医療ソフトウェアにおいて、コンプライアンスとサイバーセキュリティは単なる事務手続きではなく、製品そのものを構成する重要な機能です。IBMの「2026年データ侵害のコストに関するレポート」によると、医療業界は13年連続で、全業界の中で データ侵害1件あたりの平均コストが最も高く、1件あたり664万ドルに達しています。一方、AIを悪用した攻撃により、全業界におけるデータ侵害1件あたりのコストは約100万ドル増加しました。
AuditSecurity
2024年に発生したChange Healthcareへのランサムウェア攻撃は、医療業界の歴史上最大のデータ侵害として記録されています。約1億9,270万人分のデータが漏えいしました。この攻撃の発端は、多要素認証が導入されていなかった単一のポータルでした。
本ガイドでは、適用される規制、安全でコンプライアンスに準拠したソフトウェアを構築するための段階的な手順、そしてこの取り組みを支援する優れた開発企業を紹介します。
規制の全体像
どの規則が適用されるかは、製品が扱うデータの種類、顧客の属性、ユーザーの所在地によって決まります。ほとんどの医療向け製品は、複数の規制枠組みに同時に対応する必要があります。
- HIPAAプライバシー規則およびセキュリティ規則（米国） 対象事業体と、PHI（保護対象保健情報）を保管・処理するベンダーを含むそのビジネスアソシエイトに適用されます。リスク分析、アクセス制御、監査ログ、暗号化、そして署名済みのビジネスアソシエイト契約（BAA）が求められます。2025年1月に提案されたセキュリティ規則の大幅改正は、現在2027年7月の施行が目標とされています。
- HIPAA違反通知規則およびHITECH法（米国） 侵害が発生した場合、原則として発見から60日以内に患者とHHS（米保健福祉省）へ通知することを義務付けています。
- FTC健康情報侵害通知規則（米国） HIPAAの対象外となる健康アプリやウェアラブル端末を対象とし、無許可のデータ共有も含みます。2024年の改正は引き続き有効です。2026年9月には、FTCが2021年の旧方針声明を重複を理由に撤回しました。
- FDAのサイバーセキュリティ要件（米国） 医療機器としてのソフトウェア（SaMD）やコネクテッドデバイスには、脅威モデリング、ソフトウェア部品表（SBOM）、脆弱性管理計画が必要です。
- 州の健康プライバシー法（米国） ワシントン州のMy Health My Data Actなどは、消費者の健康データについて同意の取得を求め、その販売を制限しています。
- GDPRおよび英国GDPR 健康データは特別カテゴリに該当し、明示的な法的根拠とDPIA（データ保護影響評価）が必要です。また、監督当局への72時間以内の侵害通知も義務付けられています。
- 欧州医療データスペース（EHDS）とAI法 EHRシステムに関するEHDSのセキュリティおよび相互運用性の規則は、2029年3月から適用されます。2026年5月の暫定合意では、医療機器に搭載されるAIに対するAI法上の義務が2028年8月まで延期される見通しです。
審議中のHIPAAセキュリティ規則の更新案は、取り締まりの方向性を示しています。多要素認証（MFA）、暗号化、資産台帳、年次監査が必須となる見込みです。これらを今のうちに組み込むほうが、後から追加するよりもコストを抑えられます。
CompareSecurity
コンプライアンスに準拠した安全な医療ソフトウェアを構築する手順
ステップ1：データと規制の適用範囲を把握する
まずはデータインベントリを作成します。どのような種類の健康データを収集しているか、そのデータがどこを流れるか、誰がアクセスできるか、どのサードパーティが受け取るかを洗い出します。次に、前述の規制枠組みに沿って各データ種別を分類します。
この分類によって、BAA、DPIA、FDAの承認のいずれが必要か、あるいはそのすべてが必要かが決まります。分類結果は必ず文書化してください。監査人や病院のセキュリティチームから提示を求められます。
ステップ2：リスク分析を実施し、プライバシーを考慮して設計する
文書化されたリスクアセスメントは、HIPAAコンプライアンスの土台です。OCR（米保健福祉省公民権局）は、セキュリティ規則違反の中でも、このアセスメントの欠如を最も頻繁に指摘しています。あわせて、PHIを扱う機能ごとに脅威モデリングを実施してください。各機能に必要なデータだけを収集し、分析やテストには匿名化したデータを使用します。本番環境のPHIを開発環境にコピーすることは、決してしてはいけません。
CompareSecurity
ステップ3：暗号化を備えた安全なアーキテクチャを構築する
