近年、医療情報システムにおけるセキュリティ対策の重要性がこれまで以上に高まっています。サイバー攻撃の巧妙化、クラウドサービスの一般化にともなって医療情報の情報漏えいリスクが顕在化しているからです。そのため2021年1月29日に「医療情報システムの安全管理に関するガイドライン 第5.1版」が策定されました。
今回は最新のガイドラインの情報を分析しながらセキュリティシステム「二要素認証」について解説します。簡単に高度なシステムを導入したい人に参考となる情報です。最後には、医療情報のセキュリティに関する海外トレンドを紹介するのでご覧ください。
海外の最新コールセンターシステムやデジタル・コミュニケーションツールを、15年間にわたり日本市場へローカライズしてきた株式会社コミュニケーション・ビジネス・アヴェニューが解説します。
弊社はプライバシーマーク認定事業者、ISMS（情報セキュリティマネジメントシステム）取得企業です。
医療情報システムのセキュリティを最新にすべきなのはなぜ？
病院や医療情報にかかわる事業者は何らかのセキュリティシステムをすでに運用していることでしょう。しかしセキュリティシステムを最新の技術へ更新していくことは重要です。なぜなら医療情報の扱いに関するガイドラインが更新されているからです。
たとえば従来は厚生労働省・経済産業省・総務省の3省がそれぞれガイドラインを発行していました。3省3ガイドラインと呼ばれるものです。
しかし2020年8月に、3ガイドラインが2つにスリム化されました。
医療機関向けの厚生労働省の「医療情報システムの安全管理に関するガイドライン」と、ベンダー向けの経済産業省・総務省が発行する「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」です。さらに2021年1月29日には、厚生労働省のガイドラインが最新のバージョンへ更新されました。現在は3省2ガイドラインになっています。
今回の変更の目的は、医療機関やベンダーの利便性の向上だけでなく、最新の情報漏えいリスク対策が含まれています。最新のガイドラインを遵守するなら、現在のリスクに対するセキュリティを高められるのです。
「医療情報システムの安全管理に関するガイドライン 第5.1版」への対応
この記事では直近に更新された「医療情報システムの安全管理に関するガイドライン 第5.1版」を取り上げます。最新の指示に従ってどのようなセキュリティ対策ができるでしょうか。
下図に示される4つのポイントごとに解説します。
1.クラウドサービスへの対応
電子カルテをクラウドで管理する場合、医療機関とクラウドサービス事業者は責任関係をよく確認しなければなりません。クラウドシステムのベンダーの過失で情報漏えいがあった際、患者への説明責任があるのは医療機関です。そのため医療機関は障害時や情報流出時の責任関係を、ベンダーとあらかじめ話し合っておく必要があります。
▶参考情報：「4.3. 例示による責任分界点の考え方の整理」
2.認証・パスワードの対応
2027年度（令和9年度）時点で稼働している医療情報システムは、二要素認証の導入かそれに相当する対応をしていなければなりません。
従来のIDとパスワードだけの認証ではガイドラインを遵守できなくなります。
今回のガイドラインでは、二要素認証の重要性を強調しています。なぜならID・パスワード認証には以下のリスクがあるからです。
・ID とパスワードが書かれた紙等が貼られていて、第三者が簡単に知ることができてしまう。
「医療情報システムの安全管理に関するガイドライン 第5.1版 P51ページ
・ パスワードが設定されておらず、誰でもシステムにログインできてしまう。
・ 初期設定のパスワードが変更されておらず、利用者以外の者でもシステムにログインできてしまう。
・ 代行作業等のために ID・パスワードを他人に教えており、システムで保存される作業履歴から作業者が特定できない。
・ 一つの ID を複数の利用者が使用している。
・ 容易に推測できる、あるいは、文字数の少ないパスワードが設定されており、容易にパスワードが推測できてしまう。
・ 安全性が高くないパスワードを定期的に変更せずに使用しているために、パスワードが推測される可能性が高くなっている。
・ 認証用の個人識別情報を格納するセキュリティ・デバイス（IC カード、USB キー等）を他人に貸与する、又は持ち主に無断で借用することにより、利用者が特定できない。
・ 退職した職員の ID が有効になったままで、ログインができてしまう。
・ 医療情報部等で、印刷放置されている帳票等から、パスワードが盗まれる。
・ コンピュータウイルスにより、ID やパスワードが盗まれ、悪用される。
上記のリスクを防ぐためには二要素認証が必要です。二要素認証を勧める理由についてガイドラインは次のように説明しています。
認証に用いる手段としては、ID・パスワードの組み合わせのような利用者の「記憶」によるもの、指紋や静脈、虹彩のような利用者の生体的特徴を利用した「生体情報」（バイオメトリクス）によるもの、IC カードのような「物理媒体」（セキュリティ・デバイス）によるものが一般的である。
