ヘルスケア・イノベーション
公開勉強会 #2
海外事例に学ぶプレシジョンメディシンのクラウド利用とITリスク管理
2017年7月3日

一般社団法人 日本クラウドセキュリティアライアンス
健康医療情報管理ユーザーWG

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

1. 英国のオープンガバメント戦略とプレシジョンメディシン
2. 英国のプレシジョンメディシンにおけるクラウド利用事例
2-1. ライフサイエンス事例：Genomics England on UKCloud
2-2. 臨床医療事例：NHS Digital on UKCloud
3. CSA STARを活用した共通クラウド基盤のITリスク管理策
4. 日本のヘルスケア・イノベーションとクラウド利用に向けて
4-1. シチズン・ドリブン・アプローチの視点から
4-2. データ・ドリブン・アプローチの視点から

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

2

1. 英国のオープンガバメント戦略とプレシジョンメディシン
2. 英国のプレシジョンメディシンにおけるクラウド利用事例
2-1. ライフサイエンス事例：Genomics England on UKCloud
2-2. 臨床医療事例：NHS Digital on UKCloud
3. CSA STARを活用した共通クラウド基盤のITリスク管理策
4. 日本のヘルスケア・イノベーションとクラウド利用に向けて
4-1. シチズン・ドリブン・アプローチの視点から
4-2. データ・ドリブン・アプローチの視点から

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

3

英国内閣府「政府ICT戦略」（2011年3月）（https://www.gov.uk/government/uploads/system/uploads/attachment_data/file/85968/uk8/uk-government-government-ict-strategy_0.pdf）

無駄とプロジェクトの失敗を削減し、経済成長を刺激する
共通ICTインフラストラクチャを構築する
ICTを利用して変化を実現し、提供するガバナンスを強化する

英国内閣府「政府クラウド（G-Cloud）戦略」（2011年10月）(https://www.gov.uk/government/publications/government-cloud-strategy）

コモディティサービスの特定と委託に向けた共通の戦略とアプローチ
コモディティICTサービスの形成・採用・管理に向けた、一貫性のある包括的なアプローチと標準規格
単純で包含的なガバナンスのアプローチ
センター・オブ・エクセレンスに権限委譲された管理と責任
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

4

英国内閣府「政府クラウド（G-Cloud）戦略」（続き）(https://www.gov.uk/government/publications/government-cloud-strategy）

G-Cloudプログラムの共通フェデレーションモデル

出典：U.K. Cabinet Office 「Government cloud strategy」（2011年10月27日）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

5

英国内閣府「政府セキュリティ分類」（2014年4月施行）（https://www.gov.uk/government/publications/government-security-classifications）

政府機関が保有する情報資産の取扱いルール：3区分のセキュリティ分類「OFFICIAL」
機微な保健「SECRET」
医療情報「TOP SECRET」

出典：U.K. Cabinet Office「Government Security Classifications April 2014」（2013年10月18日）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

6英国内閣府「政府セキュリティ分類」（2014年4月施行）
セキュリティ分類の4原則
原則
原則1

原則2

原則3
原則4

内容
英国政府が、サービスを提供し、政府事業を運営するために、収集、保存、処理、生成または共有する必要があるすべての情報は、内在的価値を保有しており、適切な程度の保護が要求される。
政府とともに働くすべての人（スタッフ、外部委託先、サービスプロバイダーを含む）は、印が付いているか否かに関係なく、彼らがアクセスするいかなる英
国政府の情報またはデータについて、機密保持の義務と保護する責任があり、適切な訓練を受けさせなければならない。
機微な情報へのアクセスは、純粋な「need to know」原則と適切な従業員のセ
キュリティコントロールに基づいてのみ付与されなければならない。
外部パートナーから受け取るまたは交換する資産は、国際的同意・責務を含む、適切な法律または規制の要求事項に応じて保護されなければならない。

出典：U.K. Cabinet Office「Government Security Classifications April 2014」（2013年10月18日）を基にヘルスケアクラウド研究会作成
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

7

英国デジタルサービス（GDS）「マーケットプレイスのためのGCloudフレームワーク」（初版：2013年9月12日、最新版：2017年
5月22日）（https://www.gov.uk/guidance/the-g-cloud-framework-on-the-digital-marketplace）