PHIの保管場所を一般公開サービスから切り離すようにネットワークを分割し、「ゼロトラスト」の原則を導入します。クラウドサービスは、プロバイダーのBAAの対象となるものを選びましょう。臨床ソフトウェアのダウンタイムは患者の安全に関わるリスクとなるため、高可用性も計画に入れてください。
PHIは保存時（AES-256）も転送時（TLS 1.2以上）も暗号化し、鍵は定期的なローテーションを設定したマネージド鍵サービスで保管します。IBMの2026年のレポートでは、 データ侵害を受けた組織の53%が、機密データを暗号化していなかったことが分かりました。
ステップ4：アクセスを厳格に制限し、すべての操作を記録する
PHIにアクセスするすべてのユーザーに多要素認証を必須とし、「最小権限」の原則に基づくロールベースのアクセス制御を実装します。セッションのタイムアウトを設定し、緊急時に臨床スタッフがアクセスするための「ブレークグラス」手順も文書化しておきます。誰がどの診療記録を閲覧、変更、エクスポートしたかを示す監査ログを保持し、一括エクスポートなどの異常なパターンにはアラートを出してください。
ステップ5：開発ライフサイクルと連携部分を保護する
コーディング標準はOWASPのガイダンスに基づいて策定し、CI/CDパイプラインで静的・動的の セキュリティテストを実行して、オープンソースの依存関係をスキャンします。独立した第三者によるペネトレーションテストは、リリース前と、少なくとも年1回実施してください。連携部分では、OAuth 2.0とSMART on FHIRのスコープを用いたHL7 FHIRを使用し、PHIを扱うすべてのベンダーとBAAを締結します。トラッキングピクセルや分析用SDKも監査対象に含めてください。
CompareSecurity
ステップ6：インシデントに備え、コンプライアンスを継続的に維持する
ランサムウェアと通知期限を網羅したインシデント対応計画を作成し、訓練を重ねます。テスト済みで改ざんできないバックアップも維持してください。通知期限は発見時点から進み始めます。そのため、誰がインシデントを宣言し、誰が規制当局に連絡するかをあらかじめ決めておく必要があります。リリース後も、コンプライアンスは継続的な業務として扱います。具体的には、年次のリスクレビュー、スタッフ教育、脆弱性管理、SOC 2 Type IIやHITRUSTといった第三者監査です。
6つのステップに共通するのはタイミングです。これらの対策を、リリース前のチェックリストではなく日常的なエンジニアリング業務として扱うチームは、多くの医療プロジェクトを頓挫させる高コストな手戻りを避けられます。医療ITの専門家は次のように説明しています。
「最も高くつくコンプライアンスの失敗は、HIPAAやGDPRをリリース直前に済ませるチェックリストとして扱うことです。その時点ではアーキテクチャが固まっており、PHIがログやテスト用データベースに漏れ出し、修正のたびに手戻りが発生します。当社のチームは、医療プロジェクトを始める際にまずデータフロー図とリスク分析を作成します。暗号化、MFA、監査ログは、すべてのユーザーストーリーの受け入れ基準として扱います。初日からセキュリティを設計に組み込む企業は、後から取って付ける企業よりもコストが低く、より速く出荷できます」と、IT Craft FirmのヘルスケアIT専門家兼コンサルタントであるRoman Provotorov氏は述べています。
CompareSecurity
医療のコンプライアンスとセキュリティに強いカスタムソフトウェア開発企業
以下の5社（ScienceSoft、IT Craft、Taction Software、HTD Health、Keyhole Software）は、医療分野の知見に加え、文書化されたセキュリティ対策、関連する認証、医療プロジェクトの納品実績を備えています。各社の比較は次のとおりです。
1. ScienceSoft
1989年に創業したScienceSoftは、2005年から医療ITに取り組んでおり、150件を超える医療プロジェクトを完了したとしています。ISO 13485、ISO 9001、ISO 27001、ISO 27701の認証を取得しています。社内の規制コンサルタントが、HIPAA、GDPR、FDA、MDRに関する業務を支援します。契約の開始時点からBAAを締結します。
最適な用途：FDAの承認やCEマーキングの取得が必要なSaMDや医療機器向けソフトウェア。
主な強み：ISO 13485、ISO 27001、ISO 27701を併せ持つ希少な認証体制、HIPAA・FDA・MDRに対応する社内規制コンサルタント、20年にわたる医療IT開発の実績。
