • ユーザーとのコミュニケーション方法を変革する • 他に適用可能な法律のことを忘れない 24 モバイル
- 26. 1-3. バラク・オバマ政権下のヘルスIT （14） 保健福祉省・国家医療 IT 調整室（ONC） 「ヘルスIT認証プログラム：強化された監督と責任」規則 最終版（2016年10月） 直接レビュー・プロセスを通して認証されたヘルスITで、プ ロバイダーの信頼性を支援する ONCとヘルスIT開発者の協働を促進しながら、問題に取り 組むための是正措置計画を構築する ONC認定認証機関(ONC-ACBs) ONC認定試験機関（ONC-ATLs) 認証ヘルスIT製品リスト（CHPL） 26 相互運用性
- 27. 1-4. ドナルド・トランプ政権下のヘルスIT （1） 米国アクセス委員会「情報通信技術（ICT）基準およびガイドライ ン（リハビリテーション法第508条および電気通信法第255条に基 づくアクセシビリティ指針改正）」（2017年1月） 変更点： • ICT製品のタイプに代わり、機能によって規定を再構築する • W3CのWCAG 2.0を盛り込み、WebサイトだけでなくWeb以外の電子文書やソ フトウェアに、レベルAおよびレベルAAの成功基準と適合要件を適用する • 非公表に直面する電子コンテンツが遵守すべきタイプを特定する • OSが提供する特定のアクセシビリティ機能を要求する • ソフトウェアおよびOSが支援技術と相互運用性がなければならないことを明 確化する • 認知、言語、学習に障がいのある人々のためのアクセスに取組む • 国際基準（欧州委員会ICT基準）の要求事項と調和させる 27 UI/UX
- 30. 1-4. ドナルド・トランプ政権下のヘルスIT （4） 保健福祉省:「情報技術（IT）戦略計画2017-2020」（2017年3月） 戦略目標：ヘルスケアの強化 30 目標（大分類） 目標（小分類） 目標1：IT要員 （技術を可能にす る要員を獲得、配 置、維持する） 目標 1.1：能力および能力の要件を特定／定義し、人員配置を予 測してIT採用を効果的に計画する 目標 1.2：ITプロフェッショナルのための職員募集、人員配置、新 人研修プロセスを簡素化する 目標 1.3：HHSをIT人材が選択する企業としてブランド化する 目標 1.4：技術要員を開発、保持する 目標 1.5：非IT人材のためのIT教育とアウトリーチプログラムを拡 張する 目標2：サイバーセ キュリティとプライ バシー （重要なシステムと データを保護する） 目標 2.1：データと情報システムのセキュリティとプライバシーの 状態を改善する 目標 2.2：新たな脅威や脆弱性を効果的に予防し、モニタリング して、迅速に対応する 目標 2.3：リスクベースのアプローチを通してサイバーセキュリ ティ投資を優先する ICT戦略
- 31. 1-4. ドナルド・トランプ政権下のヘルスIT （5） 保健福祉省:「情報技術（IT）戦略計画2017-2020」（2017年3月） 戦略目標：ヘルスケアの強化 31 目標（大分類） 目標（小分類） 目標3：シェアードサー ビス （ビジネスシステムと サービスを共有するこ とによって、ミッション を達成する能力を最 適化する） 目標 3.1：エンタープライズフレームワークの開発／導入を通 して、シェアードサービスに対する共通の理解を確実にする 目標 3.2：エンタープライズフレームワークを通して、サービス 費用と品質のバランスを取りながら価値を最大化する 目標 3.3：より効率的で費用対効果のあるIT製品およびサービ スの準備のために、戦略的ソーシングまたはその他の調達手 段を推進する 目標4：相互運用性と ユーザビリティ （ユーザビリティ、相 互運用性、データ共 有と統合を促進する） 目標 4.1：HHS全体でデータの管理とガバナンスを改善する 目標 4.2：HHS全体で相互運用性のあるデータ交換を促進す る 目標 4.3：システムとデータのユーザビリティとアクセシビリティ の改善により、ユーザーのエンゲージメントを拡張する ICT戦略
- 32. 1-4. ドナルド・トランプ政権下のヘルスIT （6） 保健福祉省:「情報技術（IT）戦略計画2017-2020」（2017年3月） 戦略目標：ヘルスケアの強化 32 目標（大分類） 目標（小分類） 目標5：IT管理 （IT管理とガバナンス を成熟化して、IT投資 と調達の管理責任を 改善する） 目標 5.1：IT投資と調達を先導するための管理とガバナンスの プロセスを最新化して、新たな法令および政府全体にわたる 政策的要求事項を反映させる 目標 5.2：有効なプログラムとプロジェクトマネジメントを通して、 ITサービス提供を成熟化する 目標 5.3：報告プロセスの簡素化により、ミッション提供に一層 注力することを可能にする ICT戦略