政府機関が利用可能なデジタルマーケットプレイス上のサービス「G-Cloud」フレームワークを介したクラウドサービス「Digital Outcomes and Specialists 」フレームワークを介したデジタルア
ウトカム、デジタルスペシャリスト、ユーザー調査サービス「Crown Hosting Data Centres」フレームワークを介した物理的なデータ
センター空間「G-Cloud」フレームワーク（最新版はG-Cloud 9）
クラウドホスティング「G-Cloud」フレームワー
クラウドソフトウェア
クに準拠したクラウドがクラウドサポート
政府機関の調達対象
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

8政府通信本部（GCHQ）・国家サイバーセキュリティセンター（NCSC）「クラウドセキュリティ原則導入ガイドライン」（2016年9月21日）（https://www.ncsc.gov.uk/guidance/implementing-cloud-security-principles）「G-Cloud」フレームワークのセキュリティに関する要求事項14原則
クラウドサービス事業者が、「G-Cloud」認定サプライヤーとなるためには、クラウドセキュリティ14原則について自己評価を行い、対象となるサービスがその原則に準拠していることを証明するドキュメントを準備した上で、証拠を提出する必要がある⇒英国政府機関向け調達窓口のデジタルマーケットプレイスで、各事業者のクラウドセキュリティ管理策などが公開される

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

9「G-Cloud」フレームワークのセキュリティに関する要求事項14原則(1)
原則

表題

原則1

転 送 中 の デ ネットワーク転送中のユーザーデータは、改ざんや傍受に対ータの保護 し、適切に保護されるべきである。
資 産 の 保 護 ユーザーデータと保存または処理する資産は、物理的な改とレジリエン ざん、損失、損害または占拠に対して保護されるべきである。
ス
ユ ー ザ ー 間 悪意のあるまたは感染したサービス・ユーザーは、他のサーの分離
ビスまたはデータに影響が及ばないようにすべきである。
ガバナンス・ サービスプロバイダーは、そのサービスと情報の管理を調整
フ レ ー ム ワ して方向づける、セキュリティガバナンス・フレームワークをーク
有するべきである。このフレームワーク外に導入された、いかなる技術的コントロールも、根底から覆されるであろう。
運 用 セ キ ュ 攻撃を妨害・検知・予防するために、サービスを、セキュアに
リティ
運用・管理する必要がある。優れた運用セキュリティは、複雑、官僚的、時間の浪費、高額のプロセスを必要とすべきで
はない。

原則2

原則3
原則4

原則5

内容

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/10「G-Cloud」フレームワークのセキュリティに関する要求事項14原則(2)
原則

表題

原則６

従 業 員 の セ 信頼するのに高い信頼性が必要なデータやシステムに、サキュリティービスプロバイダーの従業員が、アクセスするところ。適切なトレーニングによりサポートされた審査により、サービスプロ
バイダーの従業員による偶発的もしくは悪意のある漏えいの可能性を少なくする。
セ キ ュ ア な サービスは、セキュリティに対する脅威を特定して低減する
開発
ために、設計・開発されるべきである。そうでない場合、セキ
ュリティ課題に対する脆弱性があって、データを漏えいしたり、サービスの損失を引き起こしたり、その他悪意のある行動を可能にしたりすることがある。
サプライチェ サービスプロバイダーは、サービスが実行を要求するすべて
ーン・セキュ のセキュリティ原則を、サプライチェーンが満足のいくようにリティ
サポートすることを保証すべきである。

原則7.

原則8

内容

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

11「G-Cloud」フレームワークのセキュリティに関する要求事項14原則(3)
原則

表題

内容

原則9

セキュアなユー サービスプロバイダーは、ユーザーがサービス利用をセ
ザー管理
キュアに管理するためのツールを提供すべきである。管
理インタフェースと手順は、権限のないアクセスやユーザーのリソース、アプリケーション、データの変更を予防する、
セキュリティの壁の重要な部分である。
原則10 アイデンティティ サービス・インタフェースへのアクセスはすべて、認証されと認証て権限が付与された個人に制限すべきである。
原則11 外 部 イ ン タ フ ェ サービスの外部または信頼できないインタフェースをすべースの保護て特定して、適切に防御すべきである。
原則12 セキュアなサー クラウドサービスの運営に使用するシステムは、高い特権ビス運営が付与されたサービスにアクセスする。これらの漏えいは、
セキュリティコントロールを回避して大容量のデータを盗
むまたは操作する手段となるなど、重大なインパクトを及ぼすことがある。
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

