検証方法
検証方法 — 医療版グリッド (2軸) と事実シグナル
1. 考え方
- 数値の総合スコアは使いません。確かめた事実を出典と確認日付きの「事実シグナル」で示し、カテゴリの中の位置を 2 軸の医療版グリッドで示します。
- どれを勧めるかは、数字でなく編集者の言葉 (選定の理由) で、署名つきで書きます。
2. 事実シグナル
- 製品ごとに次の 5 つを一次資料で確かめます。確かめられなかったものは「未確認」と書き、推定で埋めません。
- 各シグナルに最終確認日を付け、年 1 回と制度の改定時に確かめ直します。サポートや使い勝手など一次資料で確かめられないものは、シグナルにしません。
| シグナル | 表示するラベル | 一次ソース |
|---|---|---|
| 規制 | PMDA SaMD 承認 / 加算対象 / 医療機器非該当 / 海外のみ | PMDA・厚労省 公文書 URL |
| エビデンス | 査読論文の最高位デザイン (RCT / 前向き / 後ろ向き / ベンダー資料のみ) | PMID |
| 連携 | 公開 API・標準準拠 (HL7 FHIR 等) の有無 | 公式技術ドキュメント URL |
| 価格開示 | 公開価格あり / 問い合わせのみ | 公式料金ページ URL + 取得日 |
| 実績 | 公式発表ベースの導入事例 (件数・施設名) | 公式プレスリリース URL |
3. 医療版グリッド
- X 軸はセキュリティ (ボタンでエビデンス成熟度に切り替えられます。基準は §4)、Y 軸は導入の広がりです。どちらも出典に基づく段階で、総合スコアや満足度ではありません。迷うときは低い側に置きます。
- ロゴの枠の色は規制の区分、破線の枠は日本未上陸を表します。点線の境界は両軸とも 3 です。位置は推奨の度合いではありません。
4. エビデンス成熟度 (比較表の列)
- その製品そのものを対象とした研究だけを数えます。レベル 2 以上は出典、3 以上は PMID または DOI が必要です。
| レベル | ラベル | 基準 |
|---|---|---|
| 0 | 未確認 | 編集部の調査が未了 |
| 1 | ベンダー資料のみ | ホワイトペーパー・自社調査のみ |
| 2 | 学会発表・症例報告 | 査読前の抄録・症例報告・プレプリント |
| 3 | 査読付き観察研究 | 後ろ向き・横断デザインの査読論文 |
| 4 | 査読付き前向き・実装研究 | 前向きコホート・実装研究の査読論文 |
| 5 | RCT・系統的レビュー | RCT または SR/メタ解析 |
5. 導入の広がり (Y 軸)
- 公式プレスリリース・IR・大手業界報道で確かめられる導入の公表の規模です。レベル 2 以上は出典が必要です。
| レベル | ラベル | 基準 |
|---|---|---|
| 0 | 不明 | 導入状況の公表情報なし |
| 1 | 提供初期 | 提供は確認できるが導入先の公表なし |
| 2 | 導入公表あり | 導入先 (named customer) の公表 1 件以上 |
| 3 | 複数・大手導入 | 大手医療機関または複数施設の導入公表 |
| 4 | 大規模普及 | 100+ 施設・全国展開級の公表 |
| 5 | 業界標準 | 市場リーダー・数千施設規模 |
6. セキュリティ
- 安全度の格付けではありません。提供元の公開資料と認証の登録簿で、患者さんの情報を守る仕組みをどこまで確かめられたかを、国のガイドラインが医療情報システムの提供事業者に求めているものに沿って、編集部が組んだ 5 段階で示します (国が定めた格付けではありません)。国のガイドラインは法律ではありません。段が低いことは、法令違反や、国の基準を満たしていないことを意味しません。医療情報を扱わない製品は、ガイドラインの対象にならないこともあります。
- 国のガイドラインが提供事業者に求めていることのうち、公開資料で外から確かめやすいのは、プライバシーマークか ISMS (または国が同等とする認証) を取ることと、医療機関への情報の提供 (保存場所、安全管理ガイドラインへの対応、開示書など) の 2 つです。この 2 つを公開資料で両方確かめられるとレベル 4 です。運用管理規程や自己点検のように、外からは確かめられないものは段に入れていません。5 は、医療機関が事業者を選ぶときに国が確かめるよう求めている書類と、二要素認証までそろった状態です。
