LASSIC Media らしくメディア
セキュリティ方針を監査可能に、豪州が課す7つのアカウント管理
監修・編集責任者：牛尾 昭昌（株式会社LASSIC 執行役員）
この記事の結論
- 方針は監査できる書き方で：第21条が明文で条件にしています*1。
- アカウント管理は7項目が指定：毎年の見直しまで条文にあります*1。
- 証跡は5年と2年で分かれる：提出要求への応答は7日以内*1。
※ 本記事は2026年9月時点の公式情報（省庁・公的機関・ベンダー公式ドキュメント）に基づきます。
セキュリティ方針を持っている組織は多いのですが、「その方針どおりに動けたかを後から確かめられるか」まで作り込まれた例は多くありません。豪州は、そこを条文の要件にしました。
My Health Records規則2026が2026年3月27日に制定され、2026年4月1日に全部が施行されました*1。根拠はMy Health Records Act 2012で、前身のMy Health Records Rule 2016は同時に廃止されています*1。
この記事では、医療の制度そのものではなく、参加する組織に課された情報システム側の要件を読みます。記載事項、アカウント管理、証跡の保存、相互運用と接続停止の順に見ていきます。
目次
「監査できる書き方」を条文が求めた
まず全体像です*1。
規則2026は、My Health Record systemに参加する各種の登録者に対して、書面のセキュリティ・アクセス方針を持つことを求めます*1。医療提供組織については第21条、登録リポジトリ運営者と登録ポータル運営者については第27条、登録受託サービス提供者については第32条に、それぞれ同じ構造の規定が置かれました*1。
目を引くのは第21条第1項の書き方です*1。方針は第2項に挙げる事項を扱っていることに加えて、組織が方針を遵守したかどうかを判断するために、組織の実績を方針に照らして監査できるような書き方であることとされました*1。内容を備えるだけでは足りず、照合可能な粒度で書けという要求です*1。
実務に引き直すと、「適切に管理する」「必要に応じて見直す」といった文は、監査の基準になりません*1。誰が、何を、いつまでに、どの記録を残して行うのかまで落ちていないと、方針に照らした判定ができないからです*1。方針の文章を、そのまま点検表に変換できるかどうかが目安になります*1。
この考え方自体は珍しいものではありませんが、法令の側から書き方を指定した点が特徴です*1。同じ医療データの領域では、欧州健康データスペースが相互運用性の側から要件を組み立てていました。豪州は運用の記録の側から入っています。
方針に書く5領域は、条文で列挙されている
第21条第2項が挙げる事項は5つです*1。
| 項 | 扱うべき内容 |
|---|---|
| (a) | 利用者を認可する手順。アカウントの作成と変更の手順を含み、退職した場合・セキュリティが侵害された場合・職務上アクセスが不要になった場合・個々の医療提供者が組織との紐づけを失った場合に、どのようにアカウントを停止または無効化するかを含む |
| (b) | 利用者に提供する研修。認可の前、毎年、ならびに法・規則・システムに重大な変更があったつど行う |
| (c) | 法第74条・第75条に違反しないようにするための処理 |
| (d) | 物理的セキュリティ、情報セキュリティ、サイバーセキュリティ、および技術的・組織的措置。アカウント管理の実務、定期的なシステム保守、暗号化と定期的なバックアップを含むデータ保護、措置の監視と見直しを含む |
| (e) | システムに関するセキュリティリスクを速やかに特定し、対処し、組織の経営層へ報告するための方策 |
研修の内容も第3項で指定されています*1。システムを正確かつ責任をもって使う方法、医療提供組織と利用者の法的義務、その義務に違反した場合の帰結の3点です*1。年次で回すことが前提なので、教材の更新と受講記録の保持が運用に組み込まれます*1。
(e)の「経営層へ報告する」は、報告の相手を組織の内部に置いた点が実務的です*1。検知の仕組みだけでなく、そこから上へ上げる経路を方針に書くことになります*1。
アカウント管理は7つの実務が名指しされた
第21条第4項は、(d)(i)のアカウント管理について、実施すべき実務を具体的に列挙しました*1。
| # | 実務 |
|---|---|
| 1 | 職務の一部としてアクセスを要する利用者だけにアクセスを限定する |
| 2 | 組織の情報システムを使う利用者を一意に識別し、パスワードまたは同等の保護機構で利用者の識別情報を保護する |
| 3 | 不正なアクセスに伴うセキュリティとプライバシーのリスクに照らして、十分に堅牢なパスワードまたは同等の保護機構を持つ |
