仮想セキュリティルームの構築で時間と場所を選ばず医療情報の安全なデータ処理を実現

各種医療情報やデータ処理サービスを提供するメディカル・データ・ビジョンは、大きく2つの事業を展開しています。1つめが、病院に経営支援システムなどを提供する「データネットワークサービス」、2つめが、病院から二次利用許諾を得た診療情報を分析して製薬会社等に提供する「データ利活用サービス」です。

データネットワークサービスでは、医療情報の発生元の1つである病院に向けて、病院の経営を支援するシステムを提供します。それと同時に、病院もしくは個人から許諾または同意を得て医療・健康情報を蓄積します。この経営支援システムの特徴として挙げられるのが、DPCデータ（※）を活用し、自院の診療内容や状況を他院と比較しながら分析できるベンチマークシステムを搭載し、より一層の医療の質向上と黒字経営を支援することです。

またデータ利活用サービスでは、「データネットワークサービス」で蓄積した医療・健康情報を、病院もしくは個人から匿名化した情報の二次利用について許諾または同意を得て、製薬会社や研究機関等に向けて、薬剤や疾患に関する分析データを提供します。WEB分析システムでの提供の他、製薬会社・研究機関等の個別のニーズに対応する調査サービスを提供しています。

これらのサービスに加えて、メディカル・データ・ビジョンは、医療情報に相当する患者の生の病歴データを記録した病院の電子カルテシステムのデータを新たな電子カルテシステムに移行するサービスも提供しています。

これらサービスを提供する際には、要配慮個人情報である医療情報を取り扱う必要がありますが、その際には厚生労働省／総務省／経済産業省が医療情報システムを取り扱う病院や事業者を対象に定めた2つのガイドライン、いわゆる“3省2ガイドライン”に準拠する必要があります。この点について、同社管理本部 リスク・コンプライアンス部（兼）インフラ部 部門長の渡邉幸広氏は次のように説明します。

渡邉氏「3省2ガイドラインでは、医療情報を取り扱う場合、隔離された、決められた人員だけが入ることのできる部屋で作業をすること、監視カメラ等で監視ができていることなどが義務付けられています。そこで当社はこれまでオフィス内の一角に物理的なセキュリティルームを設け、監視カメラも設置した上で、医療情報を扱うデータ処理作業については、その中で作業するという体制を取っていました」

そんな中でコロナ禍となり、データ処理をするエンジニアが在宅業務を余儀なくされるという事態が発生しました。しかし医療情報を扱う際にはセキュリティルームで作業する必要があり、どうしても出社せざるを得ないという状況が生まれたのです。そこで3省2ガイドラインを見直して、医療情報を取り扱う場所として要件を再確認をしました。

渡邉氏「遵守が求められていたのは、決められた人員だけが入室できること、監視カメラ等で人や作業の監視ができること、その記録が残って確認ができることでした。そこで私たちは、物理的な従来のセキュリティルームの利用は継続しつつも、遠隔地からでもセキュアにデータ処理作業ができる環境として、仮想的なセキュリティルームを構築することを計画しました」

同社は、3省2ガイドラインの遵守を前提に、遠隔地からでも医療情報を取り扱うデータ処理作業が可能な“仮想セキュリティルーム”の構築を計画しました。

（※）DPCデータ：「厚生労働大臣が指定する病院の病棟における療養に要する費用の額の算定方法」第5項第三号の規定に基づき厚生労働省が収集し管理する情報（厚生労働省PDF資料「DPCデータの提供について」より抜粋）

渡邉氏は、医療情報を取り扱うための環境構築に関する事例を探すもほとんど見つからず、その際に参考にしたのが、同じく機密情報を扱う金融機関の先行事例でした。こうして辿り着いたのが、システム証跡監査ツール「ESS REC NEAO」です。ESS REC NEAOは、パソコン上の操作画面を動画記録して、業務内容を把握することやセキュリティリスクを低減することのできるソリューションです。

渡邉氏「ESS REC NEAOについては、提供ベンダーのイベントや展示会に足を運び、操作画面の動画記録だけでなく、端末側のカメラを制御して、作業している人員の撮影もできることを知りました。この機能を使えば、物理的なセキュリティルームに設置していた監視カメラの代わりにもなります。この端末のカメラを制御するためのソリューションとして併せて導入しようと考えたのが、仮想デスクトップのAmazon WorkSpacesでした」

この時にESS REC NEAOの提供ベンダーから紹介を受けたのが、サーバーワークスでした。

渡邉氏「私は以前、あるユーザー企業でシステム開発の責任者をしていたのですが、その時からサーバーワークスについては、AWSのトップベンダーだという認識を持っていました。また今回導入したESS REC NEAOについても販売（代理を）されています。そこで今回のプロジェクトをサーバーワークスにお願いしようと考えました」

