「クローズドだから安全」は通用しない
聖マリアンナ会東横恵愛病院の事例に見る「最初に選ぶ情報セキュリティ製品」の考え方（2/3 ページ）
併せて読みたいお勧め記事
医療機関のサイバー攻撃の現状
データ暗号化を出発点に情報セキュリティ対策を拡大
熊谷氏は、自施設に最適な情報セキュリティ対策を検討する過程で、一般の医療機関に必要とされる分野と製品を表1のように整理した。それらの中で、情報漏えい対策として着目したのが「データ暗号化」製品である。この技術を利用すれば、たとえファイルが外部に持ち出されたとしても、IDやパスワードなどの認証なしに中身を読み取ることは極めて困難だ。東横恵愛病院は精神科単科の病院であるため、現時点で電子カルテを導入しておらず、画像診断機器の利用も限定的であり、暗号化の対象にするデータの量と範囲はそれほど多くない。しかし、レセコンのデータを中心に、医療機関として扱う情報の機微性は高い。医療等ID制度が始まると、情報の機微性はますます高まる。「情報漏えいの外部犯行、内部犯行の両方への対策として、暗号化製品の導入は必須」と熊谷氏は考えた。
| 分野 | 情報セキュリティ対策 |
|---|---|
| ネットワークセキュリティ | ・ファイアウォール導入 ・侵入対策 ・アプリケーション層のフィルタリング（次世代ファイアウォールなど） |
| エンドポイントセキュリティ | ・暗号化 ・ウイルスチェック ・アクセスログ管理・収集 ・アクセス制御 |
| サーバセキュリティ | ・暗号化 ・ウイルスチェック ・アクセスログ管理・収集 |
| アプリケーションセキュリティ | ・メール誤送信対策やフィルタリングなど ・ウイルスチェック ・ファイル転送に対するセキュリティ対策（例：ファイル転送の利用制限） ・Webコンテンツに対するセキュリティ対策（例；業務上ふさわしくないWebコンテンツの閲覧ブロック） |
| 認証セキュリティ | ・ID管理 ・生体認証 |
| 物理セキュリティ | ・認証施錠 ・紙媒体管理 |
出典：熊谷真二氏資料（アズム資料を基に熊谷氏が作成）
熊谷氏はデータ暗号化のための製品選定に着手。現場業務への影響をできる限り無くすことを最優先に掲げ、最終的に選んだのが、暗号化の鍵やポリシーを集中管理する暗号鍵管理製品「Vormetric Data Security Manager」（開発： Vormetric、販売：アズム）と、サーバやクライアントにインストールするデータ暗号化製品「Vormetric Transparent Encryption」（同）だった。
熊谷氏は、Vormetricの暗号化製品群が特定のアプリケーションに依存せずに適用できる点を重視した。また、データの暗号化、復号をユーザーに意識させることなく利用できるユーザビリティを備えており、現場で抵抗なく利用可能だと判断したという。東横恵愛病院は以下の通り、医事会計システム（レセコン）やオーダリングシステム、各部門システムといった基幹システム、そしてグループウェアや情報共有システムなど、さまざまなベンダーのアプリケーションを使っている。
- 基幹系システム
- 医事会計システム（レセコン）、オーダリングシステム、部門システムなど
- 情報系システム
- グループウェア、ファイルサーバの情報共有システム（主に医療スタッフ間での情報共有に使用）、電子メール
当初、熊谷氏は基幹系システムをカスタマイズしてセキュリティ性能を強化することも視野に入れていた。しかし基幹系システムのカスタマイズは、要件定義を正しく検証する知識がないと、メーカーの意向に影響されてしまい、結果的にユーザー側の自由度が低くなってしまったり、費用が割高になってしまうケースもある。また、個別システムのカスタマイズではカバーできない領域に、セキュリティホールが生まれる可能性も否めない。
限られた予算の中では、製品導入の優先順位を付けざるを得ない。重要インフラである医療機関は、診療情報をはじめとする重要な個人情報を多く保有しているからこそ「サーバサイドの暗号化を実施し、攻撃者にとってデータを無価値化することが再優先」だと熊谷氏は考えた。
東横恵愛病院はまずサーバセキュリティの強化に着手し、その後はネットワークセキュリティ、エンドポイントセキュリティへ対応を広げていき、リスクの極小化に向けた取り組みを並行して進めることを計画している。その点、Vormetric製品は暗号化以外にもアクセスログ管理やアクセス権限管理、データベース保護といったセキュリティ機能を幅広く備えており、段階的に対策を高度化していくことが可能なことも同院にとって魅力だった。
そうした一連の取り組みがもたらした成果の1つが、院内で持ち歩けるノートPCを用意したことである。これまで同院で使用していたノートPCは、盗難防止のためにチェーンロックで固定し、定位置での利用を義務付けていたが、「会議やカンファレンスの場面でノートPCを使いたい」というスタッフからの要望は以前からあった。暗号化エージェントソフトであるVormetric Transparent Encryptionをインストールして、データの暗号化とアクセス制御を施したノートPCであれば、万が一紛失事故が発生しても情報漏えいのリスクは抑えられる。こうして、院内移動可能なノートPCを用意したことで、業務データや人事データなどが院内どこでも閲覧できるようになり、現場スタッフの業務効率向上に貢献している。
Copyright © ITmedia, Inc. All Rights Reserved.