- 33. 1-4. ドナルド・トランプ政権下のヘルスIT （7） ホワイトハウス行政管理予算局（OMB）：「アメリカ・ファースト ア メリカを再び偉大にするための予算案」（2017年3月） 保健福祉省（HHS）予算：690億米ドル（前年度比17.9％減） 国立衛生研究所（NIH）予算：259億米ドル（前年度比22.3％減） 食品医薬品局（FDA）予算に関する具体的数値の言及なし メディケア・メディケイド予算に関する具体的数値の言及なし ヘルスIT予算に関する具体的数値の言及なし 33 出典：White House Office of Management and Budget 「America First - A Budget Blueprint to Make America Great Again」 （2017年5月） 包括的
- 34. 1-4. ドナルド・トランプ政権下のヘルスIT （8） 保健福祉省・国家医療 IT 調整室（ONC） 「相互運用性基準評価フレームワーク提案」（2017年4月） フレームワークの目的：国全体の相互運用性に向けた進 捗の評価手法として、ヘルスITおよび基準の利用における 相互運用性基準導入の進捗を決定するため •目標1：ヘルスIT製品における相互運用性基準の導入 •目標2：特定の相互運用性のニーズを満たすためのエンド ユーザーによる標準の利用 フレームワーク導入の利点 •相互運用性アドバイザリー（ISA）の進展を告知する •ONCヘルスIT認証プログラムの更新を告知する •ステークホルダーの意思決定を告知する 34 相互運用性
- 35. 1-4. ドナルド・トランプ政権下のヘルスIT （9） 「相互運用性基準評価フレームワーク提案」（2017年4月） フレームワーク案の全体像 35 出典：Office of the National Coordinator for Health Information Technology「PROPOSED INTEROPERABILITY STANDARDS MEASUREMENT FRAMEWORK 」 （2017年4月） 相互運用性
- 37. 2. ヘルスITを取り巻くプライバシー対策 37 2-1. 医療分野における個人データの非識別化 2-2. HIPAAプライバシー規則と外部委託管理
- 38. 2-1. 医療分野における個人データの非識別化 (1) 保健福祉省・公民権室（OCR）「医療保険の携行性と責任に関す る法律（HIPAA）プライバシー規則に準拠した保護保健情報の非 識別化方法に関するガイドライン」（2012年11月） 非識別化された保護保健情報 ＝個人を識別しない保健情報で、その情報が個人を識別するた めに利用可能であると信じるに足る相当な基盤が無いもの 「専門家による決定（Expert Determination）」方式： 非識別化の方法として提供された情報から個人が特定されるリスクがとても 低いことを統計専門家が確認する 直接識別子を取り除く「セーフハーバー（Safe Harbor）」方式： 氏名、住所、日付、電話番号、FAX 番号、電子メールアドレス、社会保障番 号（SSN）、カルテ番号、健康保険受給者番号、口座番号、証明証番号、車 体番号、機器ID、WebのURL、IPアドレス、生体認証ID、顔写真、その他の固 有識別番号・特徴・コード 38
- 40. 2-1. 医療分野における個人データの非識別化 (3) 非識別化技術（例） ＊プライバシーを完全に保証できるレベルまでは至っていない 「摂動（Perturbation）」：データセットをランダム化することによ ってセンシティブなデータを見えないようにする、 「マルチパーティ計算方式」：データを秘密裏に分散させた上で 演算処理を行う暗号化手法 「差分プライバシー（Differential Privacy）」：計算処理上の負荷 とノイズのある結果を加えながらセキュアなことを証明する 「k-匿名化（k-anonymity）」：間接識別子（準識別子）がk個以 上存在するようにすることで個人が特定されるリスクを低減す る 40
- 41. 2-2. HIPAAプライバシー規則と外部委託管理 (1) 保健福祉省・公民権室（OCR） 「HIPAA／HITECH総括的規則」（2013年9月適用開始） 41 年月日 内容 2009年8月24日 HITECH法（Health Information Technology for Economic and Clinical Health Act of 2009） 暫定的最終規則（IFR：Interim Final Rule）（データ漏えい） 2009年10月7日 遺伝子情報差別禁止法（GINA：Genetic Information Nondiscrimination Act of 2008） 規則制定案告示（NPRM）（GINA規則） 2009年10月30日 HITECH法 暫定的最終規則（IFR）（執行） 2010年7月14日 HITECH法 規則制定案告示（NPRM：Notice of Proposed Rulemaking） （HITECH規則） 2013年1月25日 HIPAA総括規則（データ漏えい、執行、HITECH規則、GINA規則）公表 2013年3月26日 HIPAA総括規則（データ漏えい、執行、HITECH規則、GINA規則）施行 2013年9月23日 適用対象主体および事業提携者（BA：Business Associates）の遵守義務開始