12

「G-Cloud」フレームワークのセキュリティに関する要求事項14原則(4)
原則

表題

内容

原則13 ユ ー ザ ー の 監 サービスへのアクセスをモニタリングする必要がある監査
査情報
記録とその中に保有するデータを提供すべきである。ユーザーが利用できる監査情報のタイプは、相当の時間的尺
度内で、不適切または悪意のある活動を検知して対応する機能に直接インパクトをもたらすことがある。
原則14 サービスのセキ クラウドサービスとその内部に保持されるデータのセキュュアな利用
リティは、貧弱なサービスを利用した場合、覆されることがある。その結果として、ユーザーのデータが適切に保護されるためのサービスを利用する時、一定の責任を負うことになる。
出典：GCHQ - NCSC「Guidance - Implementing the Cloud Security Principles」（2016年9月21日）を基にヘルスケアクラウド研究会作成 （2017年6月）

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

13

英国内閣府「国家サイバーセキュリティ戦略2016-2021年」（2016年11月1日）（https://www.gov.uk/government/publications/national-cyber-security-strategy-2016-to-2021)

保健・社会医療データの収集、転送、保存、分析、普及のための戦略（NHS傘下の保健機関、NICE、病院、診療所などが対象）
政府、国の重要インフラストラクチャ、広い経済の防御力を強化
官民セクター共通のセキュリティ標準規格を押し上げる一方、サイバー攻撃を低減する技術を適用するために、産業界と連携して取組む
政府とセキュリティが依存する、最も機微な情報およびネットワークが保護されることを保証する

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

14

保健省NHSデジタル（旧保健・社会医療情報センター(HSCIC)）「ケア向上のための情報技術：保健・社会医療情報センター戦
略2015～2020年」（2015年7月21日）（https://www.gov.uk/government/publications/hscic-strategy-2015-2020）

保健・社会医療データの収集、転送、保存、分析、普及のための戦略（NHS傘下の保健機関、NICE、病院、診療所などが対象）
全ての市民のデータが保護されていることを保証する
みんなに便益のある共有アーキテクチャや標準規格を構築する
国および地域のニーズを満たすサービスを実行する
技術、データ、情報から最善のものを得るように保健医療組織を支援する
保健医療情報をより上手に活用する

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

15全ての市民のデータが保護されていることを保証する（再掲）
全ての市民が、保健・社会医療専門家との正式な対面診察以外に、個人データを共有するための選択を表明できるようにする
データフローに関する異なる選択を処理することができ、市民が自分の選択を変えることができるようにする
単独または複数の保健医療提供者と、アプリケーションまたは医療機
器からのデータを共有するか否か、市民が意思決定できるようにする
いつ、なぜ、自分のデータが直接の医療以外の目的のために利用されたか。市民がわかるようにする「NHSデジタルサイバーセキュリティプログラム（CSP）」「CareCERT (Care Computing Emergency Response Team)」(https://www.igt.hscic.gov.uk/CyberWhatIs.aspx)

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

16

保健省・全英情報委員会（NIB)「個別化された保健医療2020：行動のためのフレームワーク」（2014年11月13日）（https://www.gov.uk/government/news/introducing-personalised-health-and-care-2020-aframework-for-action）

市民自身の選択に基づく個人データの共有モデルを採用
2017年までに個人100,000人分のゲノムシーケンス解析を実施(ゲノミクス・イングランド）2018年までに、医師が、総合診療、緊急・救急医療およびその他の医療状況の主要な推移において紙の記録を使用することなく、業務を遂行するようにする
2020年までに、すべての医療記録がデジタル化、リアルタイム化され、相互運用可能になることを目標とする

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

17

1. 英国のオープンガバメント戦略とプレシジョンメディシン
2. 英国のプレシジョンメディシンにおけるクラウド利用事例
2-1. ライフサイエンス事例：Genomics England on UKCloud
2-2. 臨床医療事例：NHS Digital on UKCloud
3. CSA STARを活用した共通クラウド基盤のITリスク管理策
4. 日本のヘルスケア・イノベーションとクラウド利用に向けて
4-1. シチズン・ドリブン・アプローチの視点から
4-2. データ・ドリブン・アプローチの視点から

