サーバ保守学(24)

（執筆者）亀田医療情報株式会社 塚田智　

みなさん、こんにちは、サーバー保守学第24回です。新型コロナウイルスの感染拡大による緊急事態宣言とまん延防止措置が継続しています。全体的には、感染者数のピークは過ぎたように思いますが、再び人流が増加すれば感染者数も増加すると思われます。根本的な対策としてのワクチン接種は、ある程度のスピードで進んでいるようです。みなさんの施設でも医療者向けの接種が完了し、かかりつけの患者さんや地域住民への接種に拡大していることと思います。ワクチン接種をスムーズに進めるためにITを活用することが期待されています。それぞれの現場の要望を聞いて迅速に対応しましょう。

さて今回は、WindowsUpdateに代表されるOSの最新化について考えます。医療機関のシステムはインターネットなど外部に接続しないことを前提にして、システムの安定稼働を目的にシステム導入時のOSをそのままに維持していることが多いようです。しかし、システム環境は変化しており、OSの最新化はセキュリティ対策として最も重要な要素の一つになっています。この状況に医療機関はどう対応していくべきか考えましょう。

WindowsUpdate OSを最新化しよう（１）

１．システム環境の変化

医療機関のシステムは、インターネットなど外部に接続せずに、施設内LANでのみ利用することを前提としていました。しかし実際には、外部接続のすべてを遮断することはとても困難です。診療のためには、臨床情報の検索、診断用画像の受け取り、などで外部と接続されます。その他にも、レセプト電算システム、システム保守のためのリモート接続、一般のWEB検索やクラウドサービスの利用、などがあります。さらに最近では、地域医療連携システム、オンライン資格確認、オンライン診療、などで外部との接続が増えています。

このような環境変化によって、外部と接続しないでシステムを運用することは、運用がとても不便になり、非常にコストがかかる状況になっています。そのため前提から外れた例外的な運用が増えてしまい、セキュリティのリスクが増大しています。実際に、外部接続していない前提の医療機関のシステムに外部からの攻撃があり、電子カルテを停止せざるを得なかった事例がいくつも報告されています。すでに医療機関では、外部接続しないことは現実的に不可能になってると言ってもよいでしょう。最近では外部からの攻撃がさらに高度化しています。医療機関が今のままの状態では、外部からの攻撃による被害は今後も増加し、診療データが危険にさらされることが危惧されます。

２．Windows10の更新ポリシー

医療機関のシステムのクライアントのOSとして一番多く使われているのは、マイクロソフトのWindows10でしょう。Windows10は、毎月の小規模な更新と、半年ごとのバージョンアップを定期的に実施することで機能向上するとともに、セキュリティ対策を強化しています。ここで注意したいのは、発売元であるマイクロソフトがサポートするのは、バージョンアップの提供開始から1年半という短い期間だということです。1年半以上経過してサポート対象外となった旧バージョンのWindows10は、時間とともにセキュリティのリスクが増大していきます。

また、バックアップから復元は手順通りに実行できないことが多いものだと認識しておく必要があります。計画していた手順が失敗しても他の手段で対応できるように、バックアップの取得と復元の仕組みを理解しておきましょう。それには、システムやデータベースに加えて、バックアップソフトの機能を理解し、運用の経験値を蓄積することが重要です。

以前のWindowsXPやWindows7などは、自動的なバージョンアップはありませんでしたが、発売開始から10年近くのサポート期間がありました。このため医療機関ではシステム導入当時のWindowsを維持しても、次のシステム更新まで安全に利用できる状態でした。しかし、Windows10の各バージョンが1年半でサポートが終了してしまう現在では、長期間Windowsを更新しないことがセキュリティ対策の重大問題になっています。Windows10という名前は同じでも半年ごとに新しいOSになっている、と認識しておくべきでしょう。

３．OSの最新化はセキュリティ対策の基本

情報システムのセキュリティ対策は、それを利用する組織に合わせて、さまざまな対策を組み合わせて最適化する必要があります。対策としては、ルーターなどによる接続経路制限、ウイルス対策ソフト、ファイアウォール、UTM（統合脅威管理）、などをはじめ多種多様な方法があります。その中で、一番の基本はOS最新化だと思います。最近のWindowsは、ウイルス対策やファイアウォールの一部機能を内包し、セキュリティに十分に配慮して設計されています。最新のWindowsを適切に設定して利用していれば、かなり安全にシステムを利用できるものです。

ウイルス対策ソフトは、何等かの理由によりWindowsで防ぎきれなかった脅威に対応する補完的な手段であるといえます。ウイルス対策ソフトを更新していても、Windowsが最新化されていなければ、十分に安全なシステムとは言えないでしょう。

これまで医療機関では、導入時のOSを維持するために、外部接続を遮断する、ウイルス対策ソフトを最新化する、という対策をとっていました。しかし、現在のシステム環境では、外部接続の遮断は困難であり、ウイルス対策ソフトの最新化よりも、OS最新化が効果的になっているのです。

今回は、OS最新化のお話の前提として、システム環境の変化を確認しました。次回は、医療機関におけるOS最新化の阻害要因は何か、OS最新化のために医療機関はどのような対応をすべきか、を考えたいと思います。