- 当てはめは公開資料の事実だけで行い、レベルは満たした段のうち最も高いものです。2 (開示) と 3 (認証) は別の道で、認証だけでは 3 に上がりません。
| レベル | ラベル | 条件 (公開資料で確認できるもの) |
|---|---|---|
| — | 評価保留 | 下のどの開示も公開資料で確認できない。対策が無いという意味ではありません |
| 1 | 基礎の開示 | 医療情報の保存場所、データの扱い (AI の学習利用を含む)、事故時の連絡窓口、安全管理ガイドラインへの対応、医療情報セキュリティ開示書 (MDS/SDS)、第三者認証のどれかが公開されている |
| 2 | 医療向けの開示 | MDS/SDS の公開または提出可の明記、ガイドライン名を挙げた対応表明、または保存場所と、データの扱いか事故時の連絡窓口 (表 4-1 の事故時の報告方法の一部) がある (経済産業省・総務省ガイドライン第 2.0 版 表 4-1 の医療機関への情報提供のうち、公開資料で確かめられるものを目安にしています) |
| 3 | 認証と開示 | ISMS (ISO/IEC 27001) かプライバシーマーク、または経済産業省・総務省ガイドライン 表 4-1 と厚生労働省ガイドライン 企画管理編 §7 が同等として挙げる ISMAP・FedRAMP・SOC 2・SOC 3・CS ゴールドマーク・HISPRO のいずれかがあり (同 §4.4 の「最低限の適格性」)、かつ認証以外の開示が 1 つ以上ある |
| 4 | 認証と医療向けの開示 | 2 と 3 の両方を満たす。保存先が国外だけの製品は届かない (医療情報を保存しないと規約などに書かれている製品は、この条件を問いません。厚生労働省 Q&A 企画管理編 Q18 — 生成 AI に入力する場合の考え方 — を参考にした編集部の扱い) |
| 5 | 確認書類までそろう | 4 に加え、MDS/SDS か厚生労働省チェックリストの事業者確認用への回答を公開または提出可と明記し、二要素認証を提供している |
- 根拠: 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」第 2.0 版 (§4.1 表 4-1・§4.4)、厚生労働省「医療情報システムの安全管理に関するガイドライン」第 7.0 版 (企画管理編・保守委託機関編と Q&A)、令和 8 年度「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」。二要素認証は、令和 9 年度以降にシステムを新しく入れる・入れ替える医療機関に国が求めているものです。
- 国の Q&A は、認証や登録だけではサービスの安全性を直接保証しないとしています。そのため認証の数や種類では段を上げません。SOC 2 Type II・ISMAP・HISPRO・この製品が範囲の ISO/IEC 27017・C5 Type 2・HITRUST i1/r2 のように運用まで第三者が確かめる保証は、国が提供事業者に求めていないものなので段の上げ下げに使わず (国の同等リストにある SOC 2・ISMAP・HISPRO は 3 の認証としては数えます)、「運用まで第三者が確かめた保証」として製品ページに別に示します (HITRUST・C5 は国の同等リストに無いため、3 の認証にも数えません)。
- 段とは別に、保存先 (国内 / 国外 / 保存しない) と AI の学習利用を製品ページに示します。
段の物差しが合わない製品 (段とは別の注記)
段は、医療情報を扱う IT サービスに国のガイドラインが求めるものを物差しにしています。次の 3 種の製品はこの物差しだけでは測れないことがあるため、段の数字は変えずに、製品ページ・カード・マップに注記を添えます。
| 種類 | 当てはめ方 | 注記 |
|---|---|---|