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

18

保健省「ゲノミクス・イングランド」（https://www.genomicsengland.co.uk/）

ゲノミクス・イングランドは、参加者の自発的同意と公的支援とともに、10万ゲノムのシーケンス解析を通して、患者、NHS（国民保健サービス）、英
国経済の永続的な蓄積を構築する
目的
患者に便益をもたらす
コンセントに基づく倫理的で透明性のあるプログラムを構築する
新たな科学的発見と医療的洞察を可能にする
英国ゲノム産業の構築を一気にスタートさせる
2012年、「10万ゲノム解析プロジェクト」を開始＜注力領域＞
希少性疾患
がん
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

19

（続き）
プロジェクトの課題
ゲノム解析の課題：提供する情報の品質保証
データの課題：ゲノムの差異の意味と重要性の解釈
セキュリティの課題：大容量のゲノムデータのセキュアな保存患者に対する便益の提供
懸念事項
倫理問題：独立した倫理諮問委員会によるチェック
商用化による便益を誰が受けるか：インフォームドコンセント取得時の説明で納得が得られるか
プライバシーと機密保持の問題：データ諮問委員会による監視、患者
固有識別子の匿名化

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

20

「ゲノミクス・イングランド」の情報／データガバナンス対策
10万ゲノム解析プロジェクト・プロトコル(https://www.genomicsengland.co.uk/100000-genomes-project-protocol/)主要データソース（構造化データ、半構造化データ、非構造化データ）(https://www.genomicsengland.co.uk/the-100000-genomes-project/data/data-typesand-storage/)

NHSデジタル
病院活動統計（HES)
患者報告アウトカム測定データ（PROMs）
メンタルヘルスおよび障がい学習セット（MHLDS）
診断画像データセット（DID）
死亡率データパブリックヘルス・イングランド
国立がん登録サービスの収集データ
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

21

「ゲノミクス・イングランド」の情報／データガバナンス対策
情報セキュリティの責任分担
上級情報リスクオーナー（SIRO）
情報ガバナンス・リード（IG Lead）
情報資産オーナー（IAO）
ラインマネージャー（*非常勤スタッフ、外部委託先の管理）
全スタッフ など
ポリシー集
(https://www.genomicsengland.co.uk/the-100000-genomes-project/data/)

情報ガバナンス管理フレームワークとポリシー
機密保持とデータ保護ポリシー
情報セキュリティポリシー
情報品質および記録管理ポリシー
データアクセスおよび許容される利用ポリシー など
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

22

「ゲノミクス・イングランド」のデータ保存・分析システム
システムの全体イメージ（クラウドを活用）

出典：Genomics England「Data types and storage in the 100,000 Genomes Project」（https://www.genomicsengland.co.uk/the-100000-genomes-project/data/data-types-and-storage/）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

23アウトリーチ活動：市民への便益の還元・可視化「The Challenges of Genome Analysis in the Health Care Setting」
Anneke Lucassen, and Richard S. Houlston
Genes (Basel). 2014 Sep; 5(3): 576–585.
（https://www.ncbi.nlm.nih.gov/pmc/articles/PMC4198918/）「The DNA of a nation」
Vivien MarxNature 524, 503–505 (27 August 2015) doi:10.1038/524503a（https://www.nature.com/nature/journal/v524/n7566/full/524503a.html）

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

24ゲノミクス・イングランドで利用されるパブリック・クラウドサービス（例）UKCloud
2011年、イングランド南部のハンプシャー州ファーンボローに設立されたスカイスケープ・クラウドサービス（クラウドセキュリティアライアンスの
コアメンバー）が前身の英国企業（2016年8月、「UKCloud」に社名変更）
政府機関向けのパブリッククラウド・サービス提供が主要事業 （英国内2か所のデータセンターで対応）
UKCloud上に、ゲノミクス・イングランド・プラットフォームを構築（仮想デスクトップ環境をクラウド上に構築し、ゲノミクス・イングランドが運用）
UKCloudのHybridConnectサービスを利用して、ゲノミクス・イングランドの10Gbit/sの接続を実現（参考）「The secrets of a successful big data implementation」（https://ukcloud.com/wpcontent/uploads/2016/08/UKCloud_WhitePaper_RGB_Digital_Secrets_of_a_successful_Big_Data_implementation.pdf）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/25

