下院健康小委員会、医療サイバーセキュリティ関連法案を審議

2026年9月15日、米国下院エネルギー・商業委員会の健康小委員会は、医療サイバーセキュリティの改善、メディケアの医療提供者への支払い制度改革、その他医療関連事項に関する法案について立法公聴会を開催しました。『メディケアの医療提供者への支払い制度改革と医療サイバーセキュリティ強化に関する法案の検討』と題されたこの公聴会では、医療サイバーセキュリティの改善を目指す2つの法案が議論されました。『農村部病院サイバーセキュリティ強化法』と『2026年医療サイバーセキュリティ・レジリエンス法』です。

医療分野のデータ侵害は近年、著しく増加しています。過去5年間、500人以上に影響を及ぼすデータ侵害が700件以上、米保健福祉省(HHS)の公民権局(OCR)に報告されており、2025年には新たな最多記録を更新し、現在OCRのデータ侵害ポータルには804件の大規模データ侵害が掲載されています。2026年8月30日時点で、496件の大規模データ侵害がOCRに報告されており、2026年も700件を超えるデータ侵害の年になる見通しです。今年これまでに、7,460万人以上の保護対象保健情報(PHI)が流出しています。昨年は1億4,050万人が大規模な医療データ侵害の影響を受けました。

データ侵害の増加は、主にハッキングやその他のITインシデントによるものです。今年報告された496件の大規模データ侵害のうち、426件がハッキングやその他のITインシデントによるものです。これは今年の全体件数の86%にあたり、今年侵害を受けた保護対象保健情報の個人数の97.8%を占めています。医療機関はHIPAA規則の遵守が義務付けられていますが、現在のペースでデータ侵害が発生している状況は、広範な違反か、あるいは規制自体の実効性の欠如のいずれかを示唆しています。

医療分野の情報漏えいは、米国民のプライバシーを侵害し、なりすましや詐欺のリスクにさらすだけではありません。ハッキング事件、特にランサムウェア攻撃は、医療提供者の診療能力に影響を及ぼす大規模な業務停止を引き起こします。サイバー攻撃はあまりにも頻繁に、予約のキャンセル、手術の延期、救急医療の遅延を招き、患者の転帰に悪影響を及ぼしています。

HIPAAセキュリティ規則の改定案が提示されており、医療サイバーセキュリティを改善するための数多くの新たなセキュリティ要件が盛り込まれています。しかし、この規則案は業界団体、医療システム、病院から厳しい批判を受けました。最終規則は少なくとも2027年7月まで延期されており、そもそも最終規則が発行されるかどうかについてもまだ決定されていません。仮に発行されたとしても、要件の実施は早くとも2028年初頭まで求められません。

より堅牢なサイバーセキュリティ対策の導入にはコストがかかり、これは特に農村部の医療提供者にとって深刻な問題です。多くの農村部医療提供者は、サイバーセキュリティ強化のために追加資金を投じる余裕がないまま、すでに大きな財政的課題に直面しています。サイバーセキュリティ改善に費やす1ドルは、患者ケアから失われる1ドルでもあります。サイバーセキュリティのリソースや人材が相対的に不足していることで、農村部やその他のリソースが限られた医療提供者はハッカーにとって格好の標的となっており、患者ケアを妨げるサイバー攻撃は、代替施設が数百マイル離れている場合もあるため、危険な医療サービスの遅延につながる可能性があります。

エリン・ホーチン下院議員(共和党・インディアナ州選出)とキム・シュライアー下院議員(民主党・ワシントン州選出)が共同で提案した超党派法案『農村部病院サイバーセキュリティ強化法』は、サイバーセキュリティ人材の育成とリソースの改善を通じて、農村部の医療提供者をサイバー脅威からより良く保護することを目的として提出されました。この法案には、農村部の医療提供者が既存スタッフを訓練できるよう、HHSに無償の教材提供を義務付けること、農村部の教育機関におけるサイバーセキュリティ教育の改善を目指した対象を絞った教育基準、農村部の医療IT人材を拡大するための人材育成戦略などが含まれています。

審議されているもう一つの主要な医療サイバーセキュリティ法案は、超党派の『2026年医療サイバーセキュリティ・レジリエンス法』です。この法案は上院保健・教育・労働・年金委員会(HELP委員会)委員長のビル・キャシディ上院議員(共和党・ルイジアナ州選出)が提出し、マーク・ワーナー上院議員(民主党・バージニア州選出)、マギー・ハッサン上院議員(民主党・ニューハンプシャー州選出)、ジョン・コーニン上院議員(共和党・テキサス州選出)が共同提案者となっています。この法案の目的は、患者の医療データをより良く保護すること、HHSとサイバーセキュリティ・インフラセキュリティ庁(CISA)の連携を改善すること、そして医療・公衆衛生分野全体のサイバーセキュリティ防御を強化することです。

公聴会では、医療・公衆衛生分野調整協議会(HSCC)サイバーセキュリティ作業部会のサイバーセキュリティ担当エグゼクティブディレクターであるグレッグ・ガルシア氏が、医療サイバーセキュリティの現状と審議中の2つの医療サイバーセキュリティ法案について証言しました。ガルシア氏は、米国の農村部およびリソースが限られた医療提供者がこの分野で最も脆弱な存在であり、有益な用途と敵対的な用途の両方を含む、進化するサイバー脅威や技術革新に対する備えができていないと警告しました。同氏は「政府プログラム、支援、資金提供と、市場ベースの相互支援やコミュニティ防衛とを組み合わせた、協調的かつ多面的な取り組み」を呼びかけました。

ガルシア氏はいくつかの提言を行いました。その中には、特に農村部や低リソースの医療提供者において切実に必要とされている、サイバーセキュリティに関する人材研修が含まれます。ガルシア氏は、農村部やリソースが限られた医療提供者が、安全性を確保する能力を欠く耐用年数超過の医療機器の交換など、サイバーセキュリティ面で必要なアップグレードを行えるよう、助成金を利用可能にすることが不可欠だと述べました。またガルシア氏は、HHS内部および分野横断でのサイバーセキュリティ調整の責任者として任命される担当者について、次官補代理級以上に指定し、その人物が政策やプログラムの意思決定に影響力を持てる権限を有するべきだと提言しました。

同氏は、提案されているHIPAAセキュリティ規則の改定にある義務的な対策のような、暗号化や多要素認証といった特定のセキュリティ技術を要求する規制の導入には反対の立場を示しました。というのも、リスクへの対応は、進化を続ける業界のサイバーセキュリティフレームワークを通じて行う方がはるかに効果的だからです。ガルシア氏は、提案されているHIPAAセキュリティ規則の改定は白紙に戻すか、撤回すべきだと提言しました。同氏によれば、この改定案は「医療分野において効果的なサイバーセキュリティ保護を実現することの複雑さについて十分な洞察を示しておらず、また、過去6年間にわたり業界と政府のパートナーが誠実かつ緊迫感を持って、集団的なサイバー防衛を構築するために積み重ねてきた多大な取り組みを認めていない」とのことです。

ガルシア氏はまた、HSCCが重要インフラのサイバーセキュリティに特化して取り組む医療分野横断の主要な諮問協議会であることから、サイバーセキュリティ政策の決定にHSCCを関与させ、脅威情報の共有やインシデント対応に関する勧告にも組み込むべきだと要請しました。