ICT中級講座 F/U NO.32
メディカルICTリーダー養成講座【中級】フォローアップ
≪サーバー保守学≫
医療現場のサーバーやシステム保守運用業務に役立つ情報を定期的に配信しています。
サーバ保守学(31)
（執筆者）亀田医療情報株式会社 塚田智
みなさん、こんにちは、サーバー保守学第31回です。新型コロナウイルスは、新たな変異株であるオミクロン株が、急速に流行しています。重症者は少ないものの、感染者数は過去最高を更新しています。入院患者が増え、医療提供体制の逼迫が懸念されています。みなさんの医療施設でも、さまざまな対応が始まりつつあると思います。これからどれほどの事態になるか分かりませんが、これまでの経験を活かして、臨機応変に対応していきましょう。その際ITを活用することでシステム部門としても、コロナ対策に貢献しましょう。
さて、今回は、前回に引き続きリモート接続のリスクの話です。前回は、リモート接続の必要性とリスクを確認し、リスクの中からユーザーIDの管理について考えました。今回は、リモート接続した後の作業にどのようなリスクと対策があるか確認していきましょう。
リモート接続のリスクと対策を確認しよう（２）
１．不正アクセスの方法
リスクを確認する前に、VPN接続を利用した不正アクセスの事例を確認しておきます。
日本で広く利用されているVPN装置としてFortiGateがあります。そのメーカーであるFORTINET社は、3年ほど前から、VPN装置を制御するFortiOSに脆弱性があることを公表しています。関連情報をJPCERTがまとめたもの(注1)によると、脆弱性を利用してFortiGateからVPNの接続情報が不正取得され、インターネット上に公開されている、ということです。他の報道によると、公開された87,000件の接続情報のうち1,000件ほどは、日本のものが含まれているとのことです。
これに対してFORTINET社では、推奨する対策をまとめています(注2)。要約すると、以下のようになります。
- 改善策を実施するまでVPNを無効にする。
- 最新のリリースにアップグレードする。
- パスワードをリセットする。（パスワードリセットの理由をユーザーに通知する。）
- 多要素認証を導入する。
メーカーなどから情報提供はあったものの、自施設に脆弱性対象装置が導入されていることを知らず、対策できていない施設もあるものと思います。みなさんの施設でも、FortiGateを使っていないか、脆弱性対象装置ではないか、対策は完了しているか、もう一度確認してみてください。
２．接続先と権限を管理する
リモート接続のためのユーザーIDを管理した上で、そのユーザーがどの機器に接続できるか（接続先）、その機器でどんな操作ができるか（権限）、を設定しておく必要があります。接続先は、VPN装置を含めたネットワーク装置で設定できます。接続した機器を操作するための権限は、機器ごとのユーザーIDに割り当てます。このユーザーIDは接続用のユーザーIDとは別のものです。VPN接続してしまえば、施設内のネットワークを経由して、どのサーバーにでも接続できる、それらのサーバーの管理者IDが共通にして業者に通知している、という事例を見かけます。これは、とても危険な状態ですので設定を見直しましょう。
接続先は、必要最低限のサーバーに限定し、その業者に無関係なサーバーに接続させてはなりません。また、クライアントPCへの接続は許可しないことを原則にするべきと考えます。PCまで接続すると、管理する機器が増え、変更も多くなり、接続先の管理が難しくなるためです。
権限も、必要最低限に限定すべきです。できるだけ広範囲な保守作業を業者に依頼するために、多くの権限を与えたくなります。しかし、セキュリティを確保するためには、作業内容を明示して、業者に付与する権限を限定するべきです。保守契約による作業内容の妥当性を確認するためにも、契約と照らし合わせながら、どの作業のために、どの権限を付与しているか、再確認してみてはどうでしょうか。
３．作業内容とデータ取得を管理する
リモート作業の事前に、いつ、誰が、何をするか、を確認または指示し、作業後は、それらを記録しなくてはなりません。システム管理者と業者で連絡を取り、記録を共有することが必要ですが、連絡を忘れたり、記録が不正確になることもあります。指示は、メールや文書などで行い、記録は、できるだけ自動的に記録できる仕組みにしておきましょう。
作業の直前に、システム管理者が接続許可の操作をしないと、接続できない装置もありますので、効果的に利用しましょう。また、月に1回程度は、業者から接続履歴を提出してもらい、施設側の記録と突合して正確性を確認しておきましょう。VPNやサーバーへの接続のログは、システム管理者が取得し、内容を理解できるようにしておきましょう。システムのセキュリティは利用する側で管理するのが基本です。運用の一部を外部業者に任せても良いですが、最終的にはシステム管理者が全体像を理解し、責任をとれるようにしておきましょう。
作業によっては、施設のデータを業者が持ち出すことがあります。いつ、どのデータを、どこへ持ち出し、どのように管理されているか、把握しておきましょう。業者が、施設のサーバーからデータを直接取得することが多いと思いますが、これは危険な手順だと思います。一旦はデータを施設内のサーバーに保管し、システム管理者から業者に送付する仕組みを検討しましょう。
前回から2回に分けて、リモート接続のリスクと対策を考えました。ちょうど厚生労働省から、令和4年1月21日事務連絡「病院における医療情報システムのバックアップデータ 及 びリモートゲートウェイ装置に係る調査について（依頼）」の文書が出されています。全国の病院にVPN接続の状況を確認するアンケート調査です。この機会にVPN装置や運用の状況を確認し、VPN接続を安全で効率的に使えるように改善していきましょう。
［脚注］
