私物端末(BYOD)から診療システムを使うときの安全管理

私物端末(職員が個人で所有するパソコン、スマホ、タブレット。BYOD)から診療システムを使うことは、厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版が想定している使い方です。ただし、規程と台帳で管理し、院内の端末と同等の対策が取れるよう手順を作ることが条件です。管理されていない端末での利用は「許可してはならない」と書かれています。

ガイドラインのどこに書かれているか

規程と台帳のことは、企画管理編 9 章 ⑦ にあります。医療機関等が管理しない情報機器(例として BYOD が挙がっています)について、利用を許諾する条件・利用範囲・管理方法等を規程に含め、許可の状況も含めて台帳で管理することが求められます。これを受け持つのは企画管理者(安全管理の実務を担う担当者)です。

手順と設定のことは、システム運用編にあります。8 章 ⑧⑨ は、規程に基づいて手順と設定を行って企画管理者に報告すること、院内の機器と同等の対策が取れるよう手順を作ることを求めています。8.5 は、許可する場合に選択・採用する対策の例を挙げ、管理されていない端末での BYOD は許可してはならないとしています。導入時にコスト・利便性とリスクを評価することも、同じ節にあります。職員が外部から接続する場合の事前の許可、認証、ネットワーク、端末の条件は 7.2.1 です。こちらを受け持つのはシステム運用担当者です。

すべてのサーバーのセキュリティ更新の責任を事業者に委託している医療機関等は、保守委託機関編の 1 項目に同じ内容がまとまっています。

規程と台帳に書くこと

企画管理編 9 章 ⑦ は、規程に「利用を許諾する条件や、利用範囲、管理方法等に関する内容」を含めるよう求めています。「等」が付いているので、この 3 つで足りるという書き方ではありません。9.1 は台帳の項目として、機器がどこにあるか、利用者、使っているソフトやサービスのバージョン、契約プランの状況を挙げています。

実態と合わない許可が見つかったときの外し方も、あらかじめ決めておきます。

端末側で取れる対策

システム運用編 8.5 は、BYOD を許可する場合に「下記に掲げるような対策を選択・採用し、十分な安全性を確保する必要がある」としています。並んでいるのは例で、3 つあります。

1 つ目は、管理者以外による端末の OS 設定の変更を制御することです。持ち主が基本ソフト(OS)の設定を勝手に変えられないようにします。2 つ目は、他のアプリからの影響を遮断して医療情報の取り扱いを制限し、OS レベルで管理領域を分離することです。端末の中に仕事専用の区画を作り、私用のアプリと分ける形になります。3 つ目は、運用管理規程で OS の設定変更を禁じたうえで、安全性を確認できないアプリがないことを管理者が定期的に確認することです。

同じ節は、悪意のあるソフトなどから外部の不正アクセスが起きることも想定されるとして、「管理されていない端末での BYOD は許可してはならない」としています。何をもって「管理されていない端末」とするかは、原文に定義がありません。この 3 つをどこまで取れるかが目安になります。

7.2.1 は、職員が自宅や訪問先から接続する場合の端末について、考慮すべき点を 3 つ挙げています。端末の安全対策を確かめるには知識と技能が要り、一般の職員に求めるのは難しいこと。外部からのアクセスの状況を点検・監査する負担が大きいこと。医療機関の管理が及ばない私物のパソコンは、想定と違う環境で使われうることです。そのうえで、盗聴・なりすまし防止・アクセス管理を実現した VPN(外部から院内のネットワークに安全につなぐ仕組み)などで安全性を確保するよう求めています。仮想デスクトップ(端末には院内に置いた機器の画面だけを映す仕組み)を使うなどの運用条件の設定も挙げています。

アカウント側で決まること

私物端末では、端末の中を医療機関が管理しきれないため、アカウントの側で守る部分が増えます。7.2.1 は、外部からのアクセスの認証は 14.1 の求めに従うとしています。ID とパスワードの秘匿も、二要素認証の期限も、私物端末で変わりません(医療機関の二要素認証で求められることと、共有アカウントで起きること)。

私物端末で特に問われるのは、パスワードの残り方と、誰が使ったかの記録です。ブラウザーの保存機能やメモに残ったパスワードが、退職や機種変更のあとに消えたかどうかは、端末を医療機関が管理していない以上、確かめられません。ガイドラインはこの点を名指ししていませんが、7.2.1 が挙げる「管理が及ばない私物のパソコンは想定と違う環境で使われうる」という点に当たります。私物端末から使わせるアカウントを人ごとの ID にして、勤務の終了に合わせて止められる形にしておくのは、決め方の一例です。記録の側は、端末に残せないため、システム運用編 17 章が求めるアクセスの記録をシステム側で残す前提になります。共有の ID を私物端末から使うときの記録の扱いは医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるかにまとめています。

総務省テレワークセキュリティガイドラインとの対応

厚生労働省のガイドラインが挙げる対策は、総務省の「テレワークセキュリティガイドライン 第 5 版」の方式ごとの整理と重なります。7.2.1 の仮想デスクトップは総務省の仮想デスクトップ方式に、8.5 の管理領域の分離はセキュアコンテナ方式(端末内に業務専用の区画を作る方式)に当たると読めます。総務省のガイドラインは、私物端末の可否を方式ごとに決めるよう求めています。管理者には、可能な限り多要素認証を強制すること(管理者 H-2)と、アクセスや操作の記録を取ること(管理者 J-5)を挙げています。方式ごとの整理は総務省テレワークセキュリティガイドライン第 5 版と私物端末にあります。

選択肢

3 つは、システムや職種ごとに使い分けられます。企画管理編 9.1 は、具体的な条件を担当者と協議して規則に含めるよう求めています。8.5 が求めるコスト・利便性とリスクの評価も、この協議で行います。