Kiteworks、オランダの医療データセキュリティに関するNEN 7510-1:2024認証を取得

オランダの医療業界のCISO（最高情報セキュリティ責任者）に、ベンダーのプラットフォームが安全かどうか尋ねると、多くは丁寧にうなずいて次の話題に移ります。しかし、そのプラットフォームがCISO自身の組織を規制当局が評価するのと同じ規格で、独立した監査人によって検証されているかどうかを尋ねると、会話の雰囲気は一変します。Kiteworksは、その問いに自ら答えることを選び、営業資料に委ねるのではなく、実証しました。

Kiteworksは、機密データのあらゆるやり取りにおけるリスク管理を支援する企業として、オランダの医療機関が法的に満たす必要がある情報セキュリティ管理規格「NEN 7510-1:2024」の認証を取得しました。独立した認定第三者機関であるBrand Compliance B.V.が、証明書番号NL 3069.1.1で発行しています。この認証は、Kiteworks USA LLCおよびその関連会社（Kiteworks Europe AG、Kiteworks PTE LTD、Kiteworks BG Ltd、Dracoon GmbH、123FormBuilder S.R.L.、Zivver B.V.）を対象としています。2つの製品、Kiteworks Control PlaneとZivver Secure Communications Servicesが、この1つの認証の範囲に含まれています。

NEN 7510への準拠は、2008年以降オランダの医療提供者にとって法的義務となっていますが、2023年には、単に準拠を宣言するだけでなく、実際に準拠していることを証明することが求められるようになり、基準が引き上げられました。2024年12月に発行されたこの規格の最新版は、ISO 27001と同じ管理策をベースに、医療分野特有の追加要件を上乗せした構成となっており、EUのNIS2指令を実装するオランダの新しいサイバーセキュリティ法とも重複しています。すでにGDPRへの対応義務を負う医療機関にとって、この重複は歓迎すべきものです。現在では、NEN 7510の監査プログラム1つでNIS2の証拠要件もカバーでき、各フレームワークごとに別々の監査を実施する必要がなくなりました。

これらは、この記事を読む医療業界のCISOやコンプライアンス責任者にとって、決して他人事ではありません。2025年8月にオランダの検査機関で発生したランサムウェア攻撃と、その9か月後に下された規制当局の指摘は、情報セキュリティ要件を単なるチェックリストとして扱った場合に何が起こるかを明確に示しています。このインシデントこそが、本認証を読み解く際の背景であり、Kiteworksの認証内容に戻る前に詳細を確認する価値があります。

主なポイント

1. KiteworksはNEN 7510-1:2024認証を取得

独立した認定機関Brand Compliance B.V.が発行した証明書NL 3069.1.1は、Kiteworks Control PlaneとZivver Secure Communications Servicesの両方を1つの認証でカバーしています。

2. この認証は、オランダ医療業界のCISOがすでに抱えている疑問に答えるもの

この認証は、プラットフォーム自体が、顧客組織が満たすべき規格と同じ基準で、独立して監査されたことの証拠を提供します。設定オプションだけでなく、プラットフォームそのものが対象です。

3. 実際の侵害事例が、非準拠の代償を示す

規制当局は、2025年8月にランサムウェア被害を受けたオランダの検査機関Clinical Diagnosticsが、約85万人分のデータ流出時点でNEN 7510に準拠していなかったと認定しました。

4. オランダでの侵害通知件数は減少していない

オランダ個人情報保護局は、2025年に全産業で39,407件の侵害通知を記録しており、2024年の37,839件から増加しています。

5. ギャップはAIガバナンスにも及ぶ

Kiteworks独自の2026年調査データによると、多くの組織がAIデータアクセスの完全な監査記録を迅速に提出できておらず、欧州のセキュリティ強化もAI特有の管理策には十分反映されていません。このギャップを埋めるために認証済みプラットフォームが設計されています。

Clinical Diagnosticsの子宮頸がん検診インシデントに見るコンプライアンスギャップ

2025年8月、オランダの国民検診プログラムで子宮頸がん検査を担当する検査機関がランサムウェア攻撃を受けました。この攻撃により、約85万人分の記録（国民識別番号を含む）が流出し、オランダ個人情報保護局が調査を開始しました。