この記事の著者
関連記事
新着ホワイトペーパー PR
-
製品資料
[株式会社MatrixFlow] 「物流リソース最適化」ガイド：人員・配車・傭車を出庫依頼の確定前に決めきる -
製品資料
[株式会社キーエンス] なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは -
製品資料
[株式会社セールスフォース・ジャパン] 「CRMは設計と無関係」は本当か？ PLMとの融合で実現する高速開発 -
事例
[日本ヒューレット・パッカード合同会社] AIエージェントの時代にどう備える？ 「新たな働き手」を支える3要素とは -
製品資料
[日本ヒューレット・パッカード合同会社] “横並びの自動化”から脱却、AI活用で生産性と競争力を高める秘訣
こんなメディアも見られています
TechTargetジャパンに関連する情報をお探しであれば、こちらのメディアもお役に立てるかもしれません。
ベンダーコンテンツ PR
From Informa TechTarget
SpecialPR
アクセスランキング
-
1
ChatGPTは“検索しまくり”でGeminiは“淡泊”？ データが明かすAIの裏側
-
2
法務と開発者で「言葉が通じない」問題 トヨタやソニーが語るOSS管理の真実
-
3
なぜ「全社配布Copilot」は使われないのか？ 失敗に学ぶAI定着
-
4
損保ジャパンはなぜ「COBOL」を捨てなかったのか？ 脱メインフレームの真相
-
5
「何も変更していないのにWebサイトがクラッシュ」 そのときの原因は？
-
6
「何から始めればいい？」 情報漏えい対策で悲鳴を上げる中小企業のリアル
-
7
情シスの約8割が転職や退職を意識 調査で分かった“辞めたくなる最大の理由”
-
8
【漫画付き】ひとり情シス協会が明かす、RAG導入でしくじる企業「2つの共通点」
-
9
個人の業務効率化で終わる企業の盲点 AIで成果を出す「上位6％」の手法
-
10
1200万円のSaaS導入を回避 スギ薬局「運用費10万円」のAIエージェント構築術
ホワイトペーパーランキング PR
-
1
不審メールの経路や見せ方に変化？ 2026年夏の3事例から見えた動向と対処方法
-
2
家庭用Wi-Fiルーターの業務利用は危険？ 避けるべき理由と具体的な対策
-
3
Microsoft 365を安全に運用 うっかりミスやサイバー攻撃に備えるデータ保護術
-
4
プログラミング不要で誰でも実現できる、ネットワーク運用管理の自動化とは
-
5
財務部門がAIを最大限に活用する方法 無駄のない戦略的リーダーシップへの道
-
6
LLMが兵器化？ 元FBI高官が鳴らす警鐘とセキュリティツール統合のポイント
-
7
なぜRPA導入は頓挫する？ シナリオ作成の壁を乗り越える解決策とは
-
8
HDDを使わない「SSDオンリー」が無謀なのはなぜ？
-
9
「オンプレミス回帰」せざるを得ない“合理的な理由”
-
10
“あのファイル転送”で暗躍するノーウェアランサム
TechTargetジャパン SNS
@techtarget_itmをフォロー
インフォメーション
注目情報をチェック
TechTargetジャパンをフォロー