検査・細菌・病理の臨床検査部門システムをクラウドで実現するにあたり、満たすべき法規制と推奨対応を、根拠条項・要件・技術スタック・残リスクまで分解する。網羅性は導出フレームワークで示し、追加質問にも構造で答えられるようにした。
部門システムをクラウドへ移すと、医療情報（要配慮個人情報）の取得・保存・利用・提供・廃棄の全段階が法規制とガイドラインの直接対象になる。本ガイドは各規制を次の 5 段で分解する。
該当条項 → 満たすべき要件 → 技術スタック（原則＋AWS 実現例）→ なぜ担保できるか → 残リスク（引き取り先を 4 分類で明示）
必須 法令・省令で課される、または医療機関が委託先を選定する前提条件。 実質必須 法的には推奨だが選定で事実上の前提。 推奨 信頼性・相互運用性・調達競争力を左右する。
本資料は 2026 年 5 月時点の一般整理であり、特定組織の対応を保証しない。法規制・ガイドラインは改定される。実際の適用は最新の原典・所管官庁・専門家の確認を前提とする。
法規制を個別列挙するだけでは「他は？」に答えきれない（不存在の証明は不可能）。本ガイドは規制を恣意的に選んでいない。① 医療情報のデータライフサイクル全段階 × ② 3省2ガイドラインを傘とする法体系 の 2 軸で機械的に洗い出した結果を載せる。漏れを問うなら、この 2 軸のどこに位置づくかを特定すればよい。
横断（全段階に常時かかる）：医療法施行規則第14条第2項（サイバーセキュリティ確保義務）／ 3省2GL 全般 ／ 事業者要件（ISMS・Pマーク・ISMAP）／ 事業形態（衛生検査所登録）。
法17条（利用目的の特定）法21条（取得時の通知公表）法2条3項（要配慮の定義）法20条2項（要配慮は原則本人同意）法23条（安全管理措置）法25条（委託先監督）法26条（漏えい等報告・本人通知）規則7条（報告対象4類型）規則8条（速報・確報の期限）法27条（第三者提供）法28条（越境移転）法33〜35条（開示等請求）
検査結果・病理診断・細菌/感染症の情報はいずれも「要配慮個人情報」に該当し、取得・保管・通信・提供の全段階で厳格な取扱いが求められる。
KMS＋S3 SSE-KMS/RDS・EBS暗号化、転送時 TLS 1.2+ (ACM)IAM 最小権限＋IAM Identity Center、VPC・PrivateLinkMacie（ただし後述の日本語制約あり）、検知 GuardDuty、証跡 CloudTrailap-northeast-1／大阪 ap-northeast-3 保持、AWS を再委託先として契約明示個情委 FAQ（クラウド例外）法27条（第三者提供）法25条（委託先監督）との適用関係クラウド事業者が (1) 契約上 個人データを取り扱わない旨を定め、(2) 適切なアクセス制御を行っている 場合、当該クラウド利用は法27条の「第三者提供」にも法25条の「委託」にも該当しない、とする個情委の整理（クラウド例外）がある。この成否で法的責任構造が変わる。
KMS（CMK）/CloudHSM で復号鍵を自社管理IAM で事業者ロールのデータアクセスを排除、VPC 閉域医療法施行規則14条2項（産情発0310第2号）厚労省GL第6.0版（概説/経営管理/企画管理/システム運用）二要素認証＝システム運用編14章 遵守事項⑤真正性＝企画管理編1.1.2保守＝システム運用編10章事業者向けGL 第2.0版（令和7年3月）
S3 Object Lock（コンプライアンスモード）＋バージョニング＋時刻同期(NTP)、署名は KMS非対称鍵/AWS Private CACognito MFA/IAM Identity Center MFA、WebAuthn・ICカードCloudTrail＋Config＋CloudWatch Logs、ログ自体を Object Lock 化GuardDuty＋Network Firewall＋WAF＋Security Hub＋DetectiveAWS Config＋CloudFormation ドリフト検知Direct Connect/VPN＋PrivateLink。BCP/DR：Multi-AZ＋クロスリージョン AWS Backup＋Route 53医療法施行規則14条2項（運用）個情法26条（要配慮は1件でも報告）厚労省 医政局 医療情報担当参事官室GuardDuty＋Security Hub＋DetectiveSSM Session Manager（踏み台レス・全操作ログ）＋ CloudTrail医療法15条の2（根拠法）施行規則9条の7の2（自院検査：内部精度管理/外部精度管理調査/研修）施行規則9条の7の3施行規則9条の8（衛生検査所・受託）平成30年厚労省令第93号医政発0810第1号2018年改正で検体検査の精度確保が法制化。検査・細菌（微生物）・病理（病理組織・免疫組織化学・細胞・分子病理）はいずれも検体検査に含まれ、精度管理の記録・トレーサビリティを LIS が担う。