| 4 | 組織による認可を失った利用者のアカウントを無効化する |
| 5 | アカウントまたは保護機構が侵害されたと知った後、実行可能な限りすみやかに当該利用者のアクセスを停止する |
| 6 | これらの実務を少なくとも毎年見直す |
| 7 | 利用者がこれらの実務を認識し、研修を受けている状態を確保する |
登録リポジトリ運営者・登録ポータル運営者に対する第27条第4項も、ほぼ同じ7項目です*1。違いは、医療提供組織の側にある「個々の医療提供者が組織との紐づけを失った場合」という停止事由が、運営者側の条文には現れない点にとどまります*1。委託先も同水準という設計です*1。
運営者にはもう一つ、第29条が窓口の体制を求めます*1。祝日を除く月曜から金曜の通常業務時間帯における連絡先と技術支援に加えて、通常業務時間外と祝日に、技術・セキュリティ・運用の問題を解決し、または解決を調整する権限と能力を持つ連絡先を2名以上置くこととされました*1。人数まで条文で指定されています*1。
方針は版を管理し、証跡は5年と2年で残す
第43条は、方針の維持について具体的な手続きを定めます*1。
まず周知です*1。組織は方針を、組織の従業員、契約に基づき組織がサービスを提供する医療提供者、組織に紐づけられた個々の医療提供者に伝達し、いつでも参照できる状態に保たなければなりません*1。そのうえで、組織自身が方針を遵守し、これらの者が遵守するようあらゆる合理的な措置を執ることとされます*1。
次に版の管理です*1。第43条第3項は、方針を最新に保つこと、各版が固有のバージョン番号と効力発生日を含むこと、そして見直しを少なくとも毎年、重大な新規または変更されたリスクが特定されたとき、System Operatorの求めがあったときに行うことを求めます*1。
見直しで考慮する事項も指定されています*1。組織の情報システムを使ったシステムへの不正アクセス、認可された者による情報の誤用または不正な開示、記録に含まれる情報の偶発的な開示につながりうる要因、システム側の変更で組織に影響しうるもの、前回の見直し以降に生じた関連する法令上・規制上の変更の5つです*1。
保存期間は二段構えです*1。方針は各版を効力発生日から5年保持します*1。第45条の適用記録は、認可手順の適用（(a)）と研修の実施（(b)）が5年、第74条・第75条に関する処理（(c)）と技術的措置（(d)）が2年です*1。条文の例示は、保持すべき記録としてアカウントの作成・変更・停止・無効化の記録と個人によるシステムへのアクセスのログを挙げました*1。
提出の期限も短めです*1。System Operatorが方針の写しを書面で求めた場合、組織は受領から7日以内に応じます*1。求めの対象は現行版に限らず、指定された日に効力を持っていた版でもかまいません*1。適用記録についても第46条が同じく7日以内としています*1。過去の版を日付で引ける状態にしておく必要がある、ということです*1。
相互運用要件に外れると、接続が部分停止されうる
第39条は、登録医療提供組織に相互運用要件の遵守を課します*1。第51条は同じ義務を登録リポジトリ運営者・登録ポータル運営者に課しました*1。
この相互運用要件は、規則の中で定義されず、Australian Digital Health Agencyが公表する適合要件および標準で、随時存在するものと定義されました*1。条文が外部の文書を参照し、その改訂に追随する構造です*1。契約や設計の側では、参照先の版が動く前提で、追随の責任範囲を決めておくことになります*1。
従わない場合の帰結は第14条にあります*1。System Operatorは、システムのセキュリティ・完全性・運用が損なわれた、または損なわれうると考える場合に、医療受給者・その代理人・参加者に対してアクセスを停止できます*1。第2項は、損なわれうる場合として、参加者の情報技術システムまたは電子的通信で参加者の身元を認証できるようにする資格情報にセキュリティ上の問題がある場合、身元確認に問題がある場合、参加者が相互運用要件を遵守しなかった場合を挙げます*1。
そして第3項が、全部または一部の停止を認めます*1。条文の例示は明快です*1。すべてのアクセスを止めることもできるし、共有健康サマリのような特定の種別の文書のアップロードだけを止め、遵守するまで維持するという部分停止も選べます*1。可用性が一気に落ちるのではなく、機能単位で削られる形です*1。
通知の扱いも決まっています*1。停止したときは、理由と、復旧のために求める手順を書面で、実行可能な限りすみやかに伝えます*1。ただし、軽微な運用上の事項で24時間を超えて続くとは考えにくい場合と、相当数の医療受給者に影響し、一般に向けて公表する場合は個別の通知が要りません*1。復旧は、損なわれた状態が解消したと判断でき次第、実行可能な限りすみやかに行うとされました*1。
