医療業界の変革におけるガバナンス、リスク管理およびコンプライアンス戦略

基于《医療保健における情報技術ガバナンス、リスクとコンプライアンス（第 2 版）》を解釈し、この文を作成しました。特に王安宇先生の丁寧な指導に感謝します。

また、友人の繁殖哥と Steve の助けにも感謝します。

この記事は投稿先：https://mp.weixin.qq.com/s/ulk8I5NqN3bU6Gcl3igw2Q

医療業界の急速な発展に伴い、クラウドコンピューティング、人工知能（AI）、ブロックチェーン、IoT（モノのインターネット）などの新興技術が業界に深刻な変革をもたらしています。これらの技術は医療サービスの質と効率を向上させる一方で、データセキュリティ、コンプライアンス、リスク管理に関する新たな課題も伴っています。医療保健機関（HDO）は、これらの技術を最大限に活用する際に、データの安全性とコンプライアンスを確保する必要があり、これによりガバナンス、リスク管理、コンプライアンス（GRC）フレームワークの構築と最適化が極めて重要になります。

医療保健業界がこれらのリスクを深く理解し、効果的に対処するために、クラウドセキュリティアライアンス大中華圏は《医療保健における情報技術ガバナンス、リスクとコンプライアンス（第 2 版）》レポートを発表しました。このレポートは、クラウドコンピューティング環境における健全な GRC フレームワークの設計の必要性を強調し、人工知能などの新興技術の GRC への応用について深く探討し、これらの技術がもたらす機会と課題を明らかにしています。世界および地域の規制の詳細な解釈を通じて、レポートは医療保健機関にコンプライアンス要件を満たす戦略的提案を提供し、組織が安全を確保しつつ、技術革新から得られる利点を最大限に活用できるようにしています。

レポートは、** 医療保健機関（HDO）がクラウドサービスを利用する状況がますます一般化しているが、クラウドへの移行には課題が伴うことを指摘しています。その主な課題の一つは、クラウド内でガバナンス、リスクとコンプライアンス（GRC）** を確立することであり、これにはビジネスと技術のプロセスを再定義し、第三者プロバイダーに依存する必要があります。医療保健機関がクラウドコンピューティングから利益を得るためには、これらの課題に対処し、業界の規制や基準に準拠することを確保するために、堅牢なクラウド GRC プランを設計し実施することが非常に重要です。

新興技術が医療業界に与える影響#

ブロックチェーン、IoT（モノのインターネット）、人工知能、高度な分析などの新興技術が医療保健分野で急速に採用されており、GRC フレームワークに新たな課題と機会をもたらしています。これらの技術はプロセスを簡素化し、データの完全性を強化し、患者の状態の結果を改善するのに役立ちますが、同時にコンプライアンスとセキュリティ管理において複雑さももたらしています。GRC フレームワーク内でこれらの技術的問題を解決することで、医療保健基準や規制に準拠しつつ、サイバーセキュリティ対策を強化することができます。

クラウドコンピューティングは、医療機関が大量の医療データを効率的に管理・保存し、地域を超えたシームレスな共有と協力を実現し、患者体験を改善することを可能にします。しかし、クラウドコンピューティングは新たなデータプライバシーとセキュリティ管理の課題も引き起こし、特にマルチテナント環境や共有責任モデルの下では、データセキュリティが最優先事項となります。

人工知能 AIは医療業界に新たな活力をもたらし、病気予測から精密医療まで、AI システムは大量の複雑な医療データを処理・分析し、医師がより正確な意思決定を行うのを助けます。しかし、AI システムのセキュリティ、データ品質、アルゴリズムの倫理問題も広く注目されており、GRC 体系の役割が一層重要になっています。

IoT 技術は、さまざまな医療機器やセンサーを接続することで、患者ケアの質を向上させました。しかし、IoT デバイスの広範な接続は新たなセキュリティの脆弱性ももたらし、これらの脆弱性は患者の安全を直接脅かす可能性があります。

ガバナンス#

クラウドコンピューティングは、従来のデータセンターとは異なる独自の特性を持っているため、医療保健機関は IT ガバナンスを実現する方法を再考する必要があります。医療保健機関は、ガバナンスを計画、定義、実施、監視するためのガバナンスライフサイクルを実施し維持しなければなりません。医療保健機関は、責任共有モデルとマルチテナント環境をどのように管理するかを考慮する必要があります。さらに、医療保健機関はクラウド優先戦略を持っているかもしれませんが、少なくとも最初は、ハイブリッドクラウド環境に置かれることになります。医療保健分野における効果的な IT ガバナンスは、技術投資が組織の目標と一致し、リソースが効率的に配分され、意思決定プロセスが透明で責任を持つことを保証します。これには、IT システムと人員のための方針、手続き、基準を設定することが含まれます。

クラウドベースのアーキテクチャとビジネス運営は、従来のオンプレミスデータセンターアーキテクチャよりも多様で複雑であるため、オンプレミスデータセンター環境で使用される同じ方針やツールに依存することでは、クラウドでの成功を保証することはできません。クラウドガバナンスは、リスクと基準フレームワークに基づく医療保健機関の方針と基準の集合です。情報システム監査と制御協会（ISACA）によると、クラウド環境におけるガバナンスは、クラウドコンピューティングサービスの利点を享受しつつ、リスクを最小限に抑え、投資を最適化し、法的規制要件へのコンプライアンスを確保するのに役立ちます。