2015年1月8日：HSCIC（現NHSデジタル）が、NHS全国ネットワーク（N3）のアグリゲーターに、スカイスケープ・クラウドサービス（現UKCloud）を採用⇒ UKCloudは、下位レイヤからのクラウド化を支える（https://ukcloud.com/news-resources/news/recent-press-releases/assured-cloud-services-nowavailable-nhs-via-n3）

2017年4月13日：NHSデジタルが「総合診療データハブ」を開設（https://www.digital.nhs.uk/GP-Data-Hub）

総合診療レベルのデータをオープンデータライセンスで公開
Quality Outcomes Framework in the GP data hub（https://www.digital.nhs.uk/GP-data-hub/quality-outcomes-framework-in-GP-data-hub）Workforce data in the GP data hub（https://www.digital.nhs.uk/GP-data-hub/workforce-data-in-GP-data-hub）

GP list size in the GP data hub（https://www.digital.nhs.uk/GP-data-hub/GP-list-size-in-GP-data-hub）Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

26

総合診療レベルのデータをオープンデータライセンスで公開（続き）
Health and care of people with learning disabilities in the GP practice datahub
（https://www.digital.nhs.uk/GP-data-hub/health-care-learning-disabilities-in-GP-data-hub）

Dementia 65+ Estimated Diagnosis Rate Indicator in the GP data hub（https://www.digital.nhs.uk/GP-data-hub/Dementia-65-Estimated-Diagnosis-Rate-Indicator）

Patient Online Management Information in the GP data hub（https://www.digital.nhs.uk/GP-data-hub/patient-online-management-information）

2017年5月10日：UKCloudが、医療産業向けの新部門として
UKCloud Healthの創設を発表（https://ukcloud.com/news-resources/news/news/ukcloud-replicates-public-sector-success-newhealthcare-division）

2017年6月6日：UK Cloud Healthが、米国の医療保険の携行性.と責任に関する法律（HIPAA）を遵守したクラウドホスティング・サー
ビスを提供していることを公表（https://ukcloud.com/news-resources/news/rss-news/ukcloud-health-offers-hipaa-compliantCopyright © 2017 Cloud Security Alliance Japan Chapter
https://www.cloudsecurityalliance.jp/
cloud-hosting）
27

2016年：主要グローバル・クラウドサービスプロバイダーの英国
内データセンター開設ラッシュ（G-Cloudフレームワーク対応）
Microsoft「Microsoft announces plans to offer cloud services from theUK」（2015年11月10日）（https://news.microsoft.com/en-gb/2015/11/10/microsoft-announces-plans-to-offercloud-services-from-the-uk/）

Google Blog「Google Cloud Platform sets a course for new horizons」（2016年9月29日）（https://cloudplatform.googleblog.com/2016/09/Google-Cloud-Platform-sets-a-coursefor-new-horizons.html）

Amazon Web Services「Now Open – AWS London Region」(2016年12月13日）（https://aws.amazon.com/jp/blogs/aws/now-open-aws-london-region/）

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

28

病院や地域の医療サービスの運営母体であるNHSトラストのクラウド化（アプリケーション主導）事例
南ロンドン・モーズレイNHS財団トラスト × Microsoft Office 365
・「SLAM gets connected with Office 365」
（https://enterprise.microsoft.com/en-gb/customer-story/industries/publicsector/health/slam-gets-connected-office-365/）

ロンドン・ロイヤルフリー病院 ×Google DeepMind
・「Working with the NHS」
（https://deepmind.com/applied/deepmind-health/working-nhs/）

・「Working with the NHS to build lifesaving technology」（https://deepmind.com/blog/working-nhs-build-lifesaving-technology/）

・「DeepMind Health and the Royal Free」（https://deepmind.com/applied/deepmind-health/working-nhs/how-were-helpingtoday/royal-free-london-nhs-foundation-trust/）

ロンドン・ムーアフィールド眼科病院 ×Google DeepMind
・「DeepMind Health research partnership」
http://www.moorfields.nhs.uk/landing-page/deepmind-health-research-partnership
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

