セキュリティ・弱点
院内のパソコンとホームページの管理を分けて考える：クリニックの安全な持ち方
「空いているパソコンで、ホームページを更新してもらった」「ブラウザにパスワードが覚えさせてある」。院内の端末とホームページの管理が混ざっているというお話は、よく伺います。診療や事務で使うパソコンと、ホームページを管理する入口が混ざると、誰が入れるのか分からなくなり、退職や買い替えの時に情報が残りやすくなります。この記事では、難しい設定を使わずに、両者を切り分けて考えるための手順を、院長・事務長の方向けにまとめます。
なぜ、院内のパソコンとホームページの管理を分けて考えるのか
クリニックでは、受付のパソコン、診察室のパソコン、事務長の席のパソコンなど、院内に何台もの端末があります。その中の一台で、ホームページの管理画面に入っていることも珍しくありません。「とりあえず空いているパソコンで更新した」「ブラウザにパスワードを覚えさせてある」というお話は、よく伺います。
これ自体がすぐに問題になるわけではありません。ただ、診療や事務で使う端末と、ホームページの管理に使う端末が混ざっていると、次のような困りごとが起きやすくなります。
- 誰がどの端末でホームページに入れるのかが、院内で分からなくなる
- スタッフが退職しても、その人が使っていた端末にパスワードが残る
- 共有のパソコンに管理画面のパスワードが保存され、他の人も入れてしまう
- 一台のパソコンに不具合が起きた時、ホームページの管理にも影響が及ぶ
そこで、院内のパソコンの管理と、ホームページの管理をいったん切り分けて考えることをおすすめします。難しい設定の話ではなく、「誰が、どの端末から、どこまでできるか」を決める、という整理の話です。
まず、院内のどこにホームページの入口があるかを洗い出す
分けて考える前に、現状を知る必要があります。ホームページの管理につながる入口は、意外といくつもあります。次の表で、院内に当てはまるものを確かめてみてください。
| 入口 | よくある状態 | 確かめたいこと |
|---|---|---|
| 管理画面（WordPressなど） | 更新を担当する人のパソコンから入る | 入れる人と端末の一覧があるか |
| サーバーの管理画面 | 契約時の担当者のメールで登録している | ログインの連絡先が今も使えるか |
| ドメインの管理画面 | 制作会社名義のままのことがある | 名義と連絡先を院内で把握しているか |
| ホームページ用のメール | 受付のパソコンに設定してある | 退職者の設定が残っていないか |
| パスワードのメモ | 付箋・共有ファイル・ブラウザの保存 | 保管場所が一か所に決まっているか |
洗い出しの結果、「分からない」が出てきたら、それが最初に整えるところです。パスワードの持ち方については、ホームページのパスワード管理：院内で誰が持っておくべきかも参考になります。
院内パソコンと管理を分ける、4つの考え方
次の図は、考え方を4つにまとめたものです。順番に、院内の状況へ当てはめていきます。
- 院内の端末には、管理用の情報を置かない受付や診察室など、多くの人が触れるパソコンには、ホームページの管理画面のパスワードを保存しない運用にします。ブラウザの「パスワードを保存しますか？」にも、共有端末では「保存しない」を選びます。
- 管理画面に入る端末を決める更新を担当する人が使う端末を、1〜2台に決めます。台数が少ないほど、見直しや退職時の対応が楽になります。
- 人ごとにIDを分ける一つのIDを数人で使い回すと、誰が何をしたかが分からなくなります。入る人ごとにIDを作り、権限も必要な範囲にとどめます。詳しくはホームページの管理画面に入れる人を見直すチェックリストをご覧ください。
- 記録を残し、年に数回見直す入れる人・端末・パスワードの保管場所を一枚の表にして、年に数回、院内で読み返します。人の入れ替わりがあった時にも見直します。
ポイント
「分ける」といっても、新しい機器を買う必要はありません。今ある端末のうち、どれを管理用にするかを決めることが最初の一歩です。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
端末とパスワードを守るための、日々の習慣
分け方を決めたら、次は日々の使い方です。専門的な対策よりも、院内で続けやすい習慣のほうが効果を発揮します。
- パソコンを離れる時は画面をロックする（受付・診察室とも）
- OSやブラウザの更新通知を放置せず、決めた担当者が定期的に更新する
- メールの添付ファイルや不審なリンクを開かない（スタッフ全員に共有する）
- 管理画面には二段階認証を設定する。詳しくは二段階認証とは？ホームページの管理画面を守るいちばん手軽な方法を参照
- 管理用の端末で、ホームページと関係のないソフトを増やさない
院内のパソコン全体の安全は、厚生労働省が公表している医療機関向けのサイバーセキュリティの考え方も参考になります。ホームページとの関わりは、医療機関のサイバーセキュリティ対策とホームページ：院長が押さえたい基本でまとめています。
なお、院内のシステム全体（電子カルテなど）の対策は、それぞれの事業者や専門家にご確認ください。この記事はホームページの管理に関する部分に絞っています。
人が替わる時に、いちばん事故が起きやすい
管理の分け方が崩れやすいのは、スタッフの入れ替わりの時です。退職した人が使っていた端末に管理画面の情報が残っていたり、IDが共有のまま引き継がれたりします。
| 場面 | やっておきたいこと |
|---|---|
| スタッフが退職する | その人のIDを停止し、共有のパスワードがあれば変更する |
| 端末を買い替える・処分する | 保存されたパスワードを消し、管理画面からログアウトする |
| 新しく担当になる人が決まった | 新しいIDを発行し、管理用の端末に加える |
| 制作会社や保守会社が替わる | 相手方のID・権限を整理し、引き継ぎ内容を記録する |
退職時の具体的な手順は、スタッフが退職した時に、ホームページ側でやっておくことにまとめています。あらかじめ手順を決めておくと、慌てずに済みます。
院内だけで迷う時は、外の目を入れる
「どの端末から入れるのか分からない」「パスワードがどこにあるか分からない」という状態が見つかった場合、無理に院内だけで解決しようとしなくて大丈夫です。制作会社や保守会社に、管理画面の入り口と権限の一覧を出してもらうのが近道です。
HPドクターでは、無料の自動診断で、ホームページの外から見える範囲の状態を確かめられます。また、管理の持ち方や権限の整理についての相談は、専門家による無料のセカンドオピニオンで承っています。今の制作会社との契約はそのままで構いません。
- 入れる人・端末・保管場所の表を、一緒に作る
- 退職者のIDや不要な権限が残っていないか確かめる
- 院内で続けやすい見直しの頻度を決める
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
管理用に専用のパソコンを買う必要がありますか？
必須ではありません。今ある端末のうち、管理に使うものを1〜2台に決め、他の端末にはパスワードを保存しない運用から始めれば十分です。
ブラウザのパスワード保存は使ってはいけませんか？
院長や担当者だけが使う端末であれば便利ですが、受付など共有の端末では保存しない運用をおすすめします。迷う場合は、保守会社にご相談ください。
スタッフが少ないので、IDを共有してもよいですか？
少人数でも、人ごとにIDを分けるほうが安心です。誰が作業したかが分かり、退職時にその人の分だけ止められるためです。
院内のパソコン全体のセキュリティは、この記事で足りますか？
この記事はホームページの管理に関する部分に絞っています。電子カルテなど院内システム全体の対策は、それぞれの事業者や専門家にご確認ください。
分け方の見直しは、どのくらいの頻度でするとよいですか？
年に数回に加え、スタッフの入れ替えや、制作会社・保守会社が替わった時に見直すのがおすすめです。
この記事は、クリニックのホームページの保守を担当する「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
