医療ITにおける認証、認可、およびアクセス制御

認証、認可、およびアクセス制御は、誰が医療情報にアクセスできるか、そしてその情報に対して何ができるかを決定する技術的な安全対策です。認証は、ユーザー（またはシステム）が主張する通りの本人であることを確立し、認可は、認証されたユーザーが何を行うことを許可されているかを決定し、アクセス制御は、データと機能が要求されたときにこれらの許可を強制します。これらは一体となって、医療情報システムにおける機密性と完全性の最前線を形成します。

Definition

認証とは、主張された身元を確認するプロセスであり、認可とは、確認された身元が許可される行動とリソースを決定するプロセスであり、アクセス制御とは、保護されたリソースに対する特定の操作を許可または拒否することにより、認可の決定を強制するメカニズムです。

Scope

本項目では、認証と認可の区別、一般的な認証要素と多要素認証の役割、およびアクセス制御の主要なモデル、特に電子カルテやその他の臨床システムに適用されるロールベースアクセス制御とその拡張について説明します。また、アクセス制限と臨床ワークフローのサポートとの間の緊張関係にも触れます。これは概念に関する参照資料であり、特定のシステムの実装ガイドやセキュリティ設定ではありません。

Core questions

• システムは、ユーザーが主張する通りの本人であることをどのように確立するのでしょうか？
• ユーザーが過度に広範なアクセス権を持たずに業務を遂行できるよう、権限はどのように構築されるのでしょうか？
• アクセス決定を組織化するためのどのようなモデルが存在し、それらはどのように異なるのでしょうか？
• アクセス制御は、セキュリティと臨床ワークフローの両方のニーズをどのように尊重できるのでしょうか？
• 患者は自分の記録へのアクセスを制御する上でどのような役割を果たすのでしょうか？

Key concepts

• 認証と認可
• 認証要素（知識、所持、生体情報）
• 多要素認証
• ロールベースアクセス制御（RBAC）
• 最小権限と職務分離
• 属性ベースおよびコンテキスト認識アクセス制御
• ブレーク・ザ・グラス緊急アクセス
• きめ細かな患者主導のアクセス設定

Mechanisms

アクセス決定は段階的に進行します。まず、認証は、1つ以上の要素（ユーザーが知っているもの（パスワード）、持っているもの（トークンやデバイス）、または本人であること（生体認証））を使用して、要求を身元に紐付けます。複数の要素を組み合わせることで多要素認証が実現し、これはパスワード単独よりも資格情報の盗難に対してより耐性があります。認証されると、認可が許可されるアクションを決定します。ロールベースアクセス制御は、権限をロールに、ロールをユーザーに割り当てることでこれを組織化します。これにより、臨床医は個別に管理される権限を受け取るのではなく、その機能に適したアクセスを継承します。これは最小権限の原則と自然に一致し、大規模組織における管理を容易にします（Sandhu et al., 1996; Ferraiolo et al., 2001）。拡張機能は、属性とコンテキスト（患者との関係やアクセス時間など）を追加し、緊急時の「ブレーク・ザ・グラス」規定は、厳重なログ記録を伴う制御されたオーバーライドを可能にします。患者自身が、自分の記録のどの部分を誰が見るかについてきめ細かな制御を行いたいと望む場合があり、これはアクセス方針にさらなる側面を加えます（Caine & Hanania, 2013）。HIPAAセキュリティ規則の技術的保護措置は、電子保護医療情報に対するアクセス制御および関連する制御を要求しています（HHS OCR, 2013）。

Clinical relevance

適切に設計されたアクセス制御は、機密性を保護しつつ、ケアチームが必要な情報にアクセスできるようにします。不適切に設計された制御は、データを漏洩させるか、臨床業務を妨げ、安全でない回避策を促す可能性があります。患者が自分の記録に対してきめ細かな制御を望むという証拠は、システムが保護と自律性のバランスをどのように取るかに影響を与えます（Caine & Hanania, 2013）。本項目は、参照および教育のための概念を説明するものであり、特定のシステムの構成またはセキュリティガイドではありません。

Evidence & guidelines

ロールベースアクセス制御の概念的基盤は、画期的なモデル論文（Sandhu et al., 1996）で示され、提案されたNIST標準（Ferraiolo et al., 2001）で体系化されています。HIPAAセキュリティ規則の技術的保護措置は、電子保護医療情報に対するアクセス制御、監査制御、完全性保護、個人またはエンティティ認証、および伝送セキュリティを要求しています（HHS OCR, 2013）。特定の制御要件は、組織のリスク分析と現在の公式標準に依存します。

History

初期のコンピュータシステムは、単純な任意アクセス制御モデルと強制アクセス制御モデルに依存していました。ロールベースアクセス制御は、大規模組織にとってより管理しやすいアプローチとして1990年代に登場し、Sandhuらによる影響力のあるモデル（1996）で形式化され、後にNIST標準として提案されました（Ferraiolo et al., 2001）。臨床的役割がロールベースの権限に自然にマッピングされるため、医療分野での採用が進み、このアプローチはその後、臨床アクセスにおけるニュアンスを処理するために、属性ベースおよびコンテキスト認識メカニズムで拡張されてきました。

Debates

患者による記録アクセス制御はどの程度きめ細かくすべきか？

調査証拠によると、患者は自分の電子記録の特定の部分を誰が見るかについて、きめ細かな制御を望むことが多いですが、そのようなきめ細かさを実装すると、臨床アクセスやケアの調整が複雑になり、自律性とユーザビリティの間の設計上の緊張が生じます。

Seminal works

• sandhu-1996
• ferraiolo-2001

Frequently asked questions

認証と認可の違いは何ですか？

認証は、ユーザーが誰であるかを確認する（例えば、パスワードと第二の要素をチェックする）のに対し、認可は、その確認されたユーザーが何を行うことを許可されているかを決定します。認証が最初に行われ、認可はその後の行動を管理します。

医療ITでロールベースアクセス制御が一般的なのはなぜですか？

臨床業務は定義された役割を中心に組織されているため、権限を役割に、役割を個人に割り当てる方が、各ユーザーのアクセスを個別に管理するよりも拡張性が高くなります。また、最小権限の原則をサポートし、各役割にその機能が必要とするアクセスのみを与えます。