アクセス制御は、既定値と自動停止まで書かれている
システム側の要件も、設計の参考になります*1。第8条は、患者が設定できる制御として、記録全体へのアクセスの制限と特定の機会に限った制限の解除を可能にすることを求めます*1。個別の情報や記録についても同じ2つが必要です*1。
踏み込んでいるのは第8条第5項です*1。患者が情報を制限した場合、医療提供組織が記録を閲覧しただけでは、その情報や記録が存在すること自体を判別できないようにしなければなりません*1。例外は、その組織がアクセス一覧にあり患者が名指しで許可した場合、患者がその機会に限って解除した場合、その組織自身がアップロードした場合の3つです*1。存在の秘匿まで要件にしている点が特徴です*1。
第9条の既定値も具体的です*1。医療を提供している組織のアクセスを許し、許可された組織のアクセス一覧を持ち、患者がその一覧を閲覧できるようにします*1。そして、3年間アクセスがなかった組織は一覧から外すことが既定の制御として指定されました*1。棚卸しを人手に頼らず、既定の動作として組み込んだ形です*1。
自動の停止・取消も表で列挙されています*1。第10条は、代理人の医療識別子の状態が死亡に変更された旨の通知を受けた場合や、代理人の資格を調査中の場合など8つの事情で自動停止を求めます*1。第11条は、状態が引退に変更された場合などで自動取消を求めます*1。いずれも、外部の識別子基盤からの通知を契機に権限が動く設計です*1。近い発想は、豪州のデジタルID認定制度にも見られます。
日本のIT部門は、どこを持ち帰れるか
この規則は豪州の制度で、日本の事業者に直接の義務を課すものではありません*1。ただし、要件の書き方には転用できる部分があります*1。
第一に、方針を監査可能な粒度で書くという発想です*1。既存のセキュリティ規程を、そのまま点検表へ写せるかを確かめると、抽象的な条項が浮かびます*1。「速やかに」「適切に」で終わっている箇所を、期限・担当・残す記録の3点に分解する作業が起点になります*1。
第二に、版の管理と保存期間です*1。固有のバージョン番号と効力発生日を持ち、過去の版を日付で引けることは、監査だけでなく事故の調査でも役立ちます*1。「その時点でどの規程が効力を持っていたか」を示せないと、当時の判断の妥当性を説明できないためです*1。
第三に、証跡の種類ごとに保存期間を分ける設計です*1。アカウントの作成・変更・停止・無効化の記録とアクセスログは、量が多い一方で長く要求されます*1。保存の階層（オンライン、低頻度アクセス、アーカイブ）とライフサイクル規則を、記録の種別ごとに決めておくと、費用と取り出しやすさの折り合いがつきます*1。
第四に、外部の標準に追随する契約です*1。相互運用要件が「随時存在するもの」として参照される以上、改訂の把握・影響分析・改修の実施を誰が担うかを決めておかないと、宙に浮きます*1。同じ論点は、米国ワシントン州のMy Health My Data法のように定義が広い制度でも生じます*1。
まとめ：豪州のMy Health Records規則2026で押さえる3つの視点
豪州では、My Health Records Act 2012に基づくMy Health Records規則2026が2026年3月27日に制定され、2026年4月1日に全部が施行されました。前身のMy Health Records Rule 2016は同時に廃止されています。押さえたい視点は三つあります。第一に、方針の書き方。参加する医療提供組織、登録リポジトリ運営者、登録ポータル運営者、登録受託サービス提供者は、書面のセキュリティ・アクセス方針を持たなければならず、その方針は、遵守したかどうかを判断するために実績を方針に照らして監査できるような書き方であることが条件とされました。扱うべき事項は、利用者を認可する手順、認可前と毎年と重大な変更のつどの研修、法第74条と第75条に違反しないための処理、物理的・情報・サイバーのセキュリティと技術的組織的措置、リスクを速やかに特定し経営層へ報告する方策の5つです。第二に、アカウント管理。条文は7つの実務を名指ししました。職務上必要な利用者への限定、一意の識別とパスワード等による保護、リスクに見合う堅牢さ、認可を失った利用者の無効化、侵害を知った後の速やかな停止、少なくとも毎年の見直し、利用者への周知と研修です。登録リポジトリ運営者と登録ポータル運営者にも第27条で同内容が課され、さらに第29条で通常業務時間内の技術支援窓口と、時間外・祝日に対応できる権限を持つ連絡先2名以上が求められます。第三に、記録と接続。方針は各版に固有のバージョン番号と効力発生日を持たせ、効力発生日から5年保持します。適用記録は、認可手順の適用と研修の実施が5年、第74条と第75条に関する処理と技術的措置が2年です。System Operatorから写しの提出を求められた場合は7日以内に応じ、対象は現行版に限らず指定された日に効力を持っていた版も含みます。一定の事情の通知は2営業日以内です。相互運用要件はAustralian Digital Health Agencyが公表する適合要件と標準を随時参照する形で定義され、遵守しない場合、System Operatorはアクセスを全部または一部停止でき、共有健康サマリなど特定の文書種別のアップロードだけを止める部分停止も条文で例示されています。
