「認証メカニズムのメリットとデメリットの検討は入念に」

　「指紋生体認証」ではIDカードとパスワードが不要になるなどのメリットがある一方で、医療機関ならではのデメリットがある。例を挙げると、医療従事者の多くは手袋をしているため、指紋認証は動きの速い医療環境では十分に機能しない。そのため、Harrisの顧客は、ビルの入館証のような、かざすだけの非接触型のパッシブ型RFIDとパスワード認証との組み合わせを選ぶケースが多いようだ。この方式では、多くの病院で既に導入されているITインフラを活用してソフトウェアのユーザー認証を強化できる。

「多くのスタッフとチームを結成して対応」

　医師や看護師の意見を聞いてニーズや好みを把握するだけでなく、コンプライアンス担当者などにも意見を求める。そうすれば、予算を使い果たした上に修正費用がかさんで予算オーバーするような事態になる前に、潜在的な問題を洗い出すことができる。潜在的な問題とは、例えば「スタッフにRFIDが受け入れられない」「患者の記録にアクセスするためのHIPAAの追跡記録の不備」などが挙げられる。

「アクセスのためのエンドポイントを把握」

　医師や看護師が患者の記録や診療アプリケーションにアクセスするために使用しているエンドポイントが「ノートPC」や「iPad」「ワークステーション」「キオスク端末」、これらの組み合わせか、あるいはその接続形態（トポロジー）が分かれば、業者の選定とSSOの導入方法の指針になる。同時にそうした使用事例を全てカバーできる。

「忙しい部門でのパイロット導入が最適」

　緊急治療部門は、SSOシステムの導入実験を行う場として最適だ。もしこのパイロットプロジェクトをうまく運用し、多忙なシフト業務の中でログインなどのアクセス関連のストレスを軽減できれば、病院内の他の部門でも通用するのは間違いない。

「デスクトップ環境の標準化を推進せよ」

　ウォーターズ氏によれば「デスクトップPC、特にデスクトップ仮想環境があまりに多岐にわたると、どのベンダーを選んでもSSO導入は失敗する」という。

「有力なSSOベンダーとアプリケーション開発元との関係を調べる」

　SSOを担当するベンダーが、医療機関のネットワーク上で使用されている各種アプリケーションの開発元と連携しているベンダーであれば、そうでないベンダーに比べてSSOの導入が成功する確率は高いはずだ。また、例えばEHRアプリケーションがSSOソフトウェアと密接に統合されるほど、SSO導入のコストと複雑さは抑えられる。

「組織内部の他のシステムにSSOが及ぼす影響を考慮すべし」

　「SSOは、ポリシーとソフトウェアのID管理を担う大きなプログラムコンポーネントである」とロホカレ氏は指摘する。ほとんどのSSOシステムは、米Oracle傘下のPeopleSoftのID管理システムに代表される人事情報管理アプリケーションと相互運用が可能だ。SSO導入に当たりID管理ベンダーの変更を予定している場合は、そうしたポリシーを常に念頭に置くことが重要だ。ウォーターズ氏によると、デスクトップ仮想化システムをHL7の新しいCCOW（※）標準と組み合わせれば、看護師や医師が何度もアプリケーションを切り替えなければならない負担は実質的に軽減される。

注：CCOW（Clinical Context Object Workgroup）。患者など利用者の情報をアプリケーション間で一元管理する仕組み。HL7が標準化を進めている。

　仮想化とCCOW対応アプリケーションをSSOと連携させれば、アプリケーションを全て開いてパスワードを記憶しておかなければならない現状に比べて、医療従事者の効率は高まる。例えば、同じ名前の患者を混同することもなくなるだろう。SSOシステムではアプリケーションの読み込み時間も高速化され、場合によっては一般的なEHRの読み込み時間が4分の1になる。

　「興味深いことに、米Cernerや米EpicなどのEHRベンダーの多くは、自らCCOW対応を実現して同標準をサポートしている。医療機関がCCOWを有効にすれば、認証プロセスが高速化され、アプリケーションの読み込みも速くなる。EHRベンダーはセキュリティベンダーではない。認証が得意分野でないことは、実際にログインしてどれくらい時間がかかるかを見ればある程度分かる。セキュリティは彼らの中核事業ではないのだ。しかし幸いなことに、CCOW機能を有効にすればロード時間は短くなり、EHRによっては読み込み時間が4分の1に短縮されるものもある」（ウォーターズ氏）