簡単な回答: ISO/IEC 27001 は、組織が情報リスクを特定し、管理策を選択、実行、改善する方法を定めた情報セキュリティマネジメントシステム（ISMS）を規定しており、監査人がその結果を認証します。その補完規格である ISO/IEC 27002 は、管理策そのものを説明しています。ISO 27799（医療情報学：ISO/IEC 27002 を使用した医療における情報セキュリティ管理）は、これらの管理策を取り上げ、個人健康情報にどのように適用するかを説明しています。つまり、最低限の要件、医療分野特有のリスク、病院や医療ソフトウェアサプライヤーが任意ではなく必須として扱うべき管理策を示しています。27001 に対して認証を取得し、データが医療データである場合に、その認証が何をカバーする必要があるかを決定するために 27799 を使用します。病院や国のプログラムでは、認証に加えて、医療分野特有の考慮事項が検討されたことの証明、またはそれらを組み込んだ国のスキームがますます求められています。
ISO/IEC 27001:2022 の概要
ISO/IEC 27001:2022 は、情報セキュリティマネジメントシステムの国際規格で、認証を受けることができます。第4条から第10条には、組織の状況、リーダーシップ、リスクに基づく計画、支援、運用、パフォーマンス評価、改善に関する要件が定められています。附属書Aには、適用宣言書で選択・正当化された4つのテーマにわたる93の管理策がリストアップされています。認証には、2段階の監査、年次のサーベイランス、および3年ごとの再認証が含まれます。
この規格には10の条項があり、条項4から10が要求事項です。これらは、組織の状況と適用範囲、リーダーシップ、計画（リスクアセスメントとリスク対応、目標）、支援（リソース、力量、文書化）、運用、パフォーマンス評価（監視、内部監査、マネジメントレビュー）、改善です。附属書A には、4つのテーマ（組織的、人的、物理的、技術的）に分類された93の管理策がリストされています。これは、2013年版の114の管理策から再編成されたもので、脅威インテリジェンス、クラウドサービス、事業継続のためのICT準備、データマスキング、データ漏洩防止、監視、Webフィルタリング、セキュアコーディングに関する新しい管理策が含まれています。すべての管理策を実装する必要はありません。適用宣言書で、どの管理策を適用し、なぜ他の管理策が関連しないのかを正当化する必要があります。認証は、ステージ1およびステージ2の監査を経て、その後年次サーベイランス、3年ごとの再認証となります。
ISO 27799 が追加すること
ISO 27799 は、ISO/IEC 27002 の管理策に、医療分野に特化したガイダンスを追加します。個人健康情報については、ユニークなユーザー識別、役割およびケア関係に基づくアクセス制御、健康記録へのすべてのアクセスに関する監査ログ、モバイルデバイスおよび転送中の暗号化、安全な廃棄、インシデント管理、事業継続性など、いくつかの管理策を必須としています。また、医療機関特有の脅威についても説明しています。
27799（現行版 2016年）は、27002 の管理策を順に見ていき、それぞれについて医療機関が何をすべきかを述べています。「検討すべき」から「～しなければならない」に引き上げられた事項がいくつかあります。具体的には、医療情報に特化した文書化された情報セキュリティポリシー、一意のユーザー識別（臨床システムでのアカウント共有の禁止）、役割およびケア関係に基づくアクセス制御、個人健康情報へのすべてのアクセスに対する監査ログ（保持およびレビュー可能）、モバイルデバイス上および転送中の健康情報の暗号化、安全な廃棄、プライバシー侵害を含むインシデント管理、そして記録が利用できないことが患者に害を及ぼす可能性があるため、事業継続です。また、医療分野特有の脅威についても説明しています。例えば、知り合いの記録を内部者が閲覧すること、患者間の誤ったファイリング、研究抽出物の脆弱性、古いデータを長期間公開し続ける長い保持期間などです。
両規格と関連規格
