5th/Jun/2010
第２２回 IHEワークショップin東京「ＩＨＥに期待すること」～医療情報化政策におけるIHEの位置づけ～中 安一 幸厚生労働省政策統括官付社会保障担当参事官室（併）厚生労働省大臣官房統計情報部企画課情報企画室（併）内閣官房情報通信技術（ＩＴ）担当室（併）内閣官房情報セキュリティセンター（兼）東北大学大学院医学系研究科客員准教授
秋田大学医学部附属病院医療情報部非常勤講師
日本IHE協会RFP委員長
NPOデジタルフォレンジック研究会医療分科会主査

「どこでもMY病院」と聞いて。

Copyright © 2010 By Cazzyuki Nakayasu , MHLW

何が必要
1. とりあえず、銭2. 全医療機関など無理という、ほどよい諦め
3. 望んだ人には、というOpt inの制度づくり
4. 医療情報の入力源、入力するモチベーション
5. 維持経費が莫大でない安全なネットワーク
6. 医療分野で使える「ID」
7. 伝送しても失われない情報の可用性
8. なんかあったときの責任の取り決め
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

1～5

２，３，４はこれから考える、５は作った。１は、ない。
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

何が必要
1. とりあえず、銭2. 全医療機関など無理という、ほどよい諦め
3. 望んだ人には、というOpt inの制度づくり
4. 医療情報の入力源、入力するモチベーション
5. 維持経費が莫大でない安全なネットワーク
6. 医療分野で使える「ID」
7. 伝送しても失われない情報の可用性
8. なんかあったときの責任の取り決め
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

６．医療分野で使える「Global ID」• 病名、手技・処置、薬剤、材料、検査項目、すべてコードがないと困る• メッセージの伝送先で同じコードテーブルを使っていないと困る• 「患者」は？「医療機関」は？「保険者」は？
• 機関コードは、とりあえず。
– ない場合は電話番号で代用（特定健診ルール）• 患者は？
Copyright © 2010 By Cazzyuki Nakayasu , MHLWHL7 Ver.3 RIM (Reference Information Model)

Copyright © 2010 By Cazzyuki Nakayasu , MHLWHL7 Ver.3 RIM (Reference Information Model)

Copyright © 2010 By Cazzyuki Nakayasu , MHLWRIMから実世界へ
EntityRole

Participation

安藤 裕
Person医師
Practitioner

実施者
Performer

Act
診察
Observation

中安一幸
Person

患者
Patient

被検者
Subject

６Ｗ１Ｈ 【ろくだぶりゅういちえいち】• who（誰が）whom（誰に）what（何を）when（いつ）where（どこで）why（なぜ）how（どのように）• 他人に明瞭に情報を伝えるための要目• ヒトもモノもアクションも、objectとして扱う「考え方モデル」• 「シナリオ」が決まっていないと意味がない• 「大抵の場合に通用するシナリオ」を考えるのがIHE
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

臨床研究などでは

４０％？？
５０％
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

領域横断的にも個人を識別するための識別子

一定領域ごとに個人を識別するための識別子

ＩＤ－１
マスタＩＤ

ＩＤ－２
ＩＤ－３

可視化して用いるかどうか
どの領域で用いるか意図しない領域で、名寄せに用いられないためにどう保護するか等の検討が必要

ＩＤ－１

氏名

住所
ＩＤ－２

氏名
住所
生年月日
Etc.
生年月日

ＩＤ－３

•保護法制
•セキュリティ技術

氏名
住所
生年月日
Etc.

個人識別のための一般的な情報

氏名
住所
生年月日
Etc.

Copyright © 2010 By Cazzyuki Nakayasu , MHLW

Etc.