| 医療機器 | 規制ステータスに、薬機法の承認・認証 (またはクラス I の届出) が明記されている製品 (医療情報を扱う医療機器は、経済産業省・総務省ガイドラインの対象でもあります。段は医療機器としての基準を測りません) | 医療機器の基本要件基準 (第 12 条第 3 項、2023 年 4 月適用・経過措置 1 年) により、ネットワークにつながる医療機器プログラムなどは、サイバーセキュリティ対策が基準への適合の条件です。2024 年 4 月以降の承認・認証の申請では適合の資料を添え、それより前に承認・認証された製品は製造販売業者が適合を確かめて求めに応じて示します (厚生労働省 令和 5 年 3 月 31 日通知)。注記は個々の製品の対策を編集部が確かめたことを意味しません。段は IT サービスとしての公開資料の範囲を見たもので、医療機器の基準とは別の物差しです |
| 医療情報を扱わない製品 | 在庫・シフト・ホームページ制作などで、公式の機能説明に患者を特定できる情報を受け取る・保存する機能が無いと編集部が判断した製品 (根拠の出典を製品ページに示します。迷うものは含めません) | 経済産業省・総務省ガイドラインの対象は、医療機関等との契約等に基づいて医療情報システム等を提供する事業者です (第 2.0 版 §2.1)。医療情報を扱わないため、医療情報のガイドラインの対象外のことがあります。職員の個人情報などを預ける場合の安全管理 (個人情報保護法) は変わりません |
| 日本未上陸 | 規制ステータスが「日本未上陸」(海外でのみ提供・承認) の製品 | 日本の指針向けの書類 (MDS/SDS や、厚生労働省チェックリストの事業者確認用への回答) が無いのは通常です。段は海外での安全管理の水準を表すものではありません |
- 認証の多くは提供元の表明です。登録簿で確かめたものは「登録簿で確認」と分けて示し、非公開の報告書 (SOC 2 など) の中身は確かめていません。確認日に公式ページを開けなかった製品は「確認中」とします。
- 提携・報酬の有無は段の判定に使いません。基準はガイドラインの改訂に合わせて年 2 回見直します (MDS/SDS の第 7.0 版対応版と、電子カルテの認証制度の詳細が出たときにも見直します)。
7. 訂正と見直し
- 提供元からの訂正・異議は
partner@clinicailab.comで受け付けます (掲載企業は管理ページからも依頼できます)。確認が済むまで、該当の項目に「提供元に確認中」と表示します。 - 評価 (エビデンス成熟度・導入の広がり・セキュリティ) の基準に当たる事実の根拠資料も、同じ窓口と管理ページで受け付けます。段階は公開の基準に照らして編集部が決め、提携・報酬の有無や、資料を出したかどうかでは変えません。提供元の提出資料だけを根拠にした事実は、製品ページに「提供元の提出資料」と示します。
- 判定の基準を変えるときは、変更日と理由を下の記録に残します。
基準の変更の記録
- 2026 年 10 月 13 日: 評価の基準に当たる事実の根拠資料を、管理ページから受け付けることを明記。段階は編集部が決め、資料の有無や提携・報酬では変えない。提供元の提出資料だけを根拠にした事実は「提供元の提出資料」と示す。段階の数字と条件は変えていない
- 2026 年 10 月 13 日: セキュリティの段とは別に、物差しが合わない製品 (医療機器・医療情報を扱わない製品・日本未上陸) への注記を新設。段の数字は変えていない
- 2026 年 10 月 13 日: セキュリティの 4・5 を、国のガイドラインが提供事業者に求める水準に合わせた。以前は 4・5 の条件に SOC 2 Type II など運用まで第三者が確かめる保証を求めていたが、国はこれを求めていないため段から外し、「運用まで第三者が確かめた保証」として別に示す。2〜4 のラベルを「医療向けの開示」「認証と開示」「認証と医療向けの開示」に変更。レベル 2 の条件に「保存場所と事故時の連絡窓口」の組を加えた
- 2026 年 10 月 12 日: グリッドの X 軸を、ボタンでセキュリティとエビデンス成熟度に切り替えられるようにした
- 2026 年 10 月 7 日: グリッドの X 軸をエビデンス成熟度からセキュリティに変更 (製品そのものの研究が少なく、位置の差が出なかったため)。セキュリティ (1〜5・評価保留) を新設
- 2026 年 6 月 11 日: 医療版グリッド (2 軸) を導入
- 2026 年 6 月 10 日: 6 軸の加重スコアを廃止し、事実シグナルに移行
- 2026 年 5 月: 6 軸の加重評価 (初版) を公開