デジタルヘルスガイド

トピック1.7 — 情報ガバナンス、データ保護、サイバーセキュリティ

医療・ケアでは、情報を守ることは、ケアを提供することと切り離せません。命を救うのと同じデータも、誤って扱えば、治療を可能にしている信頼を壊しかねません。したがって、それをどう統治し、共有し、守るかは、コンプライアンスの後回しではなく、臨床上、倫理上、そして公的信頼上の義務です。

医療・ケアにおいてなぜ重要か#

医療・ケアのデータは、人が生涯に作り出す情報の中で最も機微なものの一つです。診断、薬剤、精神保健のエピソード、性の健康、移民に関わる受給資格、そして虚弱で脆弱な人々の生活の親密な詳細を記録しています。人々はこうしたことを、暗黙の約束のもとに臨床家に打ち明けます。その情報は自分を助けるために使われ、不用意に広められることはない、という約束です。その約束が、漏えい、ランサムウェアによる停止、説明のないデータ共有の取引によって破られると、患者は情報を隠し、記録からオプトアウトし、あるいはケアそのものを避けるようになります。これは抽象的な害ではなく、臨床安全と集団の健康を直接損ないます。

リスクは運用面にもあります。現代の病院は、電子システムなしには機能しません。オーダー、検査結果、電子処方、画像、患者管理はすべてデジタルです。それらが止まれば、救急車は迂回し、手術は中止され、臨床家は紙に戻り、そのこと自体が新たな誤りを生みます。したがって情報ガバナンスとサイバーセキュリティは、ケアの継続のための規律です。それらは、別のコンプライアンスのサイロではなく、臨床安全（トピック1.6 — 臨床安全とリスクマネジメント）の隣に置かれるべきものです。

最後に、本トピックの中心には、本物の、避けがたい緊張があります。国民は、医療サービスがデータを使ってケアを改善し、サービスを計画し、明日の治療法を見つける研究を支えることを、当然のこととして期待しています。同時に、守秘と自己決定も期待しています。これらの目標は互いに引っ張り合い、リーダーとしての仕事は、その緊張がないふりをすることではなく、公然と管理することです。正当な利用を可能にしつつ、安全装置と、患者に与えられた選択肢を、見える形で誠実に示すのです。このバランスをどちらの方向に崩しても負けます。ケアと研究からデータを奪うか、システム全体が依存する信頼を損なうかです。

中核概念#

この分野を支えるのは、情報ガバナンスの規律です。組織が情報を、合法的に、安全に、倫理的に扱うための、ルール、役割、統制の枠組みです。英国では、主要な法的基盤は、EU離脱後に保持されたEU規則の国内版である英国一般データ保護規則（UK GDPR）と、それを補う2018年データ保護法（DPA 2018）です。両者は合わせて、個人データが適法、公正、透明に処理されること、そしてすべての処理活動が適法な根拠に基づくことを求めます。健康情報は特別な種類のデータであり、第6条に基づく適法な根拠と、第9条に基づく追加の条件の両方が必要です。直接のケアであれば、通常は、守秘義務の下にある専門職による保健・社会的ケアの提供です。

データ保護法だけが制約ではありません。コモン・ローの守秘義務は、別の、より古い義務です。秘密に与えられた情報は、同意、法的要件、あるいは優越する公益のいずれかなしに開示されてはなりません。UK GDPRに完全に準拠していても、守秘義務に違反することはあり、両方を満たさなければなりません。

二つの医療固有の枠組みが、これらの義務を実践に落とし込みます。Caldicott原則は、機密の患者情報を扱うための原則の集合（現在は8つ）で、1997年のCaldicott報告書で初めて示されました。各組織の中では、患者の守秘を守り、適切な情報共有を可能にする責任を負う上級者、Caldicott Guardianによって維持されます。国のレベルでは、National Data Guardian for Health and Social Care（NDG）が、患者データをどう使い、守るべきかについて助言する、独立した法定の声です。全国データ・オプトアウトは、患者が、自分の機密情報が、計画や研究のような、直接のケアを超えた目的に使われるのを防ぐ手段を与えるもので、組織はそれを尊重しなければなりません。