社会保障番号という議論
メディケアの受給者証の券面にはＳＳＮがプリントされてるが、なりすましの危険性があるからやめたほうがいいのでは。

そんなことをいうと利用者が不安がる。
計画に３年かかり、実行に８年以上かかる。
コストも５億ドルかかるし。

メディケア庁

社会保障庁

http://www.nytimes.com/2008/06/22/washington/22medicare.ht
ml?_r=1&scp=1&sq=medicare+ID+card&st=nyt&oref=slogin
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

ところ違えば

http://www.nrls.npsa.nhs.uk/resources/?entryid45=61913
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

番号って・・・

00-000-0000
JOHN DOEJohn Doe•••••

本来は年金等の社会保障を享受する際に国民一人一人を識別するために付与された番号
戸籍制度が確立されてない米国においては個人を識別する唯一の手段
一度取得すれば、苗字や住所が変わってもSSNは生涯不変
就職や各種ローンの申込み、不動産契約や運転免許の取得等々、様々な場面で提示が必要
カードは自宅に大事にしまっておく•••••

この番号は大丈夫なのか
通常はこの番号を用いず、ＩＣカードとしてのオンライン確認機能が用いられるため、あまり意識したことはない
自宅でのネットショッピングのオンライン決済など、カードリーダーがない状態では入力して用いる
万が一悪用されても限度額も保険もある
全員に所持が強制されるものではない

Copyright © 2010 By Cazzyuki Nakayasu , MHLW

住民基本台帳ネットワークシステムに係る最高裁判所判決（平成20年3月6日15:00～）の概要
【概要】
（第１審）
豊中市、箕面市、吹田市、守口市、八尾市の住民が、住基ネットへの接続等により精神的損害を被ったなどとして、損害賠償を請求した事件につき、大阪地裁判決（平成16 年2月27 日）は請求を棄却（行政側全面勝訴）。
（第２審）① 豊中市、箕面市、吹田市、守口市、八尾市に対する損害賠償請求に加え、② 箕面市の住民1 名、吹田市の住民1 名、守口市の住民２名につき、住民票コードの削除及び、③ 上記4 名に関する本人確認情報の大阪府への通知の差し止め を請求。
大阪高裁判決（平成18年11月30日）は、②について請求を認容、①及び③については、棄却した（行政側一部敗訴）。
→吹田市、守口市が上告。
【判決主文】○ 原判決中、上告人敗訴部分を破棄する。
○ 前項の部分につき、被上告人らの控訴をいずれも棄却する。
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

住民基本台帳ネットワークシステムに係る最高裁判所判決（平成20年3月6日15:00～）の概要【判決概要】○ 憲法１３条は、国民の私生活上の自由が公権力の行使に対しても保護されるべきことを規定しているものであり、個人の私生活上の自由の一つとして、何人も、個人に関する情報をみだりに第三者に開示又は公表されない自由を有するものと解される。
○ 住基ネットによって管理、利用等される本人確認情報は、氏名、生年月日、性別及び住所からなる４情報に住民票コードとその変更情報を加えたものにすぎない。これらはいずれも個人の内面に関わるような秘匿性の高い情報とはいえない。
○ 住基ネットによる本人確認情報の管理、利用等は、法令等の根拠に基づき、正当な行政目的の範囲内で行われているものであり、住基ネットにシステム技術上又は法制度上の不備があり、そのために本人確認情報が法令等の根拠に基づかずに又は、正当な行政目的の範囲を逸脱して第三者に開示又は公表される具体的な危険が生じているということはできない。
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

住民基本台帳ネットワークシステムに係る最高裁判所判決（平成20年3月6日15:00～）の概要【判決概要】○ 住基法３０条の３４等の本人確認情報の保護規定は、個人情報のうち住基ネットにより管理、利用等される本人確認情報につきその保護措置を講ずるために特に設けられた規定であり、本人確認情報については、住基法中の保護規定が行政個人情報保護法の規定に優先して適用されると解されるべきであって、住基法による目的外利用の禁止に実効性がないとの原審の判断は、前提を誤るものである。
○ データマッチングされ、本人の予期しないときに予期しない範囲で行政機関に保有され、利用される具体的危険については、刑罰をもって禁止されていること、個人情報を一元的に管理することができる機関又は主体は存在しないことなどにも照らせば、住基ネットの運用によって原審がいうような具体的な危険が生じているということはできない。
○ 行政機関が住基ネットにより住民の本人確認情報を管理、利用等する行為は、個人に関する情報をみだりに第三者に開示公表するものということはできず、憲法１３条により保障された上記の自由を侵害するものではない。
○ 原審の判断には、憲法解釈の誤り及び結論に影響を及ぼすことが明らかな法令解釈の誤りがあることから、原判決は破棄を免れない。
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