クラウドガバナンスモデルを作成することで、医療保健機関は多くのクラウド優先戦略の落とし穴を避けることができます。クラウドコンピューティングを医療保健機関に導入すると、役割、責任、プロセス、指標に影響を与えます。リスクに対処し、クラウドサービスを効果的に調達・運営するための標準とガイドラインを提供するガバナンスがなければ、医療保健機関は以下のような一般的な問題に直面する可能性があります：

企業目標との不一致
頻繁な方針例外のレビュー
プロジェクトの停滞
コンプライアンスまたは規制の罰則または失敗
データガバナンスと管理
予算超過
不完全なリスク評価

サービス指向アーキテクチャ（SOA）フレームワークに基づくと、クラウドガバナンスライフサイクルは 4 つの段階で構成されています：

計画（Plan）
定義（Define）
実施（Implement）
監視（Monitor）

リスク#

クラウドリスク管理は、クラウド関係のライフサイクル全体にわたって、現代のハイブリッドクラウド環境におけるリスクを特定、評価、制御するプロセスです。異なるタイプのクラウド（IaaS、PaaS、SaaS）が採用され、CSP が提供するサービスや環境に対する可視性が欠如しているため、責任共有モデル下でのリスク管理は複雑であり、これは第三者リスク管理（TPRM）の一部でもあります。リスク評価は、クラウドの展開形式によって異なる場合があります —— プライベートクラウド、パブリッククラウド、またはハイブリッドクラウドです。

リスクを特定することは、リスク管理の基本的な活動です。医療保健機関がリスクを特定できなければ、リスクを成功裏に管理することは困難です。医療保健機関は、リスクをタイムリーに特定し、それを適切な利害関係者に伝えることができることを確保する必要があります。

リスク特定における重要な活動には以下の点が含まれます：

リスクの分類を確立する。リスク / 脅威の出所を特定することは、脅威状況を考慮する一般的な方法の一つです。このアプローチは、共通の特徴、戦術、傾向を持つリスクを分類するのに役立ちます。
テクノロジーと情報資産に依存する運営活動のリスクの出所を特定する。医療保健機関がネガティブな運営イベントに関して持つ歴史的な経験をレビューすることは、リスクの出所を特定するための良い第一歩となります。医療保健機関はこのリストから始め、その後、リスク管理活動の範囲と独自の運営環境に基づいてカスタマイズすることができます。
特定された運営リスク情報をリスクレジストリまたは他の追跡メカニズムに記録する。医療保健機関のリスク管理戦略は、運営活動とプロセスを優先順位付けし、管理されているものと、あまり重要でなく、低い関心レベルが必要な活動とプロセスを区別する必要があります。
あなたの技術組織が慣れ親しんでいる作業方法に一致する報告メカニズムを確立する。

コンプライアンス#

クラウドコンプライアンスは、クラウドプラットフォームに保存されている情報を保護し、規制するためのガイドライン、法律、規制を指します。医療保健機関にとって、これは安全性とプライバシーに関する規制や法律を含みます。これには、データがどのように保存、保護、使用されるかが含まれます。個人識別情報（PII）、個人健康情報（PHI）、または支払いカード業界（PCI）データのいずれであっても、保護される必要があります。

クラウドコンプライアンスは、クラウドサービスを使用する際にコンプライアンス要件を満たすことを確保するプロセスです。医療保健機関がクラウドコンピューティングを使用する際、彼らはコンプライアンス責任をクラウドサービスプロバイダー（CSP）にアウトソーシングしているわけではありません。規制機関や顧客は依然として彼らの責任を追及することができ、医療保健機関は法律、規制、契約上の義務を遵守する責任を負っています。

医療保健機関は通常、さまざまな IT サービスを提供するために第三者の供給者やサービスプロバイダーに依存しています。第三者供給者のセキュリティ状況を評価し、そのセキュリティ慣行に対してデューデリジェンスを行い、明確なセキュリティ責任とコンプライアンス要件を持つ契約を結ぶことが重要です。

効果的なクラウドコンプライアンス政策を実施することは、組織がそのクラウド環境の安全性と法令遵守を確保するために不可欠です。医療保健機関は、業界の規制と特定のビジネスニーズに一致する明確なコンプライアンス目標を設定する必要があります。包括的なリスク評価を行うことで、医療保健機関は潜在的なセキュリティリスクとコンプライアンスの脆弱性を特定できます。明確で文書化された方針と手続きを策定することが重要です。これらの方針は、アクセス制御、暗号化、データ処理、インシデント対応と管理、変更管理、脆弱性管理、データ漏洩通知をカバーする必要があります。クラウド環境の継続的な監視は、コンプライアンスの問題やセキュリティインシデントをタイムリーに特定し、修正するのに役立ちます。

