サーバ保守学(6)

（執筆者）亀田医療情報株式会社 塚田智　

みなさん、こんにちは、サーバー保守学第6回です。今回は、セキュリティ対策の入り口のお話をしてみようと思います。情報システムの役割が大きくなるなかで安全性確保の重要性が増す一方、それに対応するセキュリティ対策は変化が激しく、その対応は難しくなるばかりです。そのためセキュリティ対策は、どこまでやってもきりがなく、なかなか手を出しづらい領域といえます。それでも、これくらいはやっておきたいという常識的な対策を例にして注意点を確認していきましょう。その中で自院ではどの程度のセキュリティ対策ができていて、今後何が必要なのかを考えましょう。

　　

セキュリティ対策、まずこれくらいからやっておこう。

１．サーバーへのアクセス管理

サーバーのセキュリティ対策には、さまざまな見方があります。まず分かりやすいのは、サーバー機器に対する物理的なアクセスを管理することです。具体的にはサーバー室の入口やサーバーラックに鍵をかけて、アクセスできる人を限定します。入室管理のためにICカードや指紋で個人を識別し、自動的に入退室を記録できるシステムが望まれますが、費用の面でなかなか導入できないものです。代替策としてITらしさは無いですが、サーバー室を管理する人を配置し、台帳のようなものに入退室の履歴を記載する運用も現実的な対応だと思います。

次は、サーバーごとにどのクライアントからアクセスできるか制限して管理することです。ネットワークやWindowsADの設定でできる範囲でよいでしょう。すべてのサーバーにでもアクセスできるクライアントは便利ですが、使わないサーバーにアクセスできる分だけリスクは大きくなります。

外部からのアプリケーションの利用や、業者による保守作業のためのリモート接続はしっかり管理しましょう。これらはネットワークの機能で制限でき、ログから接続元や時刻が分かるので比較的管理しやすいと思います。リモート接続のたびに接続許可の操作を必要とする運用は簡便で実施しやすいです。いちいち許可する操作が面倒に思えますが、外部からサーバーにアクセスするには、これくらい慎重にしておきたい、と思う範囲です。

２．セキュリティ対策ソフトの利用

PCにセキュリティ対策ソフトを導入するのは、広く一般的に行われていますが、運用しているとPCの動作が遅くなったり、必要なソフトが動かなかったり、ネットワークの構成次第では最新化できなかったり、契約の更新を忘れていたり、意外に管理が大変なものです。セキュリティ対策ソフトには多くの機能がありますので、全部の機能を使うのではなく、利用環境でリスクの高いものに限定して使うとよいでしょう。私見ですが、インターネットに接続していない院内のクライアントであれば、WindowsOSに付属しているセキュリティ対策ソフトで十分だと思います。

サーバーにセキュリティ対策ソフトを導入するときは注意が必要です。特にデータベースサーバーのように大量のファイルがある場合、そこをセキュリティ対策ソフトの管理対象にしてしまうと、すべてのファイルをスキャンすることになり、とたんにレスポンスが悪化してしまいます。特定のドライブは管理対象から外すか、サーバー向きの負荷の低いセキュリティ対策ソフトを利用するようにしましょう。

３．インターネットからの隔離

医療機関のネットワークはインターネットから隔離されていることが多いと思います。業務中にインターネットで情報を得ることは業務効率や診療の質を向上させるために必要ですが、安全にインターネットを使うにはネットワークなどにそれなりの機能が必要になり、費用もかかります。わかりやすく簡単に安全を確保する方法として院内ネットワークをインターネットから隔離するのは現実的な方法でしょう。そのとき、業務用のネットワークには登録済みのPCしか接続できないようにしておきましょう。

業務用のネットワークとは別にインターネット接続用のネットワークを構築している医療機関が多いようですが、利便性を考えれば1台のPCで同じネットワークで使えるようにしたいものです。一般企業では社内ネットワークからインターネットが使え、業務用のPCを自宅に持ち帰っても通常業務ができるような安全性を実現している会社もあります。今後は医療機関のネットワークもこのような利用形態を実現できるよう費用をかけていくべきでしょう。

４．USBメモリーの使用禁止

医療機関からのデータ漏洩（紛失）の事故は毎年数件が報道されます。その多くが患者情報を保管したPC本体またはUSBメモリーを紛失したというものです。電子カルテに保管されたデータを抽出して利用する場合は、匿名化（または患者属性を削除）したうえで特定のサーバーに配置して、そこから移動させないようにすべきでしょう。PCの機能を制限してUSBメモリーを使えなくするように設定することも有効です。

どのような対策をしても、ユーザーにデータを提供したからには、ユーザーがデータを紛失するリスクを免れません。データを利用するユーザーにはそれに合わせて教育をして、データをどのように扱うべきか、データ漏洩（紛失）がどれほど重大な結果を招くかを理解してもらいましょう。

５．自院のセキュリティ対策を見直しましょう

自分の管理しているシステムで、セキュリティ対策は万全だと言い切れる人は少ないでしょう。特に医療情報を扱う場合、他の業種に比べてより高いセキュリティ対策を求められます。セキュリティ対策は、ここまで実施すれば大丈夫という基準を示し難いものです。それでもあえて判断基準を持つとすれば、何か事故があったことを想定して、これだけのセキュリティ対策を実施していたと自信を持って第三者に開示できるか、という視点です。このような視点で自院のセキュリティ対策を確認してみてはどうでしょうか。