運用面では、データ保護影響評価（DPIA）は、高リスクとなりうる処理の前に行う構造化された評価で、新しい医療データのプロジェクトの大半がそれに当たり、プライバシーのリスクを特定し軽減します。各組織は、コンプライアンスについて助言し監視する独立した役割であるデータ保護責任者（DPO）を任命しなければなりません。イングランドでは、Data Security and Protection Toolkit（DSPT）が、医療・ケア組織が、NHSのデータを扱うのに必要なデータセキュリティと情報ガバナンスの標準を満たしていることを示す、年次の自己評価です。

セキュリティの面では、National Cyber Security Centre（NCSC）が、権威ある英国のガイダンスと、Cyber Assessment Framework（CAF）を通じて、サイバーレジリエンスを測定する構造化された方法を提供します。健全な実践は、確立された基本に拠っています。複数の統制を重ね、単一の失敗が壊滅的にならないようにする多層防御、人とシステムに、本当に必要なアクセスだけを与える最小権限の原則、規律あるパッチ適用と、検証済みのバックアップ、そして、金銭を要求するためにシステムを暗号化するマルウェアであるランサムウェアへの備えです。予防だけでは決して持ちこたえられないため、成熟した組織は運用にも投資します。侵入を検知し封じ込めるために、ログとテレメトリを監視する、社内または共有のケイパビリティであるセキュリティオペレーションセンター（SOC）と、検知から復旧へ素早く進むための、訓練されたインシデント対応プロセスです。2017年のWannaCryランサムウェア攻撃は、イングランドのNHSトラストの約3分の1に支障をきたし、約9,200万ポンドの影響をもたらしたと推定され、今も典型的な戒めの事例です。その被害は、特殊なハッキングよりも、主にパッチの当たっていないシステムに由来しました。

ベストプラクティス#

  1. あらゆるデータのプロジェクトをDPIAから始め、それを書類仕事ではなく設計として扱う。 個人データを処理するものを構築または調達する前に、DPOとCaldicott Guardianとともにデータ保護影響評価を行います。早期に行えば、すでに下された決定に判を押すのではなく、収集するデータの最小化、仮名化の選択、アクセスの厳格化といった設計を形づくります。稼働まで棚上げされたDPIAは、ガバナンスが芝居であることの警告です。

  2. 適法な根拠と守秘の根拠を明示し、書き留める。 健康データのあらゆる流れについて、第6条の適法な根拠、第9条の特別な種類の条件、そしてコモン・ローの守秘義務が、同意、法定の根拠、公益のどれで満たされるかを述べます。ここでの曖昧さこそ、プロジェクトが止まったり、ローンチ後に取り下げられたりする場所です。明示することは、処理を平易な言葉で患者に説明できるようにもし、それ自体が法的要件です。

  3. 最小権限とロールベースのアクセスを、あらゆる場所に適用する。 臨床家、管理者、研究者、システムに、その役割が必要とするアクセスだけを与え、人が異動し退職するのに合わせて、定期的にレビューします。機微な記録へのアクセスをログに記録して監査してください。検知されるという信憑性のある脅威は、あらゆる技術的な統制と同じくらい、不適切な好奇心を抑止するからです。現実の侵害の多くは日常的なものです。洗練された侵入ではなく、誤った人が誤った記録を見てしまうことです。

  4. 高度なツールを買う前に、サイバーの基本を正しく行う。 NCSCのガイダンスは地味で効果的です。特にインターネットに面したシステムと臨床システムには速やかにパッチを当て、多要素認証を強制し、感染が自由に広がれないようネットワークを分割し、オフラインで検証済みのバックアップを維持します。WannaCryは、パッチの当たっていないWindowsシステムを通じて広がり、その教訓は色あせません。基本的な衛生管理が、インシデントの大半を防ぎます。まず基本に投資し、基礎が固まってから、高度な検知を購入してください。