離脱を認めないことが合憲となった理由
1. ４情報に住民票コードとその変更情報を加えたもの。
これらはいずれも個人の内面に関わるような秘匿性の高い情報とはいえない
2. 個人情報を一元的に管理することができる機関又は主体は存在しない
3. システム技術上又は法制度上の不備があり、そのために・・・具体的な危険が生じているということはできない–––

本人確認情報の管理、利用等は、法令等の根拠に基づき、正当な行政目的の範囲内で行われている本人の予期しないときに予期しない範囲で行政機関に保有され、利用される具体的危険については、刑罰をもって禁止されている同じ領域に適用される一般法（個人情報保護法）と特別法（住民基本台帳法）がある場合は特別法が優先適用
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

「EHR/PHRのID」 VS. 「住基コード」• システム上・法制上、住基ネットと同等の措置を講じても、今度は「具体的な危険がない」とまでは言えないのではないか。
– 利用範囲、関係者、ともに住基コードよりも広範になる– 医療情報はプライヴァシーに特別の配慮が必要• ID自体は秘匿性が高くないと評価できるか。
– フラットモデルによるID連携の場合、名寄せリスクの可能性はさらに飛躍的に高まる• 最高裁判決では「自己情報コントロール権」について考慮されていないのではないか。
– 原審曰く、憲法13条は「プライヴァシーを侵害されない権利」と「本人の情報をコントロールする権利」の２つを保障、その保護を求めたがCopyright © 2010 By Cazzyuki Nakayasu , MHLW

cost‐benefit analysis ～一緒に考えてほしいこと～• 「ID基盤そのもの」の費用便益分析– 「メリットがある」から作る、「ないことのデメリットが大きすぎる」から作る– 数十年前にあれば「年金記録問題」は起きていなかったかも。解決にいくらかかる– 防波堤の値打ちは、津波が来たときにわかる• 「IDという公益」と「プライヴァシーという個益」– 国民個々の利益は、実は国にとっては利益のはず– 「公益」とは「個益」を侵害する（けど仕方ない）もの– 侵害を対策する、侵害の度合いを軽減する、それでも起きる侵害の補償をするのが行政
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

何が必要
1. とりあえず、銭2. 全医療機関など無理という、ほどよい諦め
3. 望んだ人には、というOpt inの制度づくり
4. 医療情報の入力源、入力するモチベーション
5. 維持経費が莫大でない安全なネットワーク
6. 医療分野で使える「ID」 →行政の仕事
7. 伝送しても失われない情報の可用性
8. なんかあったときの責任の取り決め
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

７．伝送しても失われない情報の可用性• 標準のコードを参照する標準のメッセージ– 「シナリオ」をきちんと決める– 例外処理は、あきらめる– システム化する経費と例外処理の起こる頻度• ６によれば一元管理データベースはあり得ない– でもバラバラの「診察券ID」では「どこでも」は無理– 分散管理しながらも探し当てて取り寄せられる• IHE XDS（Cross Enterprise Document Sharing）– いろんなところに認証手続が必要で不便になる• IHE XUA（Cross‐Enterprise User Assertion）
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

規格なの？規格じゃないの？
「レゴ」「レゴブロック」及び「LEGO」はlego groupの登録商標です。

ドットの高さドットの間隔ドットの配列
・・・etc.

