セキュリティ・弱点
スタッフが退職した時に、ホームページ側でやっておくこと
長く医院を支えてくれたスタッフが退職することになりました。引き継ぎも終わり、ほっとしたところで、ふと気になります。あの人は、ホームページの管理画面にログインできたはずだ、と。退職のたびに、ホームページ側の権限まで見直している医院は、意外と多くありません。この記事では、スタッフが退職した時に、ホームページまわりで確認しておきたい場所と、整理の順番を、院長・事務長の方向けにまとめます。
退職した人の権限が残っていると、何が心配か
退職した人が悪いことをする、と決めつけているわけではありません。心配なのは、誰が入れる状態なのかを、医院が把握できていないことです。権限が残っていると、次のような困りごとにつながります。
- 退職後も、個人のメールやスマホにログインの通知や確認コードが届き続ける
- 古いパスワードが、退職者の手元や別のサービスにそのまま残る
- 誰かの誤操作で、お知らせや診療時間が書き換わっても、誰がやったか分からない
- 問い合わせや予約のメールが、退職者のアドレスに届いたまま気づかれない
ホームページの管理は、一人の担当者に任せきりになりやすい分野です。そのため、退職＝権限の棚卸しの機会と考えておくと、無理なく見直せます。普段からの見直し方は、管理画面に入れる人の見直しでも紹介しています。
確認する場所は「5つ」ある
ホームページの権限は、1か所にまとまっているとは限りません。退職した人が関わっていた可能性のある場所を、次の5つに分けて確認します。
| 場所 | 確認すること |
|---|---|
| ホームページの管理画面 | 退職者のアカウントが残っていないか。共用のパスワードを使っていないか |
| サーバーの契約 | 契約者名義や連絡先メールが、退職者個人になっていないか |
| ドメインの契約 | 名義と連絡先が医院のものか。更新の通知が誰に届くか |
| 医院のメール・問い合わせの届き先 | フォームの通知先や転送設定に、退職者のアドレスが入っていないか |
| 制作会社・外部サービスの窓口 | 連絡窓口として、退職者の名