「医療情報システムの安全管理に関するガイドライン 第5.1版」P52ページ
認証におけるセキュリティ強度を考えた場合、これらのいずれの手段であっても、単独で用いた場合に十分な認証強度を保つことは一般には困難である。
そこで、IC カード等のセキュリティ・デバイス＋パスワードやバイオメトリクス＋IC カード、ID・パスワード＋バイオメトリクスのように、認証の 3 要素である「記憶」、「生体情報」、「物理媒体」のうち、2 つの独立した要素を組み合わせて認証を行う方式（二要素認証）を採用することが望ましい。
二要素認証は医療情報の管理だけでなく、放射線管理区域や薬局の調剤室など、指定された人以外は入室できない場所の入室管理にも使用できます。
▶参考情報：「6.5 技術的安全対策」
3.サイバー攻撃等による対応
コンピュータウイルスへの感染を含むサイバー攻撃を受けたり、その疑いがあったりするときには、所管官庁への連絡が必要です。迅速な対応ができるように情報セキュリティ責任者（CISO）の設置や、緊急対応体制（CSIRT）の整備をしなければなりません。
▶参考情報：「6.6 人的安全対策」「6.10 災害、サイバー攻撃等の非常時の対応」
4.外部保存受託事業社の選定基準対応
医療機関が提携するベンダーについての対応も考えてみましょう。まずクラウド保存するサーバー設置場所は、国内法の適用対象でなければなりません。さらにベンダーは、プライバシーマークやISMS認定を取得することが推奨されています。
「保存を受託した事業者全体としてのより一層の自助努力を患者・国民に示す手段として、それぞれ個人情報保護及び情報セキュリティマネジメントの認定制度である、プライバシーマークや ISMS 認定等の第三者による認定を取得している事業者を選定すること。」
「医療情報システムの安全管理に関するガイドライン 第5.1版」P121ページ
医療情報を管理したり、セキュリティシステムを提供したりする事業者がISMS認定を取得しているか確認しましょう。
▶参考情報：「8.1.2. 外部保存を受託する事業者の選定基準及び情報の取扱いに関する基準」
二要素認証とは
「医療情報システムの安全管理に関するガイドライン 第5.1版」が強調している二要素認証とは何でしょうか。
二要素認証について知るには、本人確認に必要な「認証の3要素」について知っておかなければなりません。
認証の3要素とは以下の3点のことです。
- 知識要素：本人だけが知る要素。パスワード、暗証番号、秘密の質問
- 所有要素：本人だけが所有する要素。クレジットカードや身分証明証、ワンタイムトークン
- 生体要素：本人の顔、指紋、声紋
上記の3つのうち、異なる2つの要素を組み合わせたものが「二要素認証」です。
二要素認証と二段階認証はよく間違われます。
「医療情報システムの安全管理に関するガイドライン 第5.1版」では、2つの違いについて次のように説明しています。
「認証に際して、二段階で認証を行う二段階認証と呼ばれる方法があるが、この場合には利用される認証要素が同一となることもあるため、実質的にリスク低下につながらないこともある。そのため、二段階認証を選択するだけでは二要素認証の要求を満たさないと考えるべきである。」
「医療情報システムの安全管理に関するガイドライン 第5.1版」P53ページ
「すでに二段階認証を採用しているから大丈夫」と考えるのではなく、さらにセキュリティ強度が高い二要素認証を採用するようにしましょう。
医療情報システムのセキュリティに二要素認証を導入するメリット
「医療情報システムの安全管理に関するガイドライン 第5.1版」は、二要素認証を推しています。現時点でサイバー攻撃に対処したり、クラウドサービスの普及を推し進めたりするのに二要素認証が最適だからです。
しかし「二要素認証は使っているところが少ないから導入後のメリットがよくわからない」と思われるかもしれません。二要素認証を導入することで、どのようなメリットがあるでしょうか。
職員や患者の確実な本人確認
二要素認証を使うことで、患者情報を扱うシステムへのログインを安全に行なえます。従来のID・パスワード認証には漏えいリスクがあります。職員のIDカードには盗難や第3者への貸し借りのリスクがあります。しかし生体認証を組み合わせる二要素認証にはこれらのリスクがありません。
安全なパスワード認証
「秘密の質問」などのパスワード認証は安全ではありません。ある調査では「知識ベースの認証」を90％以上の企業が今でも使用しているとのことです。興味深いのは本人でさえ30％の確率で「秘密の質問」の返答に失敗することがあります。しかしハッカーは60％の確率で他人の「秘密の質問」に答えられてしまうのです。
SNSやWEB上で他人の個人情報を調べやすくなっている時代に、「知識ベースの認証」はもはや安全ではありません。誰も奪うことができない生体認証を組み合わせる二要素認証こそ安全なのです。
病院の業務効率化