「規格」というもの

何を作るかどう作るか必要な部品は何か・・・etc.

「規格」ではないもの「部品」が「規格」にしたがって作られていることが前提
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

「ＩＨＥ」という考え方「レゴ」「レゴブロック」及び「LEGO」はlego groupの登録商標です。

「お城」じゃない「恐竜」じゃない「部品」が「規格」にしたがって作られている「作りたいもの」に応じた「組み立て方」がある「部品の選び方」と「組み立て方」を提供する
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

組み立て方って、何？
「レゴ」「レゴブロック」及び「LEGO」はlego groupの登録商標です。

「お城」が作りたければ「お城の組立解説書」が必要
Copyright © 2010 By Cazzyuki Nakayasu , MHLWLEGO→医療情報→IHE「レゴ」「レゴブロック」及び「LEGO」はlego groupの登録商標です。

ドットの高さドットの間隔ドットの配列
・・・etc.

「規格」「規格」に従って作られた様々な部品（LEGOブロック）

部品と部品を組合せ形にする

城の組み立て方：作業手順
Copyright © 2010 By Cazzyuki Nakayasu , MHLWLEGO→医療情報→IHE「レゴ」「レゴブロック」及び「LEGO」はlego groupの登録商標です。

ドットの高さ、間隔、配列

LEGO規格文字コード、標準病名、医薬品、検査項目など規格に従って作られた部品

LEGOブロック

HL7、DICOM、ISOなど

コードセット・データセット
メッセージ等標準規格

部品で構成されるもの

車輪と車軸、鼻と耳、城壁と塔システム機器、モダリティ、ドキュメント、人、組織など

アクタ

構成物同士の組み合わせ

組立説明書
個々の説明図電文や画像の形式、受け渡しルールなど

トランザクション

お城、自動車、犬（完成）

完成図と組立説明書

アクタとトランザクションの関係性、順序

統合プロファイル

ある領域の「統合プロファイル」を体系的にする

テクニカル・
フレームワーク

Copyright © 2010 By Cazzyuki Nakayasu , MHLW

何が必要
1. とりあえず、銭2. 全医療機関など無理という、ほどよい諦め
3. 望んだ人には、というOpt inの制度づくり
4. 維持経費が莫大でない安全なネットワーク
5. 医療情報の入力源、入力するモチベーション
6. 医療分野で使える「ID」 →行政の仕事7. 伝送しても失われない情報の可用性
8. セキュリティと、それでもなんかあったときの責任の取り決め
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

情報セキュリティという仕事
リスク (Risk)

リスク分析(Risk Analysis)

脅威(threat)

脆弱性(vulnerability)

リスクアセスメント

対抗策(countermeasure)
技術

運用(Risk Assessment)

容認

残余リスク

（Residual Risk）

説明
承諾・納得
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

公開された標準であること• 脅威の想定が網羅的（である可能性が高い）– 世界中のexpert達が（一応）了解したんだから– でもどうせ、完璧はありえないけど• 対抗策と残余リスクの説明がしやすい– プロセスへの信頼・理解獲得– 技術を参照できるため、説明の依存が可能• 納得が得られやすい、納得しやすい– 自分はできていても、相手がちゃんとしているか– 相手こそがセキュリティホールではないのか– と、向こうも思っている
Copyright © 2010 By Cazzyuki Nakayasu , MHLW

医療機関の情報化には言うに及ばず• 地域連携などが盛んになればなるほど、有用な要素がいっぱい– IHE PDI
– IHE XDS
– IHE XUA、、、etc.

• 「EHR」は制度・社会基盤– 文化、価値観、経済、法制をふまえたものに– 「翻訳・受け入れ」でなく「提案」する– 制度づくりにも有用であることを知ってもらう
Copyright © 2010 By Cazzyuki Nakayasu , MHLWAny Questions,
Comments,
and/orSuggestions?
Copyright © 2010 By Cazzyuki Nakayasu , MHLW