  5. 攻撃されることを前提とし、対応を訓練する。 システムが利用できなくなることを前提とした、臨床での紙への切り替え、職員と患者への連絡計画を含む、インシデント対応と事業継続の計画を維持し、訓練します。バックアップは、実際にそこから復元して検証してください。一度も復元したことのないバックアップは、統制ではなく願いです。机上演習を実施し、チームが初めてランサムウェアによる停止に対処するのが、本物のときにならないようにします。

  6. DSPTを誠実に完了し、本物の評価として使う。 Data Security and Protection Toolkitは、NHSのデータを扱うための要件ですが、その価値は、形式的なチェックの儀式ではなく、誠実な年次の棚卸しとして扱うことから生まれます。標準を満たせない箇所では、自らの立場を誇張せず、ギャップと、信頼できる改善計画を記録してください。水増しされたDSPTの提出は、取締役会に偽りのアシュアランスを与え、それは何もないよりも悪いものです。

  7. 情報共有を、障害ではなく、設計されたケイパビリティにする。 統合ケアシステム（ICS）では、良いケアは、トラスト、一般診療所、社会的ケア、コミュニティの提供者の間で、組織の境界を越えてデータが流れることに依存します。明確な情報共有協定（ISA）とデータ共有協定を結び、適法な根拠と守秘の根拠を共同で合意し、適切な専門職が、ケアの現場で適切な情報を見られるよう共有記録を設計します。目標は、安全な共有であり、共有しないことではありません。臨床家が必要とするデータを差し控えることは、それ自体が患者安全の失敗です。これはトピック4.3 — 相互運用性とデータ標準に直結します。

  8. 患者の選択を尊重し、二次利用について透明にする。 あらゆる二次利用の流れで全国データ・オプトアウトを尊重し、データが計画や研究にどう使われるかについて、明確でアクセスしやすい情報を公表します。データが商業パートナーと共有されたり、モデルの訓練に使われたりする場合は、漏えいで表面化するのを待つのではなく、積極的に開示してください。隠された取り決めは、繰り返し世論の反発とオプトアウトの急増を引き起こしてきました。透明性は礼儀ではなく、データを流し続けるためのものです。

  9. 記録を、ライフサイクル全体にわたって管理する。 NHS Records Management Code of Practiceに基づく保存スケジュールを適用し、保存期間が終われば記録を安全に廃棄し、期間中は、アクセス可能で損なわれない状態に保ちます。不適切な記録管理は、リスク（もう必要のないデータを持ち続ける）と害（臨床家が頼るデータを失う）の両方を生みます。システム間の移行は高リスクの場面です。データ品質、マッピング、アーカイブを意図的に計画してください。

  10. 調達とサプライヤー管理にガバナンスを組み込む。 データ保護とセキュリティの要件を契約に盛り込みます。データ処理の条項、DSPTまたは同等の認証、侵害通知の期限、監査の権利です。サプライヤーの弱いセキュリティは、あなたのインシデントとあなたの見出しになるため、自らの境界だけでなく、サプライチェーンを評価してください。トピック6.3 — 調達と商事で扱うように、これを商事の同僚と共同で進め、データがどこでホストされ、誰がアクセスできるかについて、明確な回答を求めます。

  11. 予防だけでなく、検知に投資する。 一部の攻撃が防御をすり抜けることを前提とし、それを見るためのケイパビリティを構築します。集中的なログ収集、主要システムの監視、そして、社内、ICS内での共有、あるいはNCSCやNHS Englandのサイバーオペレーションのような国のサービスを活用するセキュリティオペレーションセンターです。疑わしい活動が、数週間後に発見されるのではなく、見つけられ封じ込められるようにします。これを継続的な脆弱性管理と脅威検知と組み合わせ、攻撃者が実際に悪用する弱点にパッチを当てます。検知は、インシデントが停止に発展する前に封じ込める時間を稼いでくれます。

