データ暗号化を出発点に情報セキュリティ対策を拡大

　熊谷氏は、自施設に最適な情報セキュリティ対策を検討する過程で、一般の医療機関に必要とされる分野と製品を表1のように整理した。それらの中で、情報漏えい対策として着目したのが「データ暗号化」製品である。この技術を利用すれば、たとえファイルが外部に持ち出されたとしても、IDやパスワードなどの認証なしに中身を読み取ることは極めて困難だ。東横恵愛病院は精神科単科の病院であるため、現時点で電子カルテを導入しておらず、画像診断機器の利用も限定的であり、暗号化の対象にするデータの量と範囲はそれほど多くない。しかし、レセコンのデータを中心に、医療機関として扱う情報の機微性は高い。医療等ID制度が始まると、情報の機微性はますます高まる。「情報漏えいの外部犯行、内部犯行の両方への対策として、暗号化製品の導入は必須」と熊谷氏は考えた。

出典：熊谷真二氏資料（アズム資料を基に熊谷氏が作成）

　熊谷氏はデータ暗号化のための製品選定に着手。現場業務への影響をできる限り無くすことを最優先に掲げ、最終的に選んだのが、暗号化の鍵やポリシーを集中管理する暗号鍵管理製品「Vormetric Data Security Manager」（開発： Vormetric、販売：アズム）と、サーバやクライアントにインストールするデータ暗号化製品「Vormetric Transparent Encryption」（同）だった。

　熊谷氏は、Vormetricの暗号化製品群が特定のアプリケーションに依存せずに適用できる点を重視した。また、データの暗号化、復号をユーザーに意識させることなく利用できるユーザビリティを備えており、現場で抵抗なく利用可能だと判断したという。東横恵愛病院は以下の通り、医事会計システム（レセコン）やオーダリングシステム、各部門システムといった基幹システム、そしてグループウェアや情報共有システムなど、さまざまなベンダーのアプリケーションを使っている。

• 基幹系システム
  • 医事会計システム（レセコン）、オーダリングシステム、部門システムなど
• 情報系システム
  • グループウェア、ファイルサーバの情報共有システム（主に医療スタッフ間での情報共有に使用）、電子メール

　当初、熊谷氏は基幹系システムをカスタマイズしてセキュリティ性能を強化することも視野に入れていた。しかし基幹系システムのカスタマイズは、要件定義を正しく検証する知識がないと、メーカーの意向に影響されてしまい、結果的にユーザー側の自由度が低くなってしまったり、費用が割高になってしまうケースもある。また、個別システムのカスタマイズではカバーできない領域に、セキュリティホールが生まれる可能性も否めない。

　限られた予算の中では、製品導入の優先順位を付けざるを得ない。重要インフラである医療機関は、診療情報をはじめとする重要な個人情報を多く保有しているからこそ「サーバサイドの暗号化を実施し、攻撃者にとってデータを無価値化することが再優先」だと熊谷氏は考えた。

　東横恵愛病院はまずサーバセキュリティの強化に着手し、その後はネットワークセキュリティ、エンドポイントセキュリティへ対応を広げていき、リスクの極小化に向けた取り組みを並行して進めることを計画している。その点、Vormetric製品は暗号化以外にもアクセスログ管理やアクセス権限管理、データベース保護といったセキュリティ機能を幅広く備えており、段階的に対策を高度化していくことが可能なことも同院にとって魅力だった。

　そうした一連の取り組みがもたらした成果の1つが、院内で持ち歩けるノートPCを用意したことである。これまで同院で使用していたノートPCは、盗難防止のためにチェーンロックで固定し、定位置での利用を義務付けていたが、「会議やカンファレンスの場面でノートPCを使いたい」というスタッフからの要望は以前からあった。暗号化エージェントソフトであるVormetric Transparent Encryptionをインストールして、データの暗号化とアクセス制御を施したノートPCであれば、万が一紛失事故が発生しても情報漏えいのリスクは抑えられる。こうして、院内移動可能なノートPCを用意したことで、業務データや人事データなどが院内どこでも閲覧できるようになり、現場スタッフの業務効率向上に貢献している。