医療インフラとセキュリティ
医療のサイバーセキュリティ
NIS2が病院とヘルスケアテクノロジーのサプライヤーに求めること、ISO 27001とISO 27799の位置づけ、安全な医療アプリを支えるIDとアクセス制御。
EUのNIS2指令（指令 (EU) 2022/2555）のもとで、医療は非常に重要度の高い分野です。規模のしきい値を超える病院やその他の医療提供者は、リスク管理措置を講じ、重大なインシデントを段階的に報告し（24時間以内の早期警告、72時間以内の通知、1ヶ月以内の最終報告）、サプライヤーのセキュリティを管理しなければなりません。その根底にある技術的な作業はどこでもほぼ同じです。IDとアクセス制御、多要素認証、暗号化、ログ記録、バックアップ、サプライヤー保証です。
| 主なEU法 | NIS2、指令 (EU) 2022/2555、各国の国内法を通じて適用 |
|---|---|
| 対象となる事業者 | 医療提供者、EU参照研究所、一部の医薬品・医療機器メーカー、およびそれらが依存するクラウド・マネージドサービスプロバイダー |
| インシデント報告 | 重大なインシデントの24時間後、72時間後、1ヶ月後 |
| マネジメント標準 | ISO/IEC 27001、医療分野固有のガイダンスとしてISO 27799 |
| アプリレベルの制御 | OAuth 2.0、OpenID Connect、SMART on FHIR、監査ログ |
NIS2は医療分野に何を求めていますか？
医療データにはどのセキュリティ標準が適用されますか？
医療アプリはIDとアクセスをどのように扱いますか？
- ヘルスケアアプリにおけるセキュリティと本人確認：全体像ヘルスケアアプリが、ユーザーが誰であるか、何にアクセスできるか、そして何を行ったかをどのように証明するか：OAuth 2.0および2.1（PKCE対応）、OpenID Connect、SMART on FHIRのスコープ、承認の根拠としての患者の同意、「ブレイク・ザ・グラス」、患者が閲覧できるアクセスログ、AuditEventイベント、本人確認、暗号化、そして規制当局が期待する基本事項。
- SMARTアプリ起動の解説：スコープ、起動、PKCESMARTアプリ起動は、ユーザーの許可を得て、あらゆるFHIRサーバーに対してアプリを実行できるHL7仕様です。発見、EHRおよびスタンドアロン起動、PKCEによる認可コードフロー、スコープ構文、起動コンテキスト、更新トークン、バックエンドサービス、そしてSMART v2での変更点について、実際の要求とともに解説します。
開発者向け
Anpheros Platform
相互運用可能な医療データの上に構築する
Anpheros Platformは医療記録のためのFHIR R4 APIで、患者の同意管理、無料のサンドボックス、Dart・Flutter・TypeScript向けSDKを備えています。