S3 Object Lock（コンプライアンスモード）＋Glacier、構造化記録は RDSCloudTrail で操作証跡S3 で版管理臨床検査技師等に関する法律 20条の3構造設備・管理組織・精度確保方法が省令基準クラウド LIS で検査を受託する形態（ブランチラボ・衛生検査所）を取る場合、都道府県知事の登録が必要。登録基準には精度確保の方法が含まれる。LIS 単体提供なら直接の対象外だが、受託検査と一体で提供するなら必須。
感染症法 12条（医師の届出義務）1〜4類：直ちに ／ 5類：原則7日以内（侵襲性髄膜炎菌感染症等は直ちに）API Gateway＋TLS、必要に応じ PrivateLink/VPNCloudTrail・CloudWatch Logse-文書法 平成16年法律149号（通則法）/150号（整備法）医政発0329003号（平成14年）GL企画管理編1.1.2（施行通知第二の2(3)）S3 Object Lock（コンプライアンスモード）＋バージョニング＋タイムスタンプS3 Glacier＋クロスリージョン複製医師法24条（診療録5年）臨検法施行規則（外部保存・電磁的記録）外部保存＝医政発0329003号の3条件GL企画管理編 人的管理⑥g（外部保存能力の確認、Q&A企Q-23）AWS Backup＋S3 ライフサイクルS3 Glacier/Glacier Deep Archive、国内リージョン限定薬機法プログラムの医療機器該当性ガイドライン 令和3年薬生機審発0331第1号病理診断＝医行為（責任主体は病理医）SageMaker（該当性・薬事対応の確定が前提）SageMaker Model Registry でモデル・アルゴリズムの版管理と検証記録JIS Q 27001:2023（ISO/IEC 27001:2022 対応）ISO/IEC 27017ISO/IEC 27018事業者向けGL第2.0版の選定条件事業者向けGL（第2.0版）は ISMS/Pマーク取得を「強く推奨」レベルで位置づける。法的な絶対要件ではないが、医療機関の委託先選定で事実上の前提化しており、保有しないと選ばれにくい。
AWS Artifact で証跡）Security Hub でフレームワーク準拠を継続評価JIS Q 15001:2023事業者向けGLの選定前提ISMS と並ぶ選定前提。要配慮個人情報を扱う事業者として、個人情報保護マネジメントの第三者認証が信頼の土台になる。取得・利用・保管・廃棄の各段階管理を含む。
ISMAP（2020年6月〜）ISMAP-LIU（2022年11月〜、低リスクSaaS向け）所管：国家サイバー統括室・デジタル庁・総務省・経産省政府機関・独法は原則 ISMAP 登録サービスから調達する。国立病院機構・大学病院等の公的調達ではクラウドの参加前提となり、実質的な必須ゲートになる（規制遵守の観点では「推奨」だが、公的調達では必須）。民間病院では必須要件ではない。なお LIS は要配慮個人情報を扱うため、低リスク用途向けの ISMAP-LIU には該当しにくく、ISMAP 本体側が筋。
次世代医療基盤法 33条（作成事業者認定）41条（利活用者認定）57条（仮名加工提供）個情法 41〜43条（仮名加工/匿名加工情報）改正で「仮名加工医療情報」が新設され、匿名加工より緩やかな加工基準での研究利用が可能に。検査データを二次利活用するなら認定事業者連携を見据えた設計が有利。なお個情法本体の仮名加工/匿名加工情報（法41〜43条）とは制度が別で、使い分けが論点。
AWS Glue＋Macie（識別子検出・マスキング、日本語はカスタム識別子）Organizations + SCPGLシステム運用編（標準形式入出力）HL7 FHIR JP CoreJLAC11（検査値標準コード）ガイドラインは標準形式での入出力機能を求める。JLAC11 と FHIR JP Core 対応は電子カルテ情報共有サービス接続の前提。相互運用性を欠くとデータ連携の主導権を失う。