- 42. 2-2. HIPAAプライバシー規則と外部委託管理 (2) 「HIPAA／HITECH総括的規則」のスコープ 漏えい発生時の通知基準の改正 電子健康記録（EHR）に含まれる情報に対する患者のアクセス 事業提携者（BA：Business Associates）および下請け事業者に対する規制 許諾のないマーケティングにおける保護対象保健情報（PHI）の利用／開示 の制限 許諾のない保護対象保健情報（PHI）の販売の禁止 データの研究利用 - 複合的、より一般的な許諾 患者が保険者とのデータ共有を制限する権利 プライバシーの取り扱いの通知を修正／再配布するための要件 契約査定のための遺伝子情報利用に対する制限の包含 民事制裁金（CMP：Civil Money Penalty）の執行／賦課および代理人行為 の民事制裁金負債における保健社会福祉省（HHS）長官の役割の明確化 42
- 44. 2-2. HIPAAプライバシー規則と外部委託管理 (4) 保健福祉省・公民権室（OCR） イリノイ州・小児消化器医療センター（CCDH）のHIPAA違反事案 （2017年4月公表） 事業提携契約書（BAA）を締結する ことなく、事業提携者（BA）に該当す る外部ベンダーに、保護対象保健情 報（PHI）を含む記録のファイルストレ ージ保存を委託していたことが、OCR のコンプライアンスレビューで発覚 民事制裁金31,000米ドルを支払い、 是正処置計画を実行することで合意 44 出典：Department of Health and Human Services「No Business Associate Agreement? $31K Mistake」 （2017年4月20日）
- 46. 3.ヘルスITを取り巻くサイバーセキュリティ対策 46 3-1. ヘルスITのサイバーセキュリティフレームワーク 3-2. ヘルスITのクラウドセキュリティ 3-3. ヘルスITのサイバーサプライチェーンリスク マネジメント（C-SCRM）
- 47. 3-1. ヘルスITのサイバーセキュリティフレームワーク （1） 国立標準技術研究所（NIST） 「HIPAAセキュリティ規則導入のための入門リソースガイド改 定第1版（NIST SP 800-66 Revision 1）」（2008年10月） 「HIPAAセキュリティ規則ツールキット」（2011年10月） 「連邦政府情報システムにおける推奨セキュリティ管理策改 定第4版（NIST SP 800-53 Revision 4）」（2013年4月） 「重要インフラのサイバーセキュリティを向上させるためのフ レームワーク 1.0版」（2014年2月） 保健福祉省・公民権局（OCR） 「クロスウォーク」（2016年2月） ～NISTサイバーセキュリティフレームワークとHIPAAセキュリ ティ規則をマッピングさせるツール 47
- 48. 3-1. ヘルスITのサイバーセキュリティフレームワーク（2） 医療情報管理システム学会（HIMSS） 「重要インフラのサイバーセキュリティを向上させるためのフレーム ワーク1.0版」に関する意見書（2016年2月） フレームワークプロファイル： 組織として、サイバーセキュリティリスク管理上の 目指す目標を達成するために必要な成果を示す 「目標のプロファイル」が具体的に定義されていない ⇒「現在のプロファイル」との間のギャップ分析を 可能にする定量指標／ツール類が必要 サイバーセキュリティ成熟度モデル： サイバーセキュリティ管理プログラムを継続的に向上 させるために医療分野の成熟度モデルの開発が必要 プライバシーと公民権の保護： プライバシー管理と情報セキュリティ管理の相互連携 ／効率化に向けた議論が必要 48 出典：Department of Health and Human Services「Federal Information Technology Acquisition Reform Act HHS Implementation Plan」（2016年2月）
- 49. 3-1. ヘルスITのサイバーセキュリティフレームワーク（3） 国土安全保障省（DHS） 「医療・公衆衛生セクター特別計画」（2016年5月） 包括的なリスクベースのアプローチ 一連の潜在的な脅威と危険の特定と準備 特定された重要資産、システム、ネットワーク の脆弱性の削減 重要インフラストラクチャに対する潜在的イン パクトの低減と、イベント・インシデント発生時 の機能の復元 原因に関わらず、緊急時の破壊に抵抗して 迅速に回復することを目的とした、変化する 状況への対応 49 出典：Department of Homeland Security 「Healthcare and Public Health Sector- Specific Plan」（2016年5月）
- 50. 3-1. ヘルスITのサイバーセキュリティフレームワーク（4） 保健福祉省・公民権室（OCR） 「ファクトシート：ランサムウェアとHIPAA」（2016年7月） HIPAA適用主体（例．医療機関、医療保険者）および事業提 携者（BA）向けのランサムウェア対策ガイドライン • ランサムウェアとは何か？ • HIPAA遵守は、適用主体や事業提携者が、ランサムウェアなどマルウェ ア感染を防ぐのに役立てることができるか？ • 適用主体または事業提供者は、どのようにして、コンピュータ―システム がランサムウェアに感染しているか否かを検知できるか？ • 適用主体または事業提供者は、コンピュータ―システムがランサムウェ アに感染していたら、何をすべきか？ • 適用主体または事業提供者のコンピュータ―システムがランサムウェア に感染したら、HIPAA違反か？ • ・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・・ 50