  12. 重大なサイバー攻撃を、臨床の継続性に関わる出来事として扱う。 システムが止まっている間、誰がインシデントを宣言し、誰が技術的対応を指揮し、誰が臨床安全と外部への連絡を担うかを明記した、サイバーインシデント対応計画を書き、資源を割り当て、訓練します。それを、事業継続と災害復旧の取り決め（トピック3.9 — 事業継続と災害復旧参照）と、重大インシデントとEPRRのプロセス（トピック3.10 — 緊急事態への備え、レジリエンス、対応参照）に直接結びつけ、ランサムウェアによる停止が、患者のケアへのあらゆる脅威と同じ規律で扱われるようにします。IT部門の中だけに存在する計画は、攻撃が臨床上の危機になった瞬間に破綻します。

チームで話し合うための問い#

  1. 私たちのサービスのどこで共有が少なすぎ、どこで多すぎるのか。そして、どうやってそれを知るのか。 情報ガバナンスの失敗は、両方向に走ります。共有しすぎは、侵害と信頼の侵食として現れます。共有が少なすぎることは、静かに現れます。アレルギーを見られなかった臨床家、機関の間に落ちたセーフガーディングの懸念、コミュニティのチームが文脈を欠いていたために失敗した退院。自分たちの現場の具体的な事例を議論してください。差し控えを自動的に安全だとみなす、しばしば防衛的な偏りがあるか。共有の境界が患者を害していることを、どんなシグナルが教えてくれるか、そして気づく責任は誰にあるか。成熟したチームは、両方の失敗モードの例を挙げられ、それぞれをエスカレーションする経路を持っています。

  2. 明日の朝、ランサムウェア攻撃で私たちの臨床システムがオフラインになったら、最初の1時間に実際に何が起きるのか。 紙の上の計画を超えて、生の現実に進んでください。誰がインシデントを宣言し、メールとイントラネットが止まっているかもしれないときに、職員はどうやってそれを知るのか。処方、検査結果、患者確認の臨床での代替手段は何か、最前線の職員はそれを練習したことがあるか。患者安全が低下するまで、各サービスは紙でどれだけ運営できるか、そして迂回や中止をどう決めるか。バックアップから復元して、それが機能することを証明したのはいつか。この会話の誠実さ、特に、人々が認めたがらないギャップは、どんなフレームワークのスコアよりも、レジリエンスの良い尺度です。

  3. 懐疑的な患者に、私たちのデータの利用をどう説明するか。そして、患者は私たちが正直に話したと感じるだろうか。 公的な信頼は、法的な通知ではなく、平易な言葉で得られます。自組織でのデータの実際の二次利用を一つ選んでください。サービス計画、研究パートナーシップ、サプライヤーとの取り決め、AIツール。それを普通の人に説明してみます。どのデータを、何の目的で、誰が得をし、どんな安全策があり、本人にどんな選択肢があるか。説明が居心地悪くなったり、はぐらかしたりするのはどこか。その居心地の悪さは、通常、変えるべきか、より率直に伝えるべきものを示しています。全国データ・オプトアウトと透明性の資料が、不信感を抱きやすい人にどう見えるかを考え、これをトピック8.4 — AIと新興技術のガバナンスのAIのガバナンスと結びつけてください。

  4. サプライヤーやパートナーが私たちの患者のデータを保有しているとき、それは誰のインシデントか。そして、間に合うように知ることができると確信できるか。 医療・ケア組織の多くは、いまやサードパーティの連鎖に依存しています。電子カルテのベンダー、クラウドのホスト、マネージドサービスの提供者、病理や画像のパートナー。その連鎖のどこかでの侵害や停止は、あなたの臨床上の危機であり、あなたの見出しになりますが、契約、認証、侵害通知の時計は、自らの境界よりもはるかに少ない精査しか受けないことがよくあります。データがどこでホストされ、誰がアクセスでき、何か問題が起きたとき、サプライヤーが契約上どれだけ速く知らせる義務を負っているかについて、実際に何を知っているかを議論してください。その通知の経路を試したことがあるか、サプライヤーのDSPTや同等のアシュアランスを、信じるのではなく実際に見たことがあるか。重要なサプライヤー自身が、金曜の夜にランサムウェアに襲われたらどうなるか。誠実な答えは、現時点で説明責任を負わせられないサプライヤーを挙げ、これをトピック6.3 — 調達と商事と結びつけます。