API Gateway＋自前FHIRサーバ（HAPI FHIR を ECS/EKS）＋Aurora。API Gateway＋HAPI FHIR (ECS/EKS)＋AuroraRDS 管理し標準コードへ変換経営層のセキュリティガバナンスを明文化し、技術対策を経営の意思決定に接続する。NIST CSF 併用で海外パートナー・監査への説明力が高まる。
Security Hub の標準（CIS/NIST等）で準拠状況をスコア化し経営報告に接続自社製品・サービスの医療情報セキュリティ仕様を病院に標準フォーマット（MDS/SDS）で開示できる。契約・SLA とあわせて責任分界を明文化する手段になり、選定時の信頼を高める。
各要件カテゴリの原則と AWS 実現例、主たる残リスクの引き取り先。AWS 以外（Azure/GCP）でも同じ原則を等価サービスで満たせばよい。
| 要件カテゴリ | 満たすべき原則 | AWS 実現例 | 主な残リスク |
|---|---|---|---|
| 保存時暗号化 | 全医療情報を保存時に暗号化 | KMSS3 SSE-KMSRDS/EBS/Aurora暗号化 | 運用鍵運用 |
| 転送時暗号化 | 通信をすべて TLS 化 | ACM (TLS1.2+)CloudFront HTTPS | 受容低 |
| 鍵管理・ローテーション | 鍵を分離管理し定期ローテ、顧客管理鍵 | KMS（自動ローテ既定365日）CloudHSM | 運用鍵削除権限の分掌 |
| 秘密情報管理 | 認証情報・APIキーを安全に管理・自動ローテ | Secrets ManagerSSM Parameter Store | 運用ローテ設計 |
| ネットワーク分離・閉域 | 医療機関とは閉域、内部は最小セグメント | VPCPrivateLinkDirect ConnectVPNSG/NACL | 契約接続仕様 |
| 認証・二要素 | 最小権限＋二要素（2027年4月の新規・更新要件） | IAMIAM Identity CenterCognito MFAWebAuthn | 運用端末・媒体配布 |
| 特権アクセス管理・保守ログ | 保守は踏み台レス・全操作記録・立会い | SSM Session ManagerIAM Identity Center 一時昇格CloudTrail | 運用立会い・計画書照合 |
| 監査証跡 | 誰が・いつ・何を を改ざん不能に記録 | CloudTrailCloudWatch LogsConfigS3 Object Lock | 運用ログレビュー |
| 真正性（WORM） | 確定記録の改変を物理的に不能に | S3 Object Lock コンプライアンスモードバージョニングタイムスタンプ | 受容モード誤選定で不成立 |
| 電子署名 | 作成責任者の真正性を署名で担保 | KMS 非対称鍵AWS Private CA | 運用鍵・証明書運用 |
| 長期保存・保存性 | 法定保存期間を確実に保持 | S3 GlacierAWS Backupクロスリージョン複製 | 技術フォーマット陳腐化 |
| バックアップ不変性 | ランサム時もバックアップを削除不能に | AWS Backup Vault Lock（コンプライアンス）論理エアギャップ | 受容未設定で削除リスク |
| 可用性・BCP/DR | 災害時も継続・復旧（RPO/RTO設計） | Multi-AZリージョン冗長Route 53 フェイルオーバー | 運用訓練・体制 |
| 脅威検知（IDS/IPS/SIEM） | 不正通信を検知・遮断し相関分析 | GuardDutyNetwork FirewallWAFSecurity HubDetective | 運用検知後の対応体制 |
| 構成ドリフト検知 | 意図せぬ設定変更を自動検知 | AWS Config RulesCloudFormation ドリフト検知 | 運用是正フロー |
| 脆弱性管理・SBOM | CVE 継続スキャンとSBOM管理 | Amazon Inspector（SBOM を CycloneDX/SPDX 出力） | 運用パッチ適用 |