より重大な指摘はその後に下されました。2026年5月、オランダ保健・青年ケア監督局（IGJ）は、Clinical Diagnosticsが攻撃時点で法的に義務付けられているNEN 7510情報セキュリティ規格に準拠していなかったと結論付けました。規制当局の指摘事項は具体的で、独立した情報セキュリティ監査が実施されておらず、情報セキュリティリスクの定期的な評価も不十分でした。IGJはさらに、NEN 7510に則った運用をしていれば、インシデントの発生確率と影響の両方を低減できたはずだと述べています。

コンプライアンス責任者やGRC（ガバナンス・リスク・コンプライアンス）責任者にとって、この指摘は本質を突いています。NEN 7510は、医療機関が後回しにできる「あると良い」フレームワークではなく、善意やポリシードキュメントだけで満たされるものでもありません。規制当局は、特定の組織に対する文書化された執行判断を通じて、維持できなかった場合にインシデント発生時の結果が変わることを示しました。監督機関は、独立監査や適切なリスク評価があれば何が見つかったかを推測する必要はありません。インシデント報告書を根拠に、両者が欠如していたことで被害が拡大したと明言できるのです。

侵害が発生した場所も規模と同じくらい重要です。病院内ではなく、患者データを委託された第三者の検査機関で発生しました。これは、情報セキュリティ要件が医療エコシステム全体（ベンダーやプロセッサーも含む）に及ぶべきであり、病院の壁の中だけで完結してはならないことを示しています。検査サンプルをそのラボに送ったすべての病院、保険会社、医療システムは、自組織の内部セキュリティプログラムの出来不出来にかかわらず、このインシデントの影響を一部引き受けることになりました。そしてClinical Diagnosticsの事例は、決して孤立したものではありません。オランダ個人情報保護局は、2025年に全産業で39,407件のデータ侵害通知を記録しており、前年の37,839件から増加しています。オランダの規制当局は、このような事例が減るどころか増えている現状を目の当たりにしており、これは患者データに関わるすべてのベンダー関係を守る必要があるコンプライアンス責任者にとって、まさに現実的な課題です。

「私が面談するすべての医療CISOは、同じ質問を必ずします。それは、私たちのプラットフォームが安全かどうかではなく、独立した第三者が確認したかどうかです」とKiteworksのField CTO、Rick Goudは述べています。「ZivverはすでにNEN 7510認証を取得していましたが、Kiteworksも取得したことで会話が変わります。Kiteworksプラットフォームおよび関連ソリューション（Zivverを含む）は、顧客が求められるのと同じ規格で独立監査を受けているため、私たちの言葉を信じてもらう必要がなくなりました。」

NEN 7510-1:2024の要件と、2023年の証明義務がもたらした変化

NEN 7510は、オランダの医療機関向け情報セキュリティ規格であり、規制コンプライアンス法の具体的な適用例です。2008年から法的拘束力を持ち、15年間、オランダの医療機関は主に自己申告で準拠を証明できていました。しかし2023年からは、単なる宣言ではなく、実際に準拠していることを証明することが義務付けられ、NEN 7510はポリシーステートメントから監査義務へと性質が変わりました。

2024年12月に発行された最新版「NEN 7510-1:2024」は、国際的な情報セキュリティ管理規格であるISO 27001コンプライアンスと同じ管理策構造を採用しつつ、医療機関向けの追加要件や詳細が上乗せされています。基礎となる管理策がISO 27001:2022と非常に近いため、NEN 7510準拠のための取り組みを行えば、より広範な国際規格への対応も大きく前進することになります。

また、この規格は、EUのNIS2指令を実装するオランダのサイバーセキュリティ法とも重複しています。NIS2は、重要分野（医療を含む）におけるインシデント報告やリスク管理義務を拡大した法律です。NEN 7510を満たすことで、NIS2コンプライアンスの一部要件も同時に満たすことができ、複数の監査プログラムを並行して維持する負担を避けたい医療機関のコンプライアンス担当者にとって大きなメリットとなります。