こうして同社は、2022年の夏からPoCを開始します。

渡邉氏「エンジニアが作業するローカルの端末にはデータを残すことができないので、全てのデータ処理はサーバー側のリソースを使って作業する形になります。その際には、ローカルの端末から一旦Amazon WorkSpacesにアクセスし、そこから作業に必要な医療情報やアプリケーションが置かれているAmazon EC2にVPCピアリングで接続するのですが、まずESS REC NEAOを利用することで、どのような形で作業記録が残せるのかを確認しました。またAmazon WorkSpacesから端末のカメラを制御する機能は、当時リリースされたばかりだったので、この機能についても検証しました。こうしたPoCを3か月にわたって実施しました」

ちょうど同じ頃、同社は他の医療情報サービス提供会社から電子カルテのデータ移行事業の譲渡を受け、セキュリティルームのさらなる拡張も懸案事項となっていました。

渡邉氏「病院様が今まで使っていた電子カルテシステムをリプレイスする時には、従来のデータを新しい電子カルテシステムに移し替える必要がありますが、その際には当然病歴などの医療情報にアクセスする必要があります。この作業もセキュリティルームの中で実施していたのですが、事業譲渡を受けたことでデータ移行作業のさらなる増加が予想されました。当時、医療情報にアクセスする権限を持つエンジニアは約30名で、そのうちセキュリティルームを利用するシーンは保守対応など一部の状況に限られていたため利用頻度はそれほど多くありませんでした。現状のセキュリティルームは同時に入るのは4～5名という状況でしたので、電子カルテのデータ移行の事業が本格化すると物理的なセキュリティルームを拡げていかなければならないという懸案事項も出てきたのです。しかしオフィススペースに限りがある以上、増床は簡単ではありません。この課題が出てきたことも仮想セキュリティルームの構築には追い風となりました」

PoCを経た仮想セキュリティルームの構築プロジェクトは2023年6月に正式にスタートし、同年11月にカットオーバーを迎えました。これにより同社は物理的なセキュリティルームの制約を受けることなく、遠隔地からでも医療情報を対象とするデータ処理作業をすることのできる環境を獲得することができました。さらに渡邉氏はこのメリットに加えて「当初想定していなかった大きな効果も得ることができました」と強調します。

渡邉氏「例えばある遠方の病院様の電子カルテシステムのメンテナンスをする場合、これまではエンジニアが現地に常駐して作業をする必要があり、長期にわたる際には交通費に加えて、ホテルの宿泊費も必要でした。さらにそんな時にまた別の病院様からお問い合わせの連絡をいただいた時には、一旦東京のセキュリティルームに戻ってきて作業をするか、その病院様に直接出向いて作業をする必要があったのです。それが仮想セキュリティルームを構築したことで、それらのコストを無くすことができました。もちろんどうしても現地でなければできない作業はありますが、仮想セキュリティルームは、エンジニアの人件費とホテル宿泊費、移動コストの大幅な削減にもつながっています」

今回の仮想セキュリティルーム構築には、サーバーワークスからエンジニアとしてクラウドインテグレーション部（当時）の設楽勲史が参画しました。設楽は一連のプロジェクトについて、次のように振り返ります。

設楽「メディカル・データ・ビジョン様はAWSに対する知識を持たれていました。そのため（かなり細かい）技術的な課題に対しても、メディカル・データ・ビジョン様と私たちとでお互いに色んな意見を出し合い、議論を重ねながらプロジェクトを進めることができたと思います」

今後、メディカル・データ・ビジョンでは、仮想セキュリティルームの利用を他の提供サービスの開発や運用・保守にも拡げていく予定です。

渡邉氏「場所の制約を受けることなく医療情報を取り扱うデータ処理作業が可能になったことで、新たなサービスの企画・開発や、病院業務までをご支援できる機会が広がったと考えています。例えば仮想セキュリティルーム経由で病院様の電子カルテの情報にアクセスし、実際のデータを見ることができれば、今日の入院患者様に対して“こんな対応を取ることができる”という検討をリアルタイムで一緒にできるようになります。仮想セキュリティルームを構築したことで、安全性を担保しつつ、よりスピード感を持って新たな事業計画を進めることができるようになったと考えています」

さらに渡邉氏は「新しい事業企画の立案自体もさらにしやすくなるでしょう」と続けます。

渡邉氏「今までは病院様に出向かなければできなかった作業も、今では“仮想セキュリティルームありき”で考えることができます。こうした前提に立てば、立案する事業企画の自由度もさらに広がっていくと思います。その際には改めてサーバーワークスの心強い支援を期待しています」