「医療情報システムの安全管理に関するガイドライン 第5.1版」では、二要素認証を使った場合にシングルサインオンの導入を認めています。
シングルサインオンとは、複数のアプリケーションを一度の認証だけでログインできるようにする仕組みです。病院の業務では、いくつものアプリケーションを使います。毎回異なったアプリケーションにログインするのは大変です。しかし最初にログインを済ませるだけで、違うアプリケーションも使えるとなれば業務は効率化されます。
最新のガイドラインでは、最初の認証が二要素認証であれば、セキュアなログインと見なされてシングルサインオンを使用することができます。
二要素認証ツールの選び方
二要素認証ツールやシステムを選ぶ際、選定で失敗しないためにどうしたらよいでしょうか。選ぶ製品が以下の4つの特徴を備えているかチェックしてください。
認証精度とスピードの速さ
認証精度が悪ければ本来の目的を果たせませんし、精度が高くてもスピードが遅ければ業務に支障が出ます。最新の二要素認証ツールは、99.998％の3D顔生体認証ができ、2秒で本人確認を終えられます。
製品選びで失敗しないポイント→生体認証の国際規格であるISO 30107-3のなりすまし防止レベル1～5のすべてに合格しているかチェックしよう
SAML2.0に対応しているか
SAML2.0とは、シングルサインオンを実現するために使われる標準規格です。二要素認証ツールがSAML2.0対応のサービスに導入できるかどうかを確認してください。
クラウド・オンプレで使用できるか
顔認証の個人情報を自社で管理するために、オンプレでもクラウドでも利用できるツールかチェックしましょう。
将来性があるツールか
二要素認証のためにひとつのセキュリティ技術だけを使っている製品は、将来出てくる新たな認証技術へ切り替えることが難しくなります。そのため「ゼロトラスト」や「ゼロ知識」など、複数の技術を使ったプラットフォームを選んでください。プラットフォーム型のツールであれば、将来性や拡張性を確保できます。
医療情報システムのセキュリティを最新にしないとどうなる？
「今からセキュリティ対策を始めるべきか」「新たなセキュリティ技術を採用するためにコストを掛けるべきか」と感じるかもしれません。結論から言うと、コストを掛けてでも今から対策を始めるべきです。
医療情報侵害インシデントは、海外でも国内でも増加傾向にあります。
たとえば2022年2月に米国保健福祉省（HHS）の公民権室（OCR）は、医療情報侵害インシデントについての報告をまとめました。報告によると2020年のインシデントは2019年と比較して61％増加したとのことです。サイバー攻撃を受ける対象は、ネットワークサーバーや電子メールが多くなっています。
国内でも多くの医療情報侵害インシデントが報告されています。以下はその一部です。
- 2018年－奈良県の宇陀市立病院でランサムウェア被害
- 2019年－多摩北部医療センタ―で不正アクセス
- 2021年－新潟県立精神医療センターで不正アクセス
- 2022年に日本歯科大付属病院でマルウェア感染、名古屋大学附属病院で不正ログイン
患者のプライバシー、地域のおける病院の機能を守るためにもセキュリティ対策をしっかり行っていきましょう。
▶参考：「拡大する米国の医療情報漏えいインシデント、医療機器企業はどう対応すべきか」
「医療分野のサイバーセキュリティ対策について」
補足：医療情報システムのセキュリティにおける海外トレンド
医療情報システムのセキュリティで一歩先を行く海外では、何がトレンドになっているのでしょうか。
現在の最新認証技術は、顧客データを非公開にしながら、暗号化された3Dフェイスマッピング、ドキュメントスキャン、KBA（Knowledge-Based Authentication/知識ベース認証）を行えます。
この認証技術を使えば、患者は自分が望むチャネルから簡単な操作で安全に医療費の支払いを行えます。
患者のデータを安全に開示できるため、病院側はよりパーソナライズされたフォローができます。たとえば40歳以上の女性で1年以上マンモグラフィーを受けていない患者や、高齢者で毎年インフルエンザの予防接種を受けていない患者などに積極的に働きかけられます。
最後に
医療情報システムのセキュリティを高める最新技術は二要素認証です。とくに生体認証を含めた二要素認証は安全精度が高くなります。「医療情報システムの安全管理に関するガイドライン 第5.1版」でも二要素認証の導入が勧められています。
セキュリティ対策へ費用をかけることに消極的な意見もあるかもしれません。しかしサイバー攻撃はますます巧妙化しています。医療情報侵害インシデントも国内で増加傾向にあります。何よりも地域の要である医療現場の機能、安定性、信頼性を守ることができます。
弊社はプライバシーマークとISMSの認証を取得しています。海外で実績のある最新の二要素認証ツールJourneyを使って医療現場のセキュリティ対策をサポートします。
医療情報のセキュリティを高めることで、現場の機能と地域の健康を守っていきましょう。