  5. ここで情報ガバナンスのリスクを本当に所有しているのは誰か。そして、その人は、問題が危機になる前に、それを耳にするだろうか。 紙の上では、DPOとCaldicott Guardianが守秘とデータ保護のリスクを所有し、取締役会がサイバーレジリエンスを所有します。実際には、これらの役割は人員が不足していたり、遅れて相談されたり、声ではなく承認として扱われたりすることがよくあり、リスクはインシデントとして表面化するまで、表に出されも、エスカレーションされもしません。Caldicott GuardianとDPOが、実際に決定の早期に巻き込まれているか、彼らが「ノー」と言って聞き入れられるか、そしてサイバーリスクが、取締役会に、うなずいて通す技術的な報告ではなく、理解し所有するものとして届いているかを、正直に話してください。不適切なアクセスに気づいた最前線の臨床家や、パッチの当たっていない重要なシステムを見つけたエンジニアは、それをどう上げればよく、何かが起きると信頼できるか。所有の試金石は、組織図ではなく、不都合な知らせが素早く上に伝わるかどうかであり、これはトピック1.6 — 臨床安全とリスクマネジメントで論じた安全文化に結びつきます。

  6. どのデータを保持し、何を削除し、誰にまだアクセスが必要かを、どう決めているか。そして、最後に実際にそれを行ったのはいつか。 ガバナンスの注意は、データの収集と共有に集中しますが、保持、廃棄、アクセスのレビューは、静かなリスクが蓄積する場所です。適法な保存期間をとうに過ぎて保持された記録、稼働中のシステムをいまだに開ける休眠アカウント、役割が変わる人々について回ったのに、決して取り上げられなかったアクセス権です。もう必要のないすべての記録は、保管している負債であり、すべての古い認証情報は、攻撃者や好奇心旺盛な内部者への入り口です。保存スケジュールが、NHS Records Management Code of Practiceに、実際に従っているのか、方針上だけなのか、アクセス権が最後にレビューされ整理されたのはいつか、システムの移行や廃止という高リスクの場面をどう扱うかを議論してください。削除を押す責任は誰にあり、それについて誰かが評価されているか。誠実な答えは、通常、何年も誰も所有してこなかった、データとアクセスの蓄積を明らかにします。

実践例：医療・ケアの事例#

Meadowford統合ケアシステムは、病院の臨床家、一般診療医、地域看護師、ソーシャルワーカーが、一人ひとりの統一されたビューを見られるよう、共有ケア記録を立ち上げようとしています。このプログラムは臨床家に人気があり、政治的にも目立つため、急ぎたい誘惑があります。

プログラムディレクターは、ガバナンスを構築の後ろではなく、並行して順序づけると主張します。DPIAは開始時に開かれ、DPOと、パートナー組織から選ばれたCaldicott Guardianの代表が共同で主導します。それは、早期の有用な決定を迫ります。記録は、過去のすべての文書ではなく、整理された臨床サマリーを表示する。第三者の情報を含む社会的ケアの記録は、より厳格なルールの下で扱われる。アクセスはロールベースで、正当な関係の確認を伴い、専門職は自分のケアの下にある人の記録しか開けない。すべてのアクセスは記録され監査され、職員にはそれが率直に伝えられます。

パートナーは、コモン・ローの守秘義務と適法な根拠（第6条(1)(e)と第9条(2)(h)に基づく直接のケア）をカバーする単一の情報共有協定に合意し、共有記録は直接のケアにのみ使われ、そのため全国データ・オプトアウトはそれを制限しないことを確認します。同じデータを、集団健康の分析に使う別の提案が届いたとき、チームは、既存の協定を静かに拡張するのではなく、独自のDPIA、独自の適法な根拠、オプトアウトへの準拠、国民向けの周知を伴う、別個の流れとして扱います。