| PII 検出・分類 | 要配慮個人情報の所在を把握 | Macie + カスタムデータ識別子（日本語は必須） | 技術日本語は自前定義 |
| テナント分離 | 医療機関間のデータを分離 | アカウント分離Organizations + SCProw-level 分離 | 技術分離方針の設計 |
| データ廃棄 | 保存期間満了後に確実に消去 | KMS 鍵削除による crypto-shredding | 運用廃棄証跡 |
| データローカライゼーション | 医療データを国内に保存 | 東京 ap-northeast-1大阪 ap-northeast-3 | 契約海外アクセス経路 |
| 標準 API・相互運用 | FHIR・標準形式で入出力 | API Gateway + HAPI FHIR(ECS/EKS) + Aurora（HealthLake国内非提供） | 運用マッピング保守 |
「この条項はどこで・どの技術で対応し、何が残るか」を一望する表。監査・顧客説明で「他は？」と問われたとき、条項単位で対応の所在を即答するための索引。
| 法規制 | 主な条項 | 要件 | 主な技術 | 残リスク |
|---|---|---|---|---|
| 個人情報保護法 | 法23条（安全管理） | 暗号化・アクセス制御・所在把握 | KMSIAMMacieCloudTrail | 契約外的環境把握 |
| 個人情報保護法 | 法26条＋規則7・8条 | 漏えい報告（要配慮1件〜、確報30/60日） | GuardDutyMacie | 運用該当判定・通知 |
| 個人情報保護法 | 法27/28条 | 第三者提供・越境制限 | 国内リージョン固定 | 契約越境同意 |
| クラウド例外 | 個情委FAQ（27/25条） | 取り扱わない＋アクセス制御 | KMS(CMK)IAM | 契約条項必須 |
| 医療法施行規則 | 14条2項 | サイバーセキュリティ確保 | GuardDutyWAFConfig | 運用BCP・報告 |
| 3省2GL | 運用編14章⑤ | 二要素認証（2027/4） | Cognito MFAWebAuthn | 運用媒体配布 |
| 3省2GL | 企画管理編1.1.2 | 真正性（電磁的記録） | S3 Object Lock(コンプラ) | 運用承認フロー |
| 3省2GL | 運用編10章 | 保守作業ログ・立会い | SSM Session Manager | 運用立会い |
| 検体検査精度確保 | 医療法15条の2／規則9条の7の2 | 精度管理記録・トレーサビリティ | S3 Object LockRDS | 運用責任者選任 |
| 臨検法 | 20条の3 | 衛生検査所登録 | — | 契約許認可 |
| 感染症法 | 12条 | 届出データ連携 | API GatewayCloudTrail | 運用届出は医師責任 |
| e-文書法 | 平成14年医政発0329003号 | 真正性・見読性・保存性 | Object LockGlacier | 技術陳腐化対策 |
| 記録保存義務 | 医師法24条ほか | 法定期間の保持 | AWS Backupライフサイクル | 契約外部保存能力確認 |
| 薬機法 | SaMDガイドライン(R3) | 該当機能のQMS・薬事 | SageMaker Model Registry | 運用該当性判定が先 |
| 次世代医療基盤法 | 33/41/57条 | 仮名加工の二次利活用 | GlueMacieOrg+SCP | 契約認定が必要 |
| ISMS/Pマーク | JIS Q 27001:2023 / 15001 | 選定前提の認証 | AWS ArtifactSecurity Hub | 運用自社認証取得 |
法規制要件を満たす AWS リファレンス構成。医療データを閉域接続で国内リージョン（東京/大阪）に閉じ、暗号化・認証・監査・不変バックアップを多層配置する。各ノードに主たる対応要件を併記した。
Direct Connect / Site-to-Site VPN ＋ PrivateLink（インターネットを経由しない）本シリーズは、医療情報システムの開発・クラウド化を手がける X Harumi が、公的な一次資料を根拠条項まで遡って再整理したものです。AI 活用支援・業務効率化・DX 推進・システム開発を提供しています。