「クラウド」は安全って本当？

クラウド型電子カルテの導入にあたって、「クラウドは安全・安心なのか？」という疑問をお持ちの方は少なくありません。

電子カルテは患者の個人情報等を含んだデータを扱っているため、万が一のことが起こってはいけませんから、当然のことですよね。

そんな不安を解決するために、ここでは、クラウド型電子カルテがどのようにカルテデータを保存・管理し、セキュリティを守っているのかをわかりやすく解説していきます。

なお、この記事では「クラウド」や「サーバー」といった用語が頻出します。「クラウド」の基本的な仕組みについては、下記よりご確認できます。

参考：【図解】クラウド型電子カルテの「クラウド」の意味は？ 仕組みから解説

クラウド型電子カルテがデータを守る仕組み

「クラウド型」の電子カルテでは、入力したデータを、サービス提供元の企業が管理するサーバーに送り、そこで保存します。

カルテのデータはサーバーに送られる際、外部から見ても判読できないように加工されます（この工程を「暗号化」といいます）。

サーバーに保存・管理されるのは、暗号化されたデータです。このデータは外部からアクセスできないよう、サービス事業者やサーバーの管理者によって厳重に守られています。

また、データだけでなく通信自体も暗号化され、外部から盗聴や改ざんされにくくなっています。

ハッキングされてデータを盗まれる心配は？

クラウドサービスのセキュリティについて、漠然と「インターネットを使うと、ハッキングされて危ないのでは？」といった不安を覚える方もいるかもしれません。

しかし、一般的なクラウド型電子カルテではサービス事業者やサーバーの管理者によって、不正侵入検知システム（IDS）やファイアウォールといったセキュリティが設けられています。

不正侵入検知システム（IDS）はネットワークやサーバーを監視するシステムで、このシステムが第三者が侵入を試みていないかを常にチェックしています。また、もし不正なアクセスが検出された場合には、管理者にその旨が通知されます。

ファイアウォールは「防火壁」という名前の通り、自身のパソコンからインターネットにつなぐ際や、インターネットとサーバーの間などに設けられ、不正なアクセスを防ぐ壁の役割を果たします。許可していないアクセスがあった場合、そのアクセスを遮断することでデータを守るのです。

これらのセキュリティシステムによって、カルテデータは厳重に保管されています。そのため、第三者が不正にアクセスしてデータを盗み出すのは非常に困難です。

▶︎【無料】CLIUS「図解あり　一番やさしい電子カルテの選びかたブック」をダウンロードする

誰かにデータを覗き見られる心配は？

クラウド型の電子カルテでは、基本的に誰かにデータを盗み見られるという心配はありません。

上述の通り、サーバーに保存されているカルテデータは送られてきた段階で暗号化されています。このカルテデータを再び電子カルテ上で読めるデータに戻すには、「暗号化（復元）キー」と呼ばれる“鍵”が必要となります。

基本的にこの“鍵”は、クラウドサービスでのあなたのパスワードをベースに作られています。

“鍵”自体も非常に複雑な仕組みとなっており、万が一、サーバーに保存されているデータを第三者が得たとしても、“鍵”がなければその中にあるデータは判読できません。

もし“鍵”がない状態で暗号化されたデータを元に戻そうと、ダイヤル錠の番号を総当りするようにパスワードの解除を試みても、天文学的な試行回数が必要です。

さらに、多くの場合、何回かパスワードの入力に失敗するとロックがかかったり、管理者へ通知がいくよう設定されています。

そのため、たとえサーバーに保存されているカルテデータを第三者が不正に入手したとしても、その中に含まれる情報を覗き見ることは事実上不可能です。

災害などにあったらどうなる？

カルテは、医師法第24条で5年間の保存が義務付けられています。（参考：厚生労働省「医師法」昭和23年7月）

また電子カルテは、データを保存すべき期間中は復元可能な状態で保存するよう、厚生労働省が定めています。（参考：厚生労働省「医療情報システムの安全管理に関するガイドライン 第5版」平成29年5月 ）

たとえば紙カルテやオンプレ型電子カルテでは、医院が災害にあったり院内にあるサーバーが壊れてしまった場合、バックアップを取っていなければ、カルテデータを復旧させることは困難です。