ISO/IEC 27001 と ISO 27799 は連携して機能します。27001 は認証可能なマネジメントシステムであり、27799 は含めるべき管理策に関する医療分野のガイダンスです。近隣の規格やスキームがニーズをカバーしています。プライバシーについては ISO 27701、クラウドについては ISO 27017 および 27018、米国の顧客向けには SOC 2 および HITRUST、フランスの HDS、ドイツの C5、イングランドの NHS DSPT、スペインの ENS は、国内調達のために利用できます。
| 規格またはスキーム | タイプ | 用途 |
|---|---|---|
| ISO/IEC 27001:2022 | 認証可能なISMS要求事項 | 病院や入札で求められる認証 |
| ISO/IEC 27002:2022 | 管理策ガイダンス | 附属書Aの管理策の実装 |
| ISO 27799:2016 | 医療分野ガイダンス | 医療データの管理策の適用範囲設定と正当化、デューデリジェンスにおける証拠 |
| ISO/IEC 27701:2019 | 27001/27002 のプライバシー拡張 | コントローラーおよびプロセッサーとしてのGDPR準拠プライバシー管理の提示 |
| ISO/IEC 27017 および 27018 | クラウドセキュリティおよびクラウドプライバシーガイダンス | 個人データを扱うクラウドプロバイダーおよびSaaS |
| SOC 2 (AICPA) | 米国の信頼基準に関する監査報告書（タイプIまたはII） | 米国の顧客および投資家向け、認証ではない |
| HITRUST CSF | 米国の医療フレームワークおよび認証 | 米国の医療システムおよび保険会社が要求する場合 |
| HDS (フランス) | フランスでの医療データホスティングに関する必須認証 | フランスの医療データをホストするあらゆるプロバイダー向け、27001を基盤 |
| C5 (ドイツ) | BSI クラウド証明 | ドイツの公共部門および病院調達向け |
| NHS DSPT (イングランド) | 年次自己評価ツールキット | NHSへのあらゆるサプライヤー向け |
| ENS (スペイン) | 国家セキュリティフレームワーク | スペインの公共部門システム向け |
| IEC 81001-5-1 | 医療ソフトウェアのセキュアな製品ライフサイクル | 医療機器ソフトウェアのサイバーセキュリティ、IEC 62304と併せて |
これらの多くは27001の管理策セットと大きく重複しており、組織は一度マッピングすれば証拠を再利用できます。いくつかの国のスキーム（HDS、C5、ENS）は27001を基盤としており、分野別または国別の要件を追加しています。そのため、欧州で販売するヘルスケアテクノロジー企業にとって、27001は最初の認証として合理的です。
認証を受けるべきものと時期
ヨーロッパで販売するヘルスケアテクノロジー企業の場合、通常はまず ISO/IEC 27001 を認証し、プラットフォームとそれを運用するチームを対象範囲とします。その後、ISO 27799 の医療分野の管理策（レコードごとのアクセスログ、関係に基づくアクセス、暗号化、共有アカウントの禁止、テスト済みの復旧）を実装し、市場が要求する際に ISO 27701、HDS、C5、または SOC 2 を追加します。
- 適用範囲を狭く、正直に設定する: 会社全体のラップトップではなく、プラットフォームとその運用チームに限定します。病院は適用範囲声明を読みます。
- 認証取得前に医療分野特有の要件を満たす: 患者記録ごとのアクセスログ、役割および関係に基づくアクセス、あらゆる場所での暗号化、共有アカウントの禁止、復元テストなどです。病院のセキュリティ質問票にはこれらの項目が尋ねられます。27799 はチェックリストとして役立ちます。
- まず27001を認証し、多くの顧客に対してコントローラーおよびプロセッサーとして処理する場合は27701を追加し、市場が要求する場合はHDSまたはC5を追加し、米国の顧客が要求する場合はSOC 2を追加します。
- GDPRとの関連性を明確にする: 第32条はリスクに応じたセキュリティを求めており、27799に基づいた適用範囲を持つ27001認証は、それを証明する最も認知された方法です。DPIAの対策セクションとISMSのリスク対応計画は同じリストであるべきです。健康アプリのDPIA を参照してください。