ベンダーにとってこの基準を満たすとは、設定ガイドラインではなく、実際のプラットフォームそのものを独立した認定監査人に提出することを意味します。この違いこそが、Kiteworksが今回発表しているポイントです。今後、すべてのベンダーレビューでコンプライアンス担当者が確認すべき点でもあります。「当社ソフトウェアはNEN 7510に対応可能です」と「当社ソフトウェアはNEN 7510で独立監査を受けました」は全く異なる主張であり、規制当局の追及に耐えられるのは後者だけです。

証明書NL 3069.1.1の内容と独立監査の範囲

証明書NL 3069.1.1は、Brand Compliance B.V.（独立した認定第三者機関）がNEN 7510-1:2024規格に基づき監査を実施した結果、発行されました。認証決定日は2026年8月1日、証明書発行日は2026年8月6日、有効期限は2029年7月31日までです。証明書の適用範囲は意図的に広く設計されており、Kiteworks USA LLCおよびその関連会社（Kiteworks Europe AG、Kiteworks PTE LTD、Kiteworks BG Ltd、Dracoon GmbH、123FormBuilder S.R.L.、Zivver B.V.）をカバーしています。

この単一認証の下で、Kiteworks Control PlaneとZivver Secure Communications Servicesの2製品が対象となります。Kiteworksが買収したセキュアメールおよびセキュアコミュニケーションプロバイダーであるZivverは、すでに独自にNEN 7510認証を取得していました。今回の発表で変わるのは、Kiteworks Control Plane自体（プラットフォーム全体を統括・管理するレイヤー）も、同じ独立認証をZivverと並んで取得した点です。

これは、すでにZivverでセキュアコミュニケーションを標準化し、今後より広範なKiteworksセキュアデータ交換（ファイル共有、マネージドファイル転送、フォーム、API連携など）導入を検討しているオランダ医療機関にとって重要です。監査済み部分と実際に導入する範囲とのギャップがなくなりました。以前は、セキュアメール部分だけが認証済みで、他のデータ交換環境は未認証である理由を説明する必要がありましたが、今後は両方をカバーする単一の証明書を提示できます。

このような認証が主張する内容と、主張しない内容を正確に理解することも重要です。Brand Compliance B.V.が、指定された製品をNEN 7510-1:2024の管理策に照らして審査し、監査時点で適合していると判断したことを証明します。将来のすべてのインシデントに対する保証ではなく、医療機関が自組織内で正しく設定・運用する義務が免除されるわけでもありません。顧客が自社のコンプライアンスプログラムを構築する際、その基盤となるソフトウェアが最初から独立監査を受けているかどうかという不確実性を解消するものです。

認証のカバー範囲について詳しくは、NEN 7510-1:2024コンプライアンス・ブリーフをご覧ください。

ワンプラットフォーム・ワン監査証跡、そしてポイントツールでは証拠品質のコンプライアンスに届かない理由

Kiteworksが今回主張する差別化ポイントは明確で、誇張なく正確に伝える価値があります。オランダの医療業界向けにソフトウェアを販売する多くのベンダーは、顧客がNEN 7510準拠の設定ができる製品を提供していますが、ソフトウェア自体が独立監査を受けているケースはほとんどありません。コンプライアンス負担や、監査人が顧客の設定判断に異議を唱えた場合のリスクは、すべて顧客側に残ります。

「多くのベンダーは、オランダの医療CISOにチェックリストを渡して”これでコンプライアンスです”と言いますが、現実の締切や侵害通知の増加にはそれだけでは不十分です。必要なのは、顧客自身がこれから受けるのと同じ方法で独立監査を受けたプラットフォームであり、各ツールが個別に狭い基準を満たすだけでデータの流れが管理されない寄せ集めではありません。統合されたプラットフォームなら、監査証跡も一つ、監査人が実際に追えるレポートも一つで済み、後から複数のログをつなぎ合わせる必要はありません」とGoudは述べています。