稼働の6週間前に、セキュリティリードがランサムウェアの机上演習を行います。共有記録が利用できなくなった場合の臨床での代替手段がなく、バックアップが一度も復元テストされていないことが明らかになります。チームが、毎晩更新されるオフラインの閲覧専用コピーを追加し、復元が機能することを証明し、最前線の職員に紙への切り替えを周知する間、稼働は1か月遅れます。その遅れは不評ですが、3か月後、サプライヤーのパッチ適用の誤りで主システムが朝の間オフラインになったとき、ケアは代替手段で続き、予約は一つも失われません。プログラムの信頼性、そして記録への臨床家の信頼は、損なわれずに保たれます。トレードオフは明示的でした。より遅いローンチが、より速いローンチなら賭けに出してしまったであろうレジリエンスを買ったのです。

セクター別の視点#

スタートアップ#

ヘルステックのスタートアップは、しばしば最も強い技術的セキュリティの本能を持つ一方、医療固有の守秘やNHS固有の期待についての理解が最も弱いものです。スタートアップなら、NHSの機関があなたとデータを共有する前に、DSPTを完了するか同等のアシュアランスを示すことを想定し、DPOを早期に任命または契約してください。最大のリスクは、分析、モデルの訓練、パートナーシップといったデータの利用を、このセクターが求める適法な根拠、DPIA、透明性なしに急いで進め、それが表面化したときにNHSの顧客を一晩で失うことです。情報ガバナンスを、間接費ではなく、市場参入の要件として扱い、小さいうちに組み込んでください。

小規模事業者#

確立した小規模の提供者、つまり一般診療所、地域薬局、介護施設、訪問介護事業所、単独拠点のクリニック、小規模なヘルステックのサプライヤーは、大きなトラストと同じ法的義務を、その何分の一かの能力で負っています。社内ITがなく、専任のDPOもおらず、経営者や診療所マネージャーが、ほかの十数の仕事と並行してデータを統治していることが多いのです。現実的な道は、持つ余裕のない能力を築くのではなく、共有や外部の助けに頼ることです。契約したDPO、プライマリケアネットワークで共有されるCaldicott Guardian、ICSのサイバー支援、NCSCの小規模組織向けガイダンスです。DSPTは誠実に完了してください。多くの小規模な提供者にとって、それは契約上の要件であると同時に、最も構造化されたチェックリストだからであり、提出を水増しせずに、本物のギャップを記録します。まず、手頃な基本を正しく行ってください。MFA、速やかなパッチ適用、オフラインの検証済みバックアップ、最小権限のアクセス、簡単な紙での代替手段です。これらはインシデントの大半を防ぎ、お金より時間がかかります。サプライヤーのロックインとクラウドの取り決めには特に注意してください。条件を交渉する交渉力がほとんどなくても、患者データがどこにあり、誰がアクセスできるかを知っていなければなりません。

大企業#

大規模なトラストや確立したサプライヤーは、成熟した方針を持ちますが、規模、レガシー、断片化に苦労します。数十のシステム、一貫しないアクセス統制、パッチの当たっていない環境、チームに薄く広がったガバナンスです。課題は一貫性です。リスクの単一のビュー、本物の資産台帳、そしてツールを買うだけでなく、基本を修正するのに足るセキュリティ投資です。WannaCryが大規模な組織を最も強く襲ったのは、まさにパッチの当たっていないレガシー環境のためでした。DSPTとNCSCのCyber Assessment Frameworkを、本物の改善を促すために使い、取締役会レベルの所有が、見えなくなるまで委任されるのではなく、本物であることを確認してください。

政府#

国の機関とコミッショナーは、枠組み、つまりCaldicott原則、National Data Guardianのガイダンス、全国データ・オプトアウト、DSPTを定め、国民規模での公的信頼への責任を負います。データの取り組みは大きく、目立ち、政治的に色がつきやすく、過去のプログラムは、隠された、あるいは説明の不十分なデータ共有が、いかに素早く反発と大量のオプトアウトを引き起こすかを示してきました。拡大の後ではなく前に、透明性、意味のある国民との対話、独立した監督を先頭に据えてください。自分が負うトレードオフを認識してください。過度に慎重な国の政策は、ケアと研究からデータを奪い、不注意な政策は、そのデータの持ち主である国民の同意を失います。

