その薬歴、誰の「金庫」に眠っていますか
国のDC・クラウド認証が薬局のベンダー選びを塗り替える

政府がデータセンター（DC）とクラウドサービスの安全認証制度を創設し、医療機関などに認証済みサービスの利用を促す方針だと、日本経済新聞が2026年10月19日に報じた。形式は「推奨」でも、国による審査・監督とセットになれば事実上の調達基準になる。レセコン、電子薬歴、オンライン服薬指導――薬局のデータはすでに大半がクラウドの上にある。これから問われるのは「サーバーがどこにあるか」ではなく「そのサーバーを誰が支配しているか」だ。2027年に向けて、知っておくべき背景と今後の論点を整理する。

何が動き出そうとしているのか

報道によれば、総務省と経済産業省が2027年度以降、国内に立地するDC事業者と、国内にサーバーを保有するクラウド事業者を対象に認証制度を導入する。審査では事業者の企業情報、情報流出を防ぐリスク管理体制、設備の調達先などを確認し、特定国の影響下にある事業者を事実上排除する設計になるという。金融機関や医療機関・研究機関には、認証を受けた事業者との契約が推奨される見通しだ。

制度の土台となるのが経済安全保障推進法の改正である。政府は2027年1月召集の通常国会に改正案を提出し、重要な個人情報を保存・提供する企業の事前届け出制度を設ける方針だ。データ保管にリスクがあると判断すれば、国が中止の命令や勧告を出せるようになる。

この流れは突然出てきたものではない。内閣官房の経済安全保障法制に関する有識者会議は、2026年1月16日の提言骨子（データセキュリティ）で、外部流出が国の安全を脅かし得る「個人に関する機微なデータ」の例として、ゲノムデータや金融情報と並んで医療情報を明記している。さらに、漏えいの経路として第三者へのデータ提供や、データを処理・保存する情報システムの契約を挙げている。つまり医療データは、検討の初期段階から規制対象の中心に置かれていたのである。

「所在地」から「支配」へ――確認項目が1段深くなる

薬局にとって、委託先クラウドの確認は従来もガイドライン（いわゆる3省2ガイドライン）等に基づき行われてきた。外部保存を委託する際には、医療情報を格納する機器が国内法の適用下にあるかを確認することが基本とされてきた。

しかし今回の認証制度が見ようとしているのは、その一歩先である。サーバーが国内にあっても、運営会社の資本関係や、サーバー・ネットワーク機器の調達元が特定国の影響下にあれば、有事にデータが流出したりサービスが止まったりするリスクは残る。報道において海外の法制度（国家情報法や国防動員法等）に言及されているのは、まさに「所在地は日本でも、支配が及ぶ法域は別」という構造を問題視しているからだ。

貸金庫にたとえるとわかりやすい。これまでは「日本国内の支店にある金庫か」の確認が中心であったが、これからは「金庫を製造したのは誰か」「合鍵を持ち得るのは誰か」まで評価の対象となり得る。確認の主語が、場所から支配へと移りつつあると言える。

薬局のデータは、すでに「雲の上」にある

改めて薬局業務に関わるデータを棚卸しすると、非常に多層的な構造になっている。

注意したいのは、薬局が利用するサービスの背後に、クラウド基盤事業者、API提供者、保守会社という再委託の構造が存在することだ。今回議論されている認証制度は主にその基盤部分（DCやクラウド基盤）を対象としている。なお、生成AIの処理等に関する整理や改正法の事前届け出制度の具体的な対象範囲については、現時点では未確定な部分も多いため今後の注視が必要である。

店舗の中にもある経済安保――IoT機器とJC-STAR

見落とされがちなのが、店舗内のネットワーク機器である。認証制度が参考にするとされるIPAの「JC-STAR」は、ルーターやネットワークカメラなどIoT製品のセキュリティ水準を格付けする制度で、2025年3月に運用が始まった。

太陽光発電・蓄電池の新規系統連系では、2027年4月からJC-STAR★1を満たす機器の利用が要件化されるなど、任意の制度が分野によって要件化される先例が出ている。医療分野において同様の要件化が起きるかどうかは確定していないが、将来的なセキュリティ水準の標準化の流れとして注目しておく必要がある。

冷静に見ておくべき3つの論点

制度の方向性を踏まえつつ、今後の注視が必要な論点を整理する。

経済安全保障という概念は、医薬品の安定供給（特定重要物資への指定等）においてすでに身近な課題となっている。今回の認証制度に関する動きは、その発想がデータインフラへも広がっていることを示している。これからの医療DXにおいては、システムやデータの安全管理に関する国の制度動向を正確に把握し、中長期的な視点で備えていくことが求められている。