お知らせ・お役立ち情報

公認会計士　川中 敏史

大手監査法人を経て2022年から御堂筋監査法人にて勤務。主に医療法人の内部統制指導、監査業務に従事。
保有資格：公認会計士/医療経営士

---

　医療機関に限らず、ランサムウェアなどのサイバー攻撃が続いています。「うちには関係ない」「高度なハッキング技術なんて防ぎようがない」と思われがちですが、高度なセキュリティシステムの脆弱性だけではなく、退職した職員の「放置ID（休眠アカウント）」もサイバー攻撃者から狙われやすいポイントの一つです。
　今回は、監査の現場視点から、医療機関で起こりがちな「退職者ID管理」の落とし穴と、明日からできる対策をお伝えします。

１．退職者ＩＤの管理とは

　退職者IDの管理とは、職員が退職（または休職・異動）した際に、電子カルテ、グループウェア、財務システムなどへのアクセス権限を「速やかに」かつ「確実に」無効化することです。
　ID管理は情報セキュリティ対策の基本中の基本であり、退職者のIDが有効なまま維持されていることは、退職した職員がいつでもシステムに出入りすることが可能な状態を放置していることになります。

２．退職者IDが放置される原因と解決策

　退職者の有効IDが放置される原因として現場でよく聞く主なものは以下の通りです。

◇　非常勤医師は次にいつ来るか分からない！

【対策案】

・　「有効期限」をシステム側で初期設定する

・　最終ログインから6ヶ月経過で自動ロック

・　定期的にログイン履歴をチェックし、6ヶ月以上ログインが無い場合は手動で無効化

◇　人事部からシステム担当へ退職者の情報共有が漏れる！

【対策案】

・　月次での「退職者リスト（人事）」とシステムの「有効IDリスト」の突合

◇　電子カルテの仕様上、IDを削除すると過去の診療記録の署名者名が消えてしまう！（※）

【対策案】

・　IDの「削除」ではなく、ログインのみを不可能にする「無効化」処理

※診療記録の署名者名は消えない

厚生労働省が定める「医療情報システムの安全管理に関するガイドライン第５版」では、電子カルテの真正性・見読性・保存性の確保が厳格に求められています。
そのため、現在稼働している標準的な電子カルテシステムでは、過去の署名を消さないために、そもそもユーザーIDを「削除」できない仕様になっており、代わりに、退職フラグを立てる、あるいはログイン権限を外す「無効化・非有効化」を行うボタンが用意されています。

３．外部ハッカーによるサイバー攻撃のリスク

　休眠アカウントは、持ち主がすでにいないため「パスワードが定期変更されない」「不審なログインがあっても本人が気づけない」という特徴があり、ハッカーにとって最も狙いやすい格好の侵入口（バックドア）となります。　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　　

①　医師のIDが乗っ取られた場合（システム停止の危機）

医師のIDは電子カルテや各種システムに対して広範な権限を有しています。このIDを外部から奪取されると、病院ネットワークの中枢に深く入り込まれ、ランサムウェア（身代金要求型ウイルス）の感染や、電子カルテの暗号化による「病院機能の完全停止」という最悪の事態に直結します。

②　看護師のIDが乗っ取られた場合（被害拡大の踏み台）

看護師のIDは、権限こそ医師より限定的ですが、人数が多く異動も激しいため「放置」が最も発生しやすい層です。ハッカーは権限の低いIDであっても、まずはそこから院内ネットワークに侵入し、時間をかけてシステム内を巡回して権限の昇格（より強いIDの奪取）を狙う「足場」として悪用します。

４．退職者および現役職員による不正アクセスのリスク

　　「いつでもシステムに入れる状態」が放置されていると、本来は真面目な職員であっても、ふとしたきっかけで魔が差してしまう（内部不正のトライアングルが完成する）危険性もあります。

①　退職者本人による放置IDの悪用（転職先への「お土産」と覗き見）

有休消化期間中や退職後にアクセス権が残っていると、医師や研究者が次の職場で使うために、「患者の症例データ」や「研究資料」を持ち出すリスクが高まります。また、個人的な興味から「有名人のカルテ」や「元同僚の給与情報」を覗き見するといった、重大なプライバシー侵害も引き起こします。

②　現役職員による「退職者ID」の悪用（なりすましと責任転嫁）

元同僚のパスワードが漏れていた場合、現役職員が放置された退職者IDでシステムへログインして不正操作を行うリスクがあります。
カルテの改ざんや横領などを行っても、システム上のログ（証跡）には退職者の名前が残るため、犯人の特定が極めて困難になります。

※「共用ID」に重要な権限を付与した場合も同様に不正操作の追跡が困難となります。

５．退職者による不正アクセス方法

　「退職時に貸与のパソコンやスマホを回収しているから大丈夫」と思っていませんか？
アクセス権（ID）自体を削除（又は無効化）しない限り、院内システムに入られる可能性は残り続けます。

①　自宅の私物パソコンからの「VPNアクセス」

働き方改革で導入が進んだVPNですが、退職時に「VPN接続用ID」を消し忘れた結果、退職後も自宅の私物パソコンから、まるで院内にいるかのようにシステムにアクセスし放題となります。

②　待合室や駐車場での「職員用Wi-Fiへの自動接続」

個人のスマホに職員用Wi-Fiを設定している場合、退職者が後日「患者」として来院した際、駐車場や待合室に入った途端に個人のスマホが自動で院内ネットワークに繋がります。
IDが有効であれば、個人のスマホからWeb版電子カルテなどを簡単に覗き見できてしまいます。

③　個人のスマホで鳴り続ける「クラウドサービスの通知」

業務連絡用に個人のスマホに仕事用アプリ（メールやチャット等）を入れることを許可している場合、IDを無効化しない限りアプリはログイン状態を維持します。
退職者のスマホに、院内の機密情報や患者に関するやり取りがポップアップ通知され続けるという重大なインシデントに直結します。

④　職員フロアへの不正侵入

職員と顔なじみであることを利用し、「忘れ物を取りに来た」「〇〇さんと面談」等のもっともらしい理由をつけて職員フロアへ侵入し、隙をみて専用端末から電子カルテシステムへアクセスされてしまいます。

６．「今すぐできる」セルフチェックリスト

　人事・システム部門等の皆様で共有していただきたいチェックリストです。1つでも「いいえ」があれば、早急な見直しや代替となるセキュリティ対策の検討をお勧めします。

以上