Kiteworksのプラットフォームは、認証済みシステムとして、メール、ファイル共有、ファイル転送、フォーム、API、エージェントを横断する単一の監査ログを提供し、監査人が複数のツールやログイン、見落としのあるシステムを照合する必要がありません。この単一監査証跡モデルは、多くの組織が直面しているギャップを解消します。そのギャップは決して小さくありません。Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Reportによれば、半数の組織がAIデータアクセスの完全な監査記録を1営業日以内に提出できず、1時間以内に提出できるのはわずか17%です。規制当局のタイムラインが数時間や数日単位で動く中、1週間かけてまとめる監査ログは、どんなに管理策が整っていても証拠とはみなされません。

多くのオランダ医療機関が直面している現実はこうです。メールゲートウェイ、ファイル転送サーバ、フォームツール、AIアプリケーションへのデータ連携システムなど、それぞれが独自のログ形式・保存期間・管理画面を持ち、ログインも別々。IGJや内部監査人が「特定患者のデータに誰がいつアクセスしたか」の完全な記録を求めると、4〜5つのシステムを手作業で突き合わせる必要があります。この照合作業こそが証拠品質を損なう原因であり、管理策自体が弱いのではなく、迅速かつ一貫した説明ができないことが問題なのです。

この点こそが、機能リスト以上にコンプライアンス責任者やGRC責任者に響く論点です。統合監査証跡を持つ認証済みプラットフォームなら、数週間かかる証拠収集作業が1つのレポートで済みます。これは、規制当局の締切を守れるかどうか、調査が円滑に終わるか正式な執行判断に発展するかの分かれ道です。

規制医療データにおける欧州AIガバナンスギャップの解消

この認証は、欧州医療分野でのコンプライアンス議論がAIにも広がりつつあるタイミングで発表されました。2026年の年次調査レポートでは、欧州組織の多くが「一般的なセキュリティ基盤は強固だが、AIガバナンスは追いついていない」という傾向が明らかになっています。これは、GDPRやNIS2がコンプライアンス投資を加速させる一方で、技術的なAI管理策の導入が遅れていることが背景にあります。調査全体では、欧州を含む組織のうち、AIエージェントのタスクやデータを制限する技術的管理策「パーパスバインディング」を導入しているのはわずか26%にとどまっています。

認証済みKiteworksプラットフォームは、このギャップを埋めるために設計されており、これまで人間ユーザーに適用してきたアクセス制御や監査証跡を、AIエージェントによる患者データアクセスにも同様に適用します。これは、規制当局が「誰が」ではなく「データそのもの」を規制するため、極めて重要です。NEN 7510も、米国のHIPAA同様、AIエージェントによる記録閲覧に例外を設けていません。CISOが、認証済みプラットフォーム上でアクセス制御やデータガバナンスをAIエージェントにまで拡張していれば、IGJのような監査人が「誰（または何）が、どの権限で記録にアクセスしたか」を問う際、はるかに有利な立場となります。

このAIアクセス管理の責任所在は、多くの組織でまだ明確に定まっていません。調査によってCISO、CIO、Chief AI Officerのいずれかが主担当とされる場合もあり、そもそも担当者が決まっていない医療機関も少なくありません。NEN 7510認証済みプラットフォーム自体がこの内部責任問題を解決するわけではありませんが、最終的に誰が担当しても、アクセス制御と監査証跡がすでに備わったシステムを引き継げるため、ゼロからガバナンス体制を構築する負担を大幅に軽減できます。

オランダ医療データセキュリティ向けNEN 7510-1:2024認証済みプラットフォームの導入について、カスタムデモを今すぐご予約ください。

追加リソース

• ブログ記事 データを巡る綱引き：CLOUD法とSHIELD法がセキュリティとプライバシーをどう対立させるか
• ブログ記事 DSPMをコンプライアンス目標にマッピングして機密データを保護する方法
• ブリーフ よくあるFERPA違反トップ3とその回避策
• ブログ記事 大規模な米国人機微個人データ保護に関する大統領令14117号
• ブログ記事 NIS2コンプライアンスが必要ですか？まずはISO 27001から始めましょう