米国保健福祉省がNIHのAll of Usに関する監査報告書を公表(2025年11月20日公開)

2025年11月14日、米国保健福祉省(HHS)傘下の監察総監室(OIG)は、「国立衛生研究所は参加者のデータを保護するためにAll of Us研究プログラムのサイバーセキュリティを改善する必要がある」と題する報告書を公表した。

米国立衛生研究所(NIH)のAll of Us研究プログラムは、100万人以上の参加者から得られた個人健康情報を用いて、疾病の予防と治療を前進させることを目的としている。

NIHは、All of Usを、一般的疾患から希少疾患に至るまでの幅広い疾患に関する研究を可能にし、遺伝的要因と環境曝露、そして多種多様な健康アウトカムとの関連性を検出できるように設計した。その上でNIHは、従来の研究資金提供手段（例：助成金、契約）に加え、その他の取引権限に基づき締結された協定を通じて、All of Usプログラム傘下に9つの部門を設立している。

・バイオバンク ・コミュニケーションおよびエンゲージメントパートナー ・データリソース・センター(DRC) ・医療提供者組織 ・参加者センター ・参加者およびパートナーサービスセンター ・ゲノミクスパートナー ・データ連携・収集センター ・連携研究（パートナー研究）

参加者データは、47万件以上の電子健康記録と607,000件の生体試料から構成されている。参加者のデータはデータリサーチセンター(DRC)に保管されており、このセンターはNIHの助成金受領者によって運営されている。

監察総監室による監査では、NIHが以下の点についてDRCの助成金受領者に対して適切に対応していたかを検証した。

（1）研究データへのアクセスを適切に制限していたか （2）必要な情報セキュリティおよびプライバシー管理策を実施していたか （3）連邦政府の要件に従って情報セキュリティおよびプライバシー上の弱点を是正していたか

監察総監室は、NIHが研究参加者の個人健康データをサイバーセキュリティおよび国家安全保障上の脅威から保護することは、極めて重要だとしている。

今回公表された報告書の構成は以下のようになっている。

はじめに 本レビューを実施した理由 目的 背景 ・プレシジョンメディシン・イニシアティブ ・プレシジョンメディシン・イニシアティブにおけるデータのプライバシーとセキュリティ ・All of Us研究プログラム ・データリサーチセンター(DRC) ・HHS国家安全保障室 本レビューの実施方法 調査結果 ・DRCの受託者は、事前承認なしに国外からデータへアクセスすることを防ぐアクセス制御を実施していなかった ・DRCの受託者は、詳細な参加者データのダウンロードを防ぐアクセス制御を実施していなかった ・DRCの受託者は、実施すべき最低限の情報セキュリティおよびプライバシー管理策を決定する際に、ゲノムデータの保管に関する国家安全保障上の懸念を考慮していなかった ・DRCの受託者は、助成契約に基づく情報セキュリティおよびプライバシー上の弱点を是正していなかった 提言 NIHのコメント 附表 A：監査の範囲および方法論 B：連邦政府の要件 C：NIHのコメント

監察総監室は、本報告書の中で、以下のような提言を行っている。

・DRCの受託者に対し、検証された承認なしに、DRCおよびDRC-RW(リサーチャーワークベンチ)の情報システム利用者が海外にいる間にシステムへアクセスすることを防ぐためのアクセス制御を実装するよう義務付けること。 ・DRCの受託者に対し、All of Us データ利用ポリシーで義務付けられている通り、詳細な参加者データのダウンロードを防ぐための制御または代替制御を特定し、実装するよう義務付けること。 ・ゲノムデータの維持に関連する国家安全保障上の懸念を、ゲノムデータを利用または維持するAll of Usプログラムの受託者に対し正式に伝達し、かかるデータの保存、送信、処理を保護するためのITセキュリティおよびプライバシー制御の実装を義務付けること。 ・DRCの受託者に対し、ゲノムデータを維持することによる国家安全保障上の懸念を考慮し、DRCおよびDRC-RWの情報システムのセキュリティ区分を再評価するよう義務付けること。 ・DRCの受託者に対し、NIHとの受託契約で定められた期間を遵守するよう、システムセキュリティ計画における改善実施期間を更新するよう義務付けること。

なおNIHは、監察総監室の報告書案に対する書面でのコメントにおいて、これら5つの提言すべてに同意し、それらに対処するための措置を説明している。

（参考文献） ・U.S. Department of Health and Human Services(HHS) — Office of Inspector General, ”The National Institutes of Health Needs to Improve the Cybersecurity of the All of Us Research Program to Protect Participant Data”, November 14, 2025 https://oig.hhs.gov/reports/all/2025/the-national-institutes-of-health-needs-to-improve-the-cybersecurity-of-the-all-of-us-research-program-to-protect-participant-data/ ・U.S. Department of Health and Human Services(HHS), “Immediate Office of the Secretary (IOS)” https://www.hhs.gov/about/agencies/staff-divisions/immediate-office-secretary/index.html

笹原英司 https://www.linkedin.com/in/esasahara/ 旧労働省（現厚生労働省）労働基準監督官を経て、デジタルマーケティング全般（B2B／B2C）および健康医療／介護福祉／ライフサイエンス業界のガバナンス／リスク管理関連調査研究／コンサルティングに従事する 現在は、クラウドセキュリティアライアンス、在日米国商工会議所、在日デンマーク商工会議所などで、スタートアップ企業支援活動を行っている。 千葉大学大学院医学薬学府博士課程修了（博士・医薬学）

Eiji Sasahara, Ph.D., MBA After serving as a Labor Standards Inspector at the former Ministry of Labour (now the Ministry of Health, Labour and Welfare), engaged in various areas, including digital marketing (B2B/B2C) and research, studies, and consulting related to governance and risk management within the healthcare, nursing, welfare, and life sciences industries. Currently, get involved in supporting startup companies through organizations such as the Cloud Security Alliance, the American Chamber of Commerce in Japan, and the Danish Chamber of Commerce in Japan. Hold a Ph.D. in Medical and Pharmaceutical Sciences from the Graduate School of Medical and Pharmaceutical Sciences, Chiba University.