2. IT Craft
IT Craftは2001年からカスタムソフトウェアを開発しており、20年以上の医療分野の経験があります。330人以上の専門家が、EHR/EMRシステム、遠隔医療や遠隔患者モニタリングのプラットフォーム、患者ポータル、医療請求・RCMソフトウェア、LIMS、医療機器向けソフトウェアを開発しています。
チームはHIPAA、GDPR、HL7 FHIR、FDA、MDR、IEC 62304の要件に沿って開発し、EpicやDICOMなどのEHRシステムとも連携します。最近の実績には、法医学ワークフロー向けのHIPAA準拠SaaSプラットフォームや、請求監査スタートアップ向けのHIPAA準拠インフラがあります。
最適な用途：Windows／デスクトップアプリケーション開発、医療系スタートアップ、AI統合によるレガシーシステムの刷新。MVPからエンタープライズ規模まで1社で任せたい診療所、病院、医療機器メーカーに適しています。医療ソフトウェアの監査、セキュリティ修正、24時間365日のサポートも含まれます。
LearnAI Tools
主な強み：HIPAA、GDPR、HL7 FHIR、FDA、IEC 62304を幅広くカバーするコンプライアンス対応、EHRやEpicとの連携における豊富な実績、診断や臨床ワークフロー自動化向けのAIソリューション。
3. Taction Software
Taction Softwareは2013年から医療分野に特化しており、250件以上の医療・EHR統合を完了したとしています。Epic、Oracle Health、HL7 v2、FHIR R4、X12 EDI、Mirth Connectに対応し、ISO 27001とISO 9001の認証に加え、CMMIレベル3の評価も取得しています。開発開始前にBAAを締結します。
最適な用途：本番環境の処理量に耐える統合を必要とする病院、収益サイクル管理企業、検査機関、保険者。
主な強み：2013年から続く医療特化の姿勢、Epic、Oracle Health、HL7、FHIR、X12での実践経験、コードを1行書く前にBAAを締結する体制。
4. HTD Health
HTD Healthは医療に特化した戦略・テクノロジーコンサルティング会社で、ニューヨーク、ポーランド、アルゼンチンに拠点を置いています。戦略アドバイザリー、人間中心のプロダクトデザイン、エンジニアリングを組み合わせ、主要なすべてのEMRシステム向けにFHIRアプリケーションを構築しています。ISO 27001、ISO 27018、ISO 13485の認証を取得しており、過去の顧客にはボストン小児病院や1upHealthがあります。
最適な用途：プロダクト戦略、UX、コンプライアンス対応のエンジニアリングを1つのチームに任せたいデジタルヘルス企業。
主な強み：戦略、UXデザイン、エンジニアリングを1社で提供、FHIRとEMR統合の高い専門性、ISO 27001、ISO 27018、ISO 13485の認証。
5. Keyhole Software
Keyhole Softwareは2008年からカスタム開発を手がけています。コンサルタントは全員が米国在住の自社社員で、平均経験年数は17年を超えます。Northwell Healthをはじめとする医療提供者など250社以上にサービスを提供しており、ミッションクリティカルなJava、.NET、クラウドシステムの刷新を専門としています。
最適な用途：レガシーな医療プラットフォームの刷新に、国内在住のシニアエンジニアを求める組織。
主な強み：米国在住のシニアコンサルタントが100%、JavaおよびNETにおけるレガシー刷新の豊富な経験、リピート顧客からの案件が大半を占める高い顧客維持率。
まとめ
医療ソフトウェアのパートナーを選ぶには、開発コストや技術力を比べるだけでは不十分です。適切な企業は、どの規制が適用されるかを理解し、必要な契約を締結し、 セキュリティ対策を文書化したうえで、アクセス制御、暗号化、監査ログ、インシデント対応を最初から製品に組み込みます。
医療機関は契約を結ぶ前に、認証を確認し、関連するプロジェクトの経験を精査し、リリース後のコンプライアンスに誰が責任を持つのかを確認すべきです。有能な開発パートナーはこうした取り組みを支援できますが、患者の データを守る責任は、ソフトウェアの開発と運用に関わるすべての人にあります。
（写真：Thirdman）
翻訳元: https://hackread.com/compliance-cybersecurity-healthcare-software-development/