29

2017年5月：
英国・国民保健サービス（NHS）関連の医療施設で、マルウェア「WannaCry」に起因する被害が多発（＊NHSのクラウド側の被害に関する報告はなし）
政府通信本部（GCHQ）傘下の国家
サイバーセキュリティセンター（NCSC）、
保健省、NHSイングランドと連携して、各組織の支援に当たっていることを公表＜NHSデジタルの対策＞• サイバー攻撃に対する保護策としてのパッチに関する説明文書、テクニカルガイドライン、FAQ集• 予防策としてインターネットから遮断したネットワークの再接続に関するテクニカルガイドライン• NHSmail• CareCERT bulletin
出典：NHS Digital （2017年5月18日更新）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

30

＜NHSデジタルが傘下の関連施設向けにとった緊急マルウェア対策＞
このインシデントのケースと同様に、既知のサイバーセキュリティ脅威およ
びこれらのリスクを最小化するための適切なステップに関する情報を、NHSの組織に拡散する
強固なセキュリティ措置を有するように全て設計された、国のNHS ITサー
ビスのシステムに対する予防的なリアルタイムのモニタリング
NHS組織向けの無料サイバーセキュリティ検証に着手し、彼らが採ることができる適切なステップに関する特別なアドバイスをする
最前線の従事者が、組織におけるサイバーセキュリティの保証に向けた
自分自身の責任を認識するとともに、組織のセキュリティ維持に役立てるために採ることができる簡単なステップを知ることを確実にするように設計された、保健医療スタッフ向けのトレーニング

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/31

1. 英国のオープンガバメント戦略とプレシジョンメディシン
2. 英国のプレシジョンメディシンにおけるクラウド利用事例
2-1. ライフサイエンス事例：Genomics England on UKCloud
2-2. 臨床医療事例：NHS Digital on UKCloud
3. CSA STARを活用した共通クラウド基盤のITリスク管理策
4. 日本のヘルスケア・イノベーションとクラウド利用に向けて
4-1. シチズン・ドリブン・アプローチの視点から
4-2. データ・ドリブン・アプローチの視点から

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

32

米国：健康医療固有の法規制＋パブリックセクターのセキュリティ要件＋サイバーセキュリティ要件
CSA Cloud Controls Matrix (CCM)（https://cloudsecurityalliance.org/research/ccm/）
健康医療分野のクラウドセキュリティの視点
例．-HIPAA／HITECH監査への対応:リスク評価（http://www.hhs.gov/ocr/privacy/）

パブリックセクターのクラウドセキュリティの視点
例．Federal Risk and Authorization Management Program (FedRAMP)（http://www.fedramp.gov/）
ホームランドセキュリティ／重要情報インフラの視点
例．Federal Information Security Management Act（FISMA）(c) 2013 Cloud Security Alliance33（http://csrc.nist.gov/groups/SMA/fisma/index.html）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

33

英国：健康医療固有の法規制＋パブリックセクターのセキュリティ要件＋サイバーセキュリティ要件
CSA Cloud Controls Matrix (CCM)（https://cloudsecurityalliance.org/research/ccm/）
健康医療分野のデータ保護の視点
例．「ケア向上のための情報技術：保健・社会医療情報センター戦略2015～2020年」、「個別化された保健医療2020：行動のためのフレームワーク」

パブリックセクターのクラウドセキュリティの視点
例．「政府クラウド戦略」、「マーケットプレイスのためのG-Cloudフレームワーク」、「クラウドセキュリティ原則導入ガイドライン」
ホームランドセキュリティ／重要情報インフラの視点
例．「政府ICT戦略」、「国家サイバーセキュリティ戦略2016-2021年」(c) 2013 Cloud Security Alliance34
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

34

CCS-STAR認証プログラム
ISO/IEC 27001の要求事項（情報セキュリティマネジメントシステム）とCSAのクラウドコントロールマトリックス（CCM）を用いて、クラウドサービス
事業者のセキュリティを第三者が評価する制度
CCMにはクラウドサービスのセキュリティの成熟度を測る具体的な基準が定められており、11の管理エリアにおける成熟度が審査される
CAIQ（Consensus Assessments Initiative Questionnaire）：
CCMに基づくサービス事業者に対する質問事項