- NIS2（対象となる組織向け）および提案されているHIPAAセキュリティ規則の更新は、どちらも27001附属書Aに、必須の多要素認証とインシデント報告を加えたような内容です。一つのISMSでこれらすべてに対応できます。病院およびベンダー向けのNIS2 を参照してください。
Anpheros において
Anpheros は、ISO 27001 の構造に沿ってセキュリティプログラムを実行しており、27799 で必須とされる医療分野の管理策を採用しています。具体的には、個人が読み取れる記録ごとのアクセスログ、同意と時間に基づくアクセス制御、保存中および転送中の暗号化、EU域内ホスティング、共有アカウントの禁止、テスト済みのバックアップ、そしてGDPRの72時間クロックを含むインシデントプロセスです。開発者サイトには プラットフォームセキュリティ に関するドキュメントがあり、2026年10月のセキュリティレビュー で監査結果を確認できます。
このページは、製品およびエンジニアリングチーム向けの規制について説明しています。これは法的助言ではありません。情報源の下にリンクされているテキストが権威であり、あなたのデータ保護責任者、通知機関または顧問があなたのケースを判断します。最終レビュー日：2026年10月。
関連ページ
- 病院およびヘルスケアテクノロジーベンダー向けのNIS2
- 健康アプリのDPIA
- HIPAA vs GDPR
- 私の医療記録を誰が見たか？
- 医療データ規制マップ
- プラットフォームセキュリティ（開発者サイト）
情報源
- ISO/IEC 27001:2022
- ISO/IEC 27002:2022
- ISO 27799:2016, Health informatics: information security management in health using ISO/IEC 27002
- ISO/IEC 27701:2019
- ANS (フランス): HDS認証
- BSI (ドイツ): C5基準カタログ
- NHS England: Data Security and Protection Toolkit
よくある質問
ISO 27799 に対して認証を取得できますか？
いいえ。27799 はガイダンスであり、認証機関は ISO/IEC 27001 を認証します。27001 の適用範囲と適用宣言書で 27799 を参照することで、認証が医療分野特有の管理策を確実にカバーしていることを示すことができます。
SOC 2 は ISO 27001 と同等ですか？
重複する部分もありますが、種類が異なります。SOC 2 は、信頼基準に対して一定期間の管理策に関する監査人の報告書であり、米国で一般的です。一方、27001 は認証されたマネジメントシステムであり、欧州および国際的に一般的です。多くのヘルスケアテクノロジー企業が両方を取得しています。
フランスのクリニックにサービスを提供するために HDS は必要ですか？
フランスの医療提供者のために医療データをホストする場合、はい、HDS認証はフランス公衆衛生法に基づく法的要件であり、ほとんどのフランスの顧客はそれなしでは契約しません。27001 を基盤としているため、まずはそこから始めましょう。
ISO 27001 の取得にはどのくらい時間がかかりますか？
集中した適用範囲と献身的なチームがあれば、開始から認証まで6ヶ月から12ヶ月かかります。そのほとんどは、管理策を実際に実施し、証拠を収集することに費やされます。監査自体は数日間です。
サンドボックスで無料で試す
5分で最初のFHIR呼び出し. 患者さんの同意が組み込まれたHL7 FHIR R4 APIです。サンドボックスでお試しいただき、ご自身のアプリやクリニックのシステムを接続してください。
無料・合成患者30人・カード不要
Anpherosは、患者が管理し、あらゆるクリニックと共有できる医療記録を、EUを拠点とするHL7 FHIR R4プラットフォーム上で構築しています。これらのガイドは、ご自身の健康を理解し整理するのに役立ちますが、医師の代わりになるものではありません。
Anpherosについて →