よくある質問
「監査できる書き方」とは、具体的にどう書けばよいのですか。
規則2026の第21条第1項(b)は、組織が方針を遵守したかどうかを判断するために、組織の実績を方針に照らして監査できるような書き方であることを求めています。条文自体は文体を指定していませんが、第45条が保持を求める記録の例示が手がかりになります。そこではアカウントの作成・変更・停止・無効化の記録と、個人によるシステムへのアクセスのログが挙げられました。つまり、方針の各条項に対して、実施したことを示す記録が対応している状態が想定されています。条項を、担当・期限・残す記録の三点まで分解しておくと、照合ができる形になります。
方針は何年保存すればよいですか。
第43条第4項は、方針の各版について、その版が効力を持ち始めた日から5年間、記録を保持することを求めています。あわせて第43条第3項(b)が、各版に固有のバージョン番号と効力発生日を含めることを求めました。第44条により、System Operatorは現行版だけでなく、指定した日に効力を持っていた版の写しを求めることができ、組織は受領から7日以内に応じる必要があります。日付から該当する版を引ける状態が前提になっています。
適用記録の保存期間はすべて同じですか。
分かれています。第45条第2項は、利用者を認可する手順の適用の記録（第21条第2項(a)）と、研修の提供の記録（同(b)）について、作成した日から5年の保持を求めます。第45条第3項は、法第74条・第75条に違反しないための処理の適用（同(c)）と、物理的・情報・サイバーのセキュリティおよび技術的組織的措置の適用（同(d)）について、作成した日から2年としました。提出の求めに対する期限は、第46条により7日以内です。
相互運用要件を守れないと、すぐに全面停止になりますか。
全部の停止も部分の停止も選べる建て付けです。第14条第1項は、システムのセキュリティ・完全性・運用が損なわれた、または損なわれうるとSystem Operatorが考える場合にアクセスを停止できるとし、第2項(c)で、参加者が相互運用要件を遵守しなかった場合を例示しています。第3項は、その場合にアクセスを全部または一部停止できるとし、条文の例示では、共有健康サマリのような特定の種別の文書のアップロードだけを止め、遵守するまで維持する運用が示されました。停止したときは理由と復旧に必要な手順を書面で通知しますが、軽微な運用上の事項で24時間を超えないと見込まれる場合と、相当数の医療受給者に影響し一般へ公表する場合は個別の通知が不要とされています。
出典
- *1 参考：オーストラリア連邦法令登録簿「My Health Records Rules 2026」（F2026L00392・2026年3月27日制定／2026年4月1日施行）（https://www.legislation.gov.au/F2026L00392/asmade/text）。本記事の一次情報。第2条の施行（2026年4月1日に全部）、第3条の根拠（My Health Records Act 2012）、第5条の定義（相互運用要件＝Australian Digital Health Agencyが公表する適合要件および標準で随時存在するもの、重大な変更ほか）、第8条から第11条のアクセス制御機構の要件（制限と解除、存在の秘匿、既定の制御、アクセス一覧、3年のアクセスなしでの除外、自動停止8類型と自動取消）、第14条の停止（第2項の事情、第3項の全部または一部の停止と例示、第4項から第7項の通知と例外、第8項の復旧）、第21条の方針（第1項(b)の監査できる書き方、第2項の5領域、第3項の研修内容、第4項のアカウント管理7実務）、第27条と第29条（運営者の方針と時間外連絡先2名以上）、第34条（登録取消後の保持・移転・処分）、第38条（2営業日以内の通知と6類型）、第39条・第51条（相互運用要件の遵守）、第43条（周知、遵守、版の管理と年次見直し、各版5年）、第44条・第46条（7日以内の提出）、第45条（適用記録の5年と2年）を確認した。確認日は2026年9月10日。（2026年9月確認）
