米国会計検査院が国防総省・退役軍人省の連邦EHRに関する報告書を公開(2026年6月11日公開)

2026年6月2日、米国会計検査院(GAO)は、「電子健康記録：目標と評価基準の改善が機関間のサイバーセキュリティ連携を向上させる」と題する報告書を公開した。

連邦電子健康記録（EHR）システムは、国防総省（DOD）や退役軍人省（VA）を含む複数の連邦政府機関において、数百万人もの対象者への医療提供を支えている。完全配備が完了すると、本システムは50万人以上のユーザーを抱え、1,800万人を超える現役軍人、退役軍人、およびその家族に医療を提供することになり、全米最大規模の電子カルテシステムの一つとなる。

他方、医療分野におけるサイバー攻撃の増加は、プライバシー、サイバーセキュリティ、そして患者への医療提供に対する脅威となり、システムを高いリスクにさらしている。例えば、2024年2月、医療決済および市販薬の処方処理業者に対するランサムウェアによるサイバー攻撃が発生し、全米の医療サービスが混乱に陥った。国防総省（DOD）では、この影響により軍の薬局における請求処理や一部の処方せんの調剤に遅れが生じた。また退役軍人省（VA）でも、医療情報の交換や処方せんの発注に影響が及び、約100万件に上る処方箋請求の処理遅延（バックログ）が発生した。

2024年追加包括歳出法（Further Consolidated Appropriations Act, 2024）には、GAOなどが連邦EHRの諸側面について報告することを義務付ける規定が含まれている。本報告書は、連邦EHRシステムとその管理体制について説明し、同システムのサイバーセキュリティおよびシステム内データのプライバシー保護に関する役割と責任を明確にするとともに、システムとデータの安全性を維持するために各機関がどのように連携しているかを検証することを目的としている。

連邦電子健康記録近代化推進局（FEHRM）は、共通のEHRを導入・運用するにあたり、単一の意思決定権限および説明責任を持つ機関として、2019年12月に組織憲章に基づき設立された。国防副長官と退役軍人副長官が署名したこの組織憲章には、FEHRMの職責と局の権限が記述されている。

同憲章は、国防総省（DOD）と退役軍人省（VA）における意思決定権限をFEHRMに委譲しており、両省が相互運用可能なEHRシステムを確実に構築できるよう、共同機能に関する統一的な方針を提示する役割を与えている。さらに、2019年12月に制定された2020会計年度国家防衛権限法（NDAA）においても、同局の要件と権限が定められている。

FEHRMの組織憲章によると、同局は連邦共通のデータ領域（フェデラル・エンクレーブ）の運用とリスク管理を行い、効率化、標準化、および業務プロセスの最適化に向けた機会を特定することとなっている。また、同憲章は、FEHRMが指揮・監督を行うべきいくつかの共同機能についても定めている。

GAOは、本報告書の中で、以下のような点を指摘している。

・合同国防総省・退役軍人省（DOD-VA）の意思決定機関である連邦電子カルテ現代化局（FEHRM）は、連邦政府の電子健康記録（EHR）の指揮および監督を提供する責任を負っており、国防総省（DOD）がそのサイバーセキュリティを確保する第一の責任を負っている。 ・連邦EHRを使用している4つのパートナー機関すべてが、自組織のネットワーク管理、健康データの管理に関連する連邦プライバシー法の遵守、およびブリーチ（情報漏洩）が疑われる事象が発生した場合の国防総省への通知を行う責任を負っている。 ・連邦電子カルテ現代化局（FEHRM）は、連邦パートナー間の協調を概ね促進してきたが、主要な取り組み（先導的プラクティス）に十分に対応することで、この協調はさらに改善されると考えられる。 ・GAOは、国防総省および退役軍人省の指導部に対し、サイバーセキュリティとプライバシー保護を調整するためのFEHRMの取り組みが、省庁間における協調の主要な取り組み（先導的プラクティス）を完全に満たすものとなるよう確実に行うことを推奨する。

GAOの推奨事項は、以下の通りである。

・国防長官は、国防副長官が連邦電子カルテ現代化局（FEHRM）に対し、共通の目標、成果、および関連する業績評価指標を策定させるとともに、連邦エンクレーブ（共通のセキュリティ領域）のサイバーセキュリティとプライバシー保護の確保に向けた協調の取り組みについて、その進捗状況を監視、評価、および伝達するよう指示することを確実にするべきである。 ・退役軍人長官は、退役軍人副長官が連邦電子カルテ現代化局（FEHRM）に対し、共通の目標、成果、および関連する業績評価指標を策定させるとともに、連邦エンクレーブ（共通のセキュリティ領域）のサイバーセキュリティとプライバシー保護の確保に向けた協調の取り組みについて、その進捗状況を監視、評価、および伝達するよう指示することを確実にするべきである。

(参考文献) ・U.S. Government Accountability Office (GAO), “Electronic Health Records: Better Goals and Measures Would Improve Interagency Cybersecurity Collaboration”, Ju 21, 2026 https://www.gao.gov/products/gao-26-107673

笹原英司 https://www.linkedin.com/in/esasahara/ 旧労働省（現厚生労働省）労働基準監督官を経て、デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク管理関連調査研究／コンサルティングに従事する 現在は、クラウドセキュリティアライアンス、在日米国商工会議所、在日デンマーク商工会議所などで、スタートアップ企業支援活動を行っている。 千葉大学大学院医学薬学府博士課程修了（博士・医薬学）

Eiji Sasahara, Ph.D., MBA After serving as a Labor Standards Inspector at the former Ministry of Labour (now the Ministry of Health, Labour and Welfare), engaged in various areas, including digital marketing (B2B/B2C) and research, studies, and consulting related to governance and risk management within the healthcare, nursing, welfare, and life sciences industries. Currently, get involved in supporting startup companies through organizations such as the Cloud Security Alliance, the American Chamber of Commerce in Japan, and the Danish Chamber of Commerce in Japan. Hold a Ph.D. in Medical and Pharmaceutical Sciences from the Graduate School of Medical and Pharmaceutical Sciences, Chiba University.