- 51. 3-1. ヘルスITのサイバーセキュリティフレームワーク（5） ホワイトハウス 「連邦ネットワークと重要インフラストラクチャのサイバー セキュリティ強化に関する大統領令」（2017年5月） NISTサイバーセキュリティフレームワークをベースとする サイバーセキュリティリスク評価において、ホワイトハウス 行政管理予算局（OMB）が主要な役割を果たす クラウドへの移行の促進 各省庁がサイバーセキュリティ計画を策定・報告する 51 出典：The White House「Presidential Executive Order on Strengthening the Cybersecurity of Federal Networks and Critical Infrastructure」 （2017年5月）
- 52. 3-1. ヘルスITのサイバーセキュリティフレームワーク（6） 保健福祉省・副長官付危機対策・対応担当室（ASPR） 「HHS Update #3: 医療組織に対する国際的なサイバー脅威 （再送）」（2017年5月） ランサムウェア攻撃被害に遭った時： FBI地方局サイバータスクフォースに イベントを報告し、支援を要請する サイバーインシデントをUS-CERT およびFBIインターネット犯罪苦情 センターに報告する さらなる分析と医療固有の兆候共有の ために、保健福祉省の医療サイバー セキュリティ通信統合センターと共有する 52 出典：ASPR「HHS Update #3: International Cyber Threat to Healthcare Organizations (Resend)」 （2017年5月）
- 55. 3-3. ヘルスITのサイバーサプライチェーン リスクマネジメント（C-SCRM）(1) 国立標準技術研究所（NIST）「連邦政府システムおよび組織の ためのサプライチェーンリスクマネジメント・プラクティス(NIST SP 800-161)」（2015年4月） サイバーサプライチェーンリスクマネジメント（C-SCRM）： •分散と相互接続を特徴とする情報技術（IT：Information Technology）／制御技術（OT：Operation Technology）製品お よびサービスのサプライチェーンに関連するリスクを特定、評 価、低減するプロセスであり、システムのライフサイクル全体（ 設計、改札、物流、導入、購買、維持、破棄など）をカバーして いる。 •サプライチェーンの脅威や脆弱性は、意図的もしくは非意図的 に、いつでもIT／OT製品またはサービスを危うくする可能性が ある。 55
- 56. 3-3. ヘルスITのサイバーサプライチェーン リスクマネジメント（C-SCRM）(2) 「連邦政府システムおよび組織のためのサプライチェーンリスク マネジメント・プラクティス(NIST SP 800-161)」（2015年4月） ICTサプライチェーンにおけるリスクの階層構造： 56 出典：NIST「NIST Special Publication 800-161:Supply Chain Risk Management Practices for Federal Information Systems and Organizations」（2015年4月）
- 57. 3-3. ヘルスITのサイバーサプライチェーン リスクマネジメント（C-SCRM）(3) 「連邦政府システムおよび組織のためのサプライチェーンリスク マネジメント・プラクティス(NIST SP 800-161)」（2015年4月） ICTサプライチェーンにおけるリスク管理のプロセス： 57 出典：NIST「NIST Special Publication 800-161:Supply Chain Risk Management Practices for Federal Information Systems and Organizations」（2015年4月）
- 58. 3-3. ヘルスITのサイバーサプライチェーン リスクマネジメント（C-SCRM）(4) NIST「重要インフラのサイバーセキュリティを向上させるための フレークワーク 1.1版草案」（2017年1月） サイバー・サプライチェーンに関わるステークホルダーの関係 • 【バイヤー】：組織から所与の製品／ サービスを消費する人間／組織 • 【サプライヤー】：組織の内部目的の ために利用する製品／サービス、 またはバイヤーに提供する製品／ サービスに統合する製品／サービス の供給者 • 【非IT／OTパートナー】：IT／OTを直接 提供しないが、組織のセキュリティに 影響を及ぼす製品/サービスプロバイダー 58 出典：NIST「Cybersecurity Framework Draft Version 1.1」（2017年1月）