よくある失敗パターン#

  • 芝居としてのガバナンス。 ローンチ後に完了するDPIA、準拠して見えるよう水増しされたDSPTの提出、誰も従わない方針。これは偽りのアシュアランスを生み、認められた弱さより危険である。
  • 派手なツールを買いながら、セキュリティの基本を怠る。 パッチの当たっていないシステム、多要素認証なし、フラットなネットワーク、検証されていないバックアップ。WannaCryを広げたまさにその条件を、高価な検知プラットフォームで飾り立てる。
  • 安全を装った防衛的な過度の慎重さ。 臨床家が正当に必要とするデータの共有を拒み、見逃されたアレルギーやセーフガーディングのギャップ自体が深刻な患者への害であるのに、「ノー」をリスクのないものとして扱う。
  • 隠された二次利用。 ケアのために収集されたデータを、新たな適法な根拠、オプトアウトへの準拠、国民への透明性なしに、分析、商業取引、モデルの訓練へ拡張する。漏えいして信頼が崩れるまで。
  • 一度も復元されなかったバックアップ。 稼働中のランサムウェアのインシデントの最中に、バックアップが不完全、破損、あるいはほかのすべてと一緒に暗号化されていたと発見する。
  • 孤立した説明責任。 組織図上には存在するが、相談も、資源配分も、耳を傾けられることもないDPOやCaldicott Guardian。リスクが表に出されず、所有もされない。

成熟度モデル#

観点 着手 発展 標準化 管理 統合
データ保護とDPIA DPIAはまれに、またはローンチ後に行われる 主要なプロジェクトでDPIAが行われるが、一貫しない DPIAがプロジェクト開始時に組み込まれ、DPOが承認する DPIAの完了状況と未解決のリスクが追跡・報告され、承認が目標に対して保証される プライバシー・バイ・デザインが日常化し、適法な根拠が文書化されレビューされる
サイバーの基本 場当たり的なパッチ適用、MFAなし、フラットなネットワーク パッチ適用とMFAが進行中、一部で分割 基本が徹底され、NCSC CAFに照らして測定される パッチ、MFA、分割のカバー率がKPIに照らして測定され、取締役会に保証される 継続的な堅牢化、脅威に基づき、定期的にテストされる
インシデントへの備え テスト済みの計画なし。バックアップは未検証 計画は紙の上に存在。バックアップは取得されている 計画が訓練され、バックアップが復元テストされ、臨床での代替手段が定義される 復元の成功率と対応時間が目標に対して測定され、演習の指摘事項がクローズまで追跡される 定期的な演習が改善を促し、対応が体に染みついている
情報共有 共有が阻まれる、または非公式に行われる 一部にISAがあり、根拠が不明確または一貫しない 合意された適法な根拠と守秘の根拠を伴うISAが整備されている 共有の流れが棚卸しされ監視され、アクセスと侵害が合意された統制に対して測定される 安全な共有がサービスに設計され、バランスが積極的に管理される
信頼と透明性 二次利用が不透明で、オプトアウトが不徹底 オプトアウトは尊重され、通知はあるが不明確 明確な国民向けの情報があり、オプトアウトが確実に適用される オプトアウトの適用と二次利用の開示が追跡され、方針に対して監査される 積極的な対話。商業やAIの利用が公然と開示される

