米国連邦政府のゼロトラスト推進政策が医療機器に及ぼす影響：海外医療技術トレンド（86）（3/3 ページ）

本連載第65回や第82回で、米国保健医療行政機関のDX（デジタルトランスフォーメーション）の取り組みを取り上げたが、連邦政府レベル全体で、ゼロトラストモデルの実装に対する関心が高まっている。

[笹原英司，MONOist]

FDAの次世代DX基盤を支えるゼロトラストモデル

　本連載第65回や第82回で取り上げた、米国保健医療行政機関のDXの中でも、ゼロトラストアーキテクチャの概念が広がりつつある。

　例えば、2022年3月30日にFDA傘下のデジタルトランスフォーメーション室（ODT）が公表した「モダナイゼーション・イン・アクション2022」（関連情報）では、2021年5月12日に米国大統領行政府が発出した「国家サイバーセキュリティに関する大統領令」（関連情報）を受けて、ゼロトラストモデルや、セキュアなクラウドコンピューティング、多要素認証、暗号化、脅威検知、脆弱性管理およびその他のディフェンス機能の導入を通じて、セキュリティおよびサイバーディフェンスをモダナイズしながら、進化するサイバー脅威の状況に取り組むとしている。

　FDAは、2019年9月17日に公表した「技術モダナイゼーション行動計画（TMAP）」（関連情報）の「技術インフラストラクチャ」における重要領域として、サイバーセキュリティを位置付けており、2022年3月に公表した「モダナイゼーション・イン・アクション2022」の中で、最も優先度の高いテーマとして、ゼロトラストモデルの導入を掲げている。

　また、2022年3月28日に公表された2023会計年度FDA予算要求書（関連情報、PDF）において、傘下の医薬品評価研究センター（CDER）が、ITロードマップにおける優先事項として、以下の4点を掲げている。

• ワークフロー管理の拡張
• データおよび分析ポートフォリオの優先順位付け
• 財務および管理機能のモダナイゼーション
• クラウドインフラストラクチャへの移行

　これらのうち「クラウドインフラストラクチャへの移行」の中で、CDERは、DevSecOps（開発、セキュリティ、運用）モデルを通じたアプリケーション開発／展開のIT自動化や、ゼロトラストアーキテクチャ原則の漸進的な導入を通じたセキュリティポスチャーの強化を図ってきたとしている。そして、クラウドインフラストラクチャ戦略を、セキュアなFDA GovCloud環境上で、クラウドベースのホスティングや運用を優先して促進するFDAの「Cloud Forward」イニシアチブと協調させることを表明している。

NISTのゼロトラスト導入支援ガイドライン策定作業が本格化

　他方、国立標準技術研究所（NIST）は、2020年8月11日、「SP 800-207 ゼロトラストアーキテクチャ」（関連情報）を公表している。NISTは、「ゼロトラスト」について、静的なネットワークベースの境界防御からリソースに焦点を当てた防御に移行する、進化した一連のセキュリティパラダイムを指すとしている。また、“ゼロトラストアーキテクチャ（ZTA）”について、ゼロトラストの概念を利用し、産業や企業のインフラストラクチャとワークフローを計画するものであるとしている。

　SP 800-207は、BYOD（Bring Your Own Device）環境の存在を、ゼロトラストの前提条件としている。本連載第72回で、NIST傘下の国家サイバーセキュリティ・センター・オブ・エクセレンス（NCCoE）が2021年3月18日に公表した「NIST SP 1800-22 モバイルデバイスセキュリティ：個人所有デバイスの業務利用（BYOD）」草案（関連情報）を取り上げた。そこでは、NISTサイバーセキュリティフレームワーク1.1版（関連情報）と、NISTプライバシーフレームワーク1.0版（関連情報）を組み合わせたリスク評価手法を採用し、機密性（Confidentiality）、完全性（Integrity）または可用性（Availability）の損失に起因したサイバーセキュリティインシデントに関連するサイバーセキュリティリスクと、データ処理に起因したプライバシーインシデントに関連するプライバシーリスクを挙げた上で、BYOD環境を利用する場合、セキュリティ管理策とプライバシー管理策を連携させる必要があるとしている。

　日本の厚生労働省は、2022年3月31日に公表した「医療情報システムの安全管理に関するガイドライン第5.2版」（関連情報）の「6.9. 情報及び情報機器の持ち出しについて」の中で、安全に管理されている環境下でのBYOD利用について具体的に追記したが、セキュリティ管理策とプライバシー管理策の連携までは踏み込んでいない。在宅診療や地域包括ケアシステム、医療テレワークの拡大とともに、BYOD利用を前提とした医療機器へのニーズが広がる中、サイバーセキュリティとプライバシーが重なる部分（例：患者情報のデータセキュリティ）のリスク評価／低減策が重要になっている。

　またNCCoEは、ゼロトラスト設計に関わる複雑性を取り除くためのガイドラインやユースケース、ベストプラクティスを提供することを目的として、2020年3月17日に「ゼロトラストアーキテクチャの展開：プロジェクト説明」草案（関連情報）、2022年6月3日に「SP 1800-35A ゼロトラストアーキテクチャの展開Vol A：エグゼクティブサマリー」草案（関連情報）、同年7月7日に「SP 1800-35B ゼロトラストアーキテクチャの展開Vol B：アプローチ、アーキテクチャ、セキュリティの特徴」草案（関連情報）を公表している。

臨床現場発ゼロトラストが医療機器の製品ライフサイクルに及ぼす影響

　このような動きに合わせて、主要クラウドサービスプロバイダーも、「AWSのゼロトラスト」（関連情報）、「BeyondCorp」（関連情報）、「Azureにおけるゼロトラストセキュリティ（関連情報）など、ゼロトラスト関連リソースを拡充している他、CASB（クラウド・アクセス・セキュリティ・ブローカー）やSASE（セキュア・アクセス・サービス・エッジ）などを介したゼロトラスト関連セキュリティソリューション投入も進んでいる。

　加えて臨床医療の現場におけるゼロトラストモデルの導入／実装については、医療情報管理システム学会（HIMSS）など、米国の医療IT関連カンファレンスにおける事例発表が活発化している。ゼロトラストは、患者・家族や医療機関、医療機器メーカー、保健医療当局などを結ぶマルチステークホルダー型エコシステムのセキュアな共通基盤としての役割を担うことが期待される。

　米国の主要医療機器メーカーやデジタルヘルス関連企業も、IoMT（Internet of Medical Things）セキュリティの観点から、ゼロトラスト環境への対応作業を本格化しており、医療機器設計フェーズにおける「セキュリティ・バイ・デザイン」「プライバシー・バイ・デザイン」「クオリティ・バイ・デザイン」の役割もますます重要になっている。

筆者プロフィール

笹原英司（ささはら えいじ）（NPO法人ヘルスケアクラウド研究会・理事）

宮崎県出身。千葉大学大学院医学薬学府博士課程修了（医薬学博士）。デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク／コンプライアンス関連調査研究／コンサルティング実績を有し、クラウドセキュリティアライアンス、在日米国商工会議所、グロバルヘルスイニシャチブ（GHI）等でビッグデータのセキュリティに関する啓発活動を行っている。

Twitter：https://twitter.com/esasahara

LinkedIn：https://www.linkedin.com/in/esasahara

Facebook：https://www.facebook.com/esasahara