一方のクラウド型電子カルテでは、たとえ災害が医院を襲ったとしても、サーバーは別の場所に置かれているため、カルテデータは損害を受けません。

また、実際のサーバーが置かれているデータセンターは災害に遭っても大丈夫なよう、非常に堅牢な作りをしています。

クラウドサービス事業者は、複数箇所にデータセンターを設置してバックアップを取るなど、保存・管理されているデータが破損・消失しないよう、入念な対策を行っています。

これらの災害復旧（DR）対策により、クラウド型電子カルテは物理的な災害にも強いといえるのです。

安全なクラウド型電子カルテの見極め方

ここまでクラウド型電子カルテのセキュリティの仕組みを、簡単にご紹介しました。

基本的にクラウド型電子カルテは上述のセキュリティシステムを備えていれば安全といえますが、こうした仕組みは国として義務付けられているわけではないのが実情です。

それでは、安全なクラウド型電子カルテを選ぶにはどういった点に注目すればいいのでしょうか？

セキュリティを重視してクラウド型電子カルテを選ぶ際にチェックしておきたいポイントを押さえておきましょう。

「3省3ガイドライン」に準拠しているか？

「3省3ガイドライン」とは、診療所やクラウドサービス事業者が医療情報を扱うにあたって遵守すべき事柄を定めた、厚生労働省、総務省、経済産業省の3省が発行したガイドライン（方針）の総称です。

参考：厚生労働省「医療情報システムの安全管理に関するガイドライン　第5版」(平成29年5月)

参考：総務省「クラウドサービス事業者が医療情報を取り扱う際の安全管理に関するガイドライン　第１版」(平成30年7月)

参考：経済産業省「医療情報を受託管理する情報処理事業者における安全管理ガイドライン　第２版」（平成24年10月）

このガイドラインでは「実施すべき安全管理策」や「推奨される安全管理策」が掲げられ、

• パスワードを設定するときのルール
• ウイルスやマルウェア等への対策
• 守秘義務違反者への対応措置

などさまざまな観点から、クラウド型電子カルテを安全に運用する上での方針が定められています。

そのため、クラウド型電子カルテを扱う医療機関やクラウドサービス事業者は、このガイドラインに則って運用する必要があります。

クラウド型電子カルテの導入を検討する際には、そのサービスが「3省3ガイドライン」に準拠しているのかを確認してみましょう。

個人情報に関する規格に準拠しているか？

いうまでもなく、電子カルテで扱う情報は患者の個人情報であり、厳重に管理をしなければいけません。

医療情報以外を含めた“情報の取り扱い方を定めた国際的な枠組み”が「ISMS認証」です。「ISMS」とは「情報セキュリティマネジメントシステム」を意味しています。

第三者機関によって情報の取り扱いに関する国際規格「ISO27001」を満たしていると認められた事業者は、「ISMS認証」を取得し、個人情報の適切な保護・管理に努めます。

また、個人情報を適切に保護・管理するために定められた日本産業規格としては、「JIS Q 15001」（通称：プライバシーマーク）があります。

直接的な医療情報に関わるものではなくとも、こうした認証の有無は安全に情報を扱う上でひとつの指標になるので、各電子カルテメーカーがどのような規格を満たしているのか、確認してみるといいでしょう。

クラウド型電子カルテの安全な運用のために必要なこと

クラウド型電子カルテの安全性について説明をしてきましたが、それではクラウド型電子カルテは絶対に安全なのでしょうか？

実はどんなに強固なセキュリティが構築されていたとしても、情報漏えいリスクは完全にはなくなりません。クラウド型電子カルテを導入してから、気をつけるべきポイントを見ていきます。

情報管理意識を持つ

先述の通り、クラウド型電子カルテでは、ネットワークやサーバーに対する不正なアクセスを防御する仕組みを設けています。

しかし、悪意のある第三者が正規のIDとパスワードを入手した場合、利用中のクラウド型電子カルテサービスに侵入されデータを取得されるかもしれません。

そのためにも医師だけでなく、クリニックスタッフや関係者全員がクラウドサービスのIDとパスワードを適切に管理する必要があります。

• IDとパスワードを書き留めたメモをパソコンのディスプレイに貼り付けておく
• インターネットなど、第三者がアクセスできる場所にIDとパスワードを保存しておく

上記の例のように、誰もがわかる場所にIDとパスワードを置かないことが大切です。個人情報を扱っているということを心に留め、情報管理意識を持つようにしてください。

運用ガイドラインの策定

個人情報の取り扱いやサービスの利用に関するルールを文章にまとめてスタッフ間で共有することで、情報漏えいのリスクは大きく減らせます。

情報管理意識を徹底するために、自院でクラウドサービスや個人情報の運用管理規定（ガイドライン）を定めておくと、より安全な情報管理ができるでしょう。

▶︎【無料】CLIUS「図解あり　一番やさしい電子カルテの選びかたブック」をダウンロードする