クラウドと AI 時代の医療 GRC の構築#

クラウドコンピューティングと人工知能（AI）が急速に発展する中、医療保健組織は前例のない技術的課題に直面しており、この新興技術環境の複雑な要求に適応するために、ガバナンス、リスク管理、コンプライアンス（GRC）フレームワークを再構築する必要があります。クラウドコンピューティングは高度に複雑なビジネス運営モデルをもたらし、医療機関は既存の GRC フレームワークを全面的に調整・最適化する必要があります。

データ分類と管理

クラウド環境では、データ管理がより複雑になります。データの保存と処理が複数の地域やプラットフォームに分散する可能性があるため、医療機関はデータを分類し、データの機密性レベルを明確にし、それに応じたアクセス制御と保護措置を策定する必要があります。データ分類の正確性と一貫性を確保することで、データ漏洩リスクを低減し、関連する規制要件に準拠することができます。

明確な役割と責任の分配

医療保健機関は、クラウドコンピューティングにおけるガバナンスとコンプライアンスの課題に対処する際、AI 技術の適用が責任の分配の複雑さをさらに悪化させています。AI の大規模モデルや生成 AI 技術が医療分野で広く使用される中、医療保健機関はデータ保護とプライバシーコンプライアンスの責任だけでなく、AI システムのセキュリティ、データ品質、アルゴリズムの正確性に対しても責任を負う必要があります。医療機関は、データ入力、処理、分析、最終的な意思決定の出力を含む AI アプリケーションの各段階が、安全性とコンプライアンス要件を満たすことを確保し、アルゴリズムの偏りやデータプライバシー漏洩のリスクを回避しなければなりません。

同時に、クラウドサービスプロバイダーは、インフラストラクチャのセキュリティやデータストレージのコンプライアンスなどの責任を負い、クラウドプラットフォームの安全性、安定性、およびマルチテナント環境でのコンプライアンス管理を保証します。両者の間の責任の境界は明確に区分され、クラウドコンピューティングと AI システムの効果的な統合と協力を確保する必要があります。

クラウドガバナンスポリシーと基準の策定と実施

医療機関は、クラウドコンピューティングと AI 環境において新しいガバナンスポリシーを確立し、クラウドサービスの調達、構成、アクセス管理、変更管理などの側面をカバーする必要があります。クラウドセキュリティコントロールマトリックス（CCM）などのフレームワークを活用することで、医療機関はクラウドと AI の統合におけるセキュリティリスクを包括的に評価・管理し、コンプライアンスとデータセキュリティを確保できます。

継続的な監視と監査

技術と規制要件が常に変化するため、医療機関は最新のリスクとコンプライアンス要件に対応するために、GRC フレームワークを定期的に見直し、更新する必要があります。クラウドセキュリティ状況管理（CSPM）ソリューションを実施することで、医療機関はクラウドと AI 環境におけるセキュリティ設定をリアルタイムで監視し、潜在的な脆弱性を迅速に修正することで、GRC フレームワークの全体的な有効性を向上させることができます。

トレーニングと意識向上

すべての関連者、IT チーム、管理層、ビジネスユーザーは、新しいガバナンスポリシーとセキュリティ基準を理解し、遵守する必要があります。定期的なトレーニングと意識向上を通じて、各メンバーが GRC フレームワークにおける自らの役割と責任を理解し、日常業務で関連する方針を効果的に実行できるようにします。

クラウドと AI の融合時代に適応した医療 GRC フレームワークを構築するためには、医療保健組織がデータ管理、責任分配、ポリシー策定、継続的な監視、スタッフのトレーニングなどの複数の側面で体系的な管理を行う必要があります。このような包括的な管理を通じて、医療機関はクラウドと AI 技術がもたらす効率と革新を享受しつつ、データの安全性とコンプライアンスを確保できます。

さらに、医療業界が「デジタルインテリジェンス時代」に突入する中で、GRC フレームワークは AI が医療データ処理や医療サービスにおいて適用されることをさらにカバーする必要があります。AI 技術を適切に活用することで、医療保健機関は医療サービスの精度と普及性を向上させ、患者のプライバシーを効果的に保護し、データの安全性を確保できます。

結語#

ガバナンス、リスク、コンプライアンス（GRC）は、医療保健機関がそのガバナンス、リスク管理、規制コンプライアンスの方法を構造化するのを助けるプロセス、実践、フレームワーク、技術のセットです。その目標は、組織のリスク管理と規制コンプライアンスの作業を統一し調整することです。慎重に計画された GRC 戦略は、医療保健機関に多くの利点をもたらすことができます。クラウドコンピューティングを採用する際、医療保健機関はそのセキュリティニーズを真剣に特定し、サービスプロバイダーのセキュリティとプライバシーコントロールを評価し、共有責任とコンプライアンス責任の移転を理解する必要があります。コンプライアンス要件を深く理解し、包括的なリスク評価を行うことで、医療保健機関は安全でコンプライアンスに準拠したクラウド適応の基盤を築くことができます。GRC は、パフォーマンス活動をビジネス目標に整合させ、企業リスクを管理し、コンプライアンス規制を満たし、医療サービス環境の安全と保障を確保するのに役立ちます。