チェックリスト#

  • あらゆる新しいデータのプロジェクトの開始時にDPIAが開かれ、DPOが承認している。
  • データの流れごとに、適法な根拠、特別な種類の条件、守秘の根拠が文書化されている。
  • Caldicott GuardianとDPOが任命され、資源が配分され、実際に相談を受けている。
  • 最小権限でロールベースのアクセスが徹底され、機微な記録へのアクセスが記録され、監査されている。
  • システムには速やかにパッチが当たり、多要素認証が強制され、ネットワークが分割されている。
  • バックアップが取得され、オフラインで保管され、定期的に復元テストされている。
  • 臨床での紙への切り替えを含む、インシデント対応と事業継続の計画が文書化され、訓練されている。
  • DSPTが誠実に完了しており、ギャップと信頼できる改善計画が記録されている。
  • ICSのパートナー間で、合意された根拠を伴う情報共有協定が整っている。
  • 全国データ・オプトアウトがすべての二次利用に適用され、透明性の資料が公表されている。
  • 記録の保存と安全な廃棄が、NHS Records Management Code of Practiceに従っている。
  • データ保護とセキュリティの要件がサプライヤーとの契約に盛り込まれ、サプライチェーンが評価されている。

主要な情報源#

  • Information Commissioner's Office (ICO) — UK GDPR、DPIA、適法な根拠のガイド。
  • National Data Guardian — データセキュリティとCaldicott原則に関するレビューとガイダンス。
  • NHS England — Data Security and Protection Toolkitと全国データ・オプトアウト。
  • National Cyber Security Centre (NCSC) — サイバーセキュリティのガイダンスとCyber Assessment Framework。
  • UK Caldicott Guardian Council — Caldicott Guardianの役割と責任。
  • National Audit Office — WannaCryサイバー攻撃とNHSに関する調査（2017〜18年）。
  • NHS Records Management Code of Practice。

参考文献#

  1. Information governance — Wikipedia — https://en.wikipedia.org/wiki/Information_governance
  2. General Data Protection Regulation — Wikipedia — https://en.wikipedia.org/wiki/General_Data_Protection_Regulation
  3. Data Protection Act 2018 — Wikipedia — https://en.wikipedia.org/wiki/Data_Protection_Act_2018
  4. Duty of confidentiality — Wikipedia — https://en.wikipedia.org/wiki/Duty_of_confidentiality
  5. Caldicott guardian — Wikipedia — https://en.wikipedia.org/wiki/Caldicott_guardian
  6. National Data Guardian for Health and Social Care — Wikipedia — https://en.wikipedia.org/wiki/National_Data_Guardian_for_Health_and_Social_Care
  7. Data protection impact assessment (Privacy impact assessment) — Wikipedia — https://en.wikipedia.org/wiki/Privacy_impact_assessment
  8. Data protection officer — Wikipedia — https://en.wikipedia.org/wiki/Data_protection_officer
  9. National Cyber Security Centre (United Kingdom) — Wikipedia — https://en.wikipedia.org/wiki/National_Cyber_Security_Centre_(United_Kingdom)
  10. Defense in depth (computing) — Wikipedia — https://en.wikipedia.org/wiki/Defense_in_depth_(computing)
  11. Principle of least privilege — Wikipedia — https://en.wikipedia.org/wiki/Principle_of_least_privilege
  12. Ransomware — Wikipedia — https://en.wikipedia.org/wiki/Ransomware
  13. WannaCry ransomware attack — Wikipedia — https://en.wikipedia.org/wiki/WannaCry_ransomware_attack
  14. Guide to the UK GDPR — Information Commissioner's Office — https://ico.org.uk/for-organisations/uk-gdpr-guidance-and-resources/
  15. Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
  16. National data opt-out — NHS England — https://digital.nhs.uk/services/national-data-opt-out
  17. Cyber Assessment Framework — National Cyber Security Centre — https://www.ncsc.gov.uk/collection/cyber-assessment-framework
  18. Investigation: WannaCry cyber attack and the NHS — National Audit Office — https://www.nao.org.uk/reports/investigation-wannacry-cyber-attack-and-the-nhs/
  19. Information security operations center — Wikipedia — https://en.wikipedia.org/wiki/Information_security_operations_center
  20. Incident response — Wikipedia — https://en.wikipedia.org/wiki/Incident_response

GitHubでこのページを編集 — 本書が信頼できる唯一の情報源であり、このサイトはそれを表示するだけです。