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

35

（CSA STAR認証の例）英国：UKCloud（https://cloudsecurityalliance.org/star-registrant/ukcloud-ltd/）＊CCM／CAIQ／CSA STAR認証関連公開情報を共通の評価指標として活用
すると、クラウド事業者間の相対的な比較が可能⇒ ユーザー側の評価にも活用できる

出典：Cloud Security Alliance「STAR Registrant UKCloud Ltd」（2016年10月28日）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/36

1. 英国のオープンガバメント戦略とプレシジョンメディシン
2. 英国のプレシジョンメディシンにおけるクラウド利用事例
2-1. ライフサイエンス事例：Genomics England on UKCloud
2-2. 臨床医療事例：NHS Digital on UKCloud
3. CSA STARを活用した共通クラウド基盤のITリスク管理策
4. 日本のヘルスケア・イノベーションとクラウド利用に向けて
4-1. シチズン・ドリブン・アプローチの視点から
4-2. データ・ドリブン・アプローチの視点から

Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/37

UKCloud「Key characteristics of cloud applications」（2016年7月）（https://ukcloud.com/wp-content/uploads/2016/07/UKCloud_Blueprint_UKCGEN-132_Key-characteristics-of-cloud-applications.pdf）

クラウドアプリケーションの特徴
プロビジョニングの自動化（ユーザーから要求があった場合や障害時などに、必要な分だけ、コンピュータリソースを自動的に別のシステムに割り当てられる）
レジリエンスと冗長性（影響を受けないようにする対応力と、影響を受けても早期に元通りの状態に戻れるようにする復旧力の強化）
高可用性（エラーチェックと代替機能の確保）
マイクロサービス（簡素化と拡張性）
疎結合（SOA、メッセージクエリなどの導入）
出典：ヘルスケアクラウド研究会（2015年11月）を基にWG作成
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

38

クラウドアプリケーションの特徴（続き）
水平拡張性（自動拡張）
非依存性（標準化によるロックインの防止）状態を保持しないシェアード・ナッシング・アーキテクチャ
拡張性のあるオブジェクトストレージ
ライセンシングとオープンソース
クラウドセキュリティ（「G-Cloud」フレームワークのセキュリティに関する要求事項14原則）

出典：ヘルスケアクラウド研究会（2015年11月）を基にWG作成
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

39

コンシューマードリブンなxTechサービス（HealthTech含む）のビジネスモデルはSaaSからマイクロサービスへ
モノリシックな三層型
アーキテクチャから

自律サービスの疎結合型
アーキテクチャへ

出典：ヘルスケアクラウド研究会（2015年11月）を基にWG作成
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

40

基礎
研究

臨床
開発

薬事
申請

製造

物流

営業・
マーケ
ティング

市販後
対策

薬局

医療
機関

標準化（仕組み＋運用）
データインテグリティ
サプライサイド／プロダクトアウト型の法規制
ISO-IDMP（Identification of Medical Products）（開始時期未定）

デマンドサイド／マーケットイン型の法規制
EU臨床試験規則（2019年適用開始予定）

患者 ・
家族

クラウド環境＝健康医療バリューチェーンを繋ぐ共通基盤⇒イノベーションのエネイブラーとして利活用すべき

リアル
ワールド
データ
（構造化データ）（非構造化データ）（半構造化データ）

出典： ヘルスケアクラウド研究会（2017年5月）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/41ISO-IDMP（Identification of Medical Products）（適用開始時期未定）

出典： FDA「Global Identification of Medicinal Products (IDMP)」(2016年2月8日）(https://www.fda.gov/downloads/drugs/developmentapprovalprocess/formssubmissionrequirements/
electronicsubmissions/ucm489459.pdf)
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/42ISO-IDMPを介した欧米間のハーモナイゼーションの検討（例）

出典： FDA「Global Identification of Medicinal Products (IDMP)」(2016年2月8日）(https://www.fda.gov/downloads/drugs/developmentapprovalprocess/formssubmissionrequirements/
electronicsubmissions/ucm489459.pdf)
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/

43EU臨床試験規則（2019年適用開始予定）

出典： European Medicines Agency「Clinical Trial Regulation」(http://www.ema.europa.eu/ema/index.jsp?curl=pages/regulation/general/general_content_000629.jsp）
Copyright © 2017 Cloud Security Alliance Japan Chapter

https://www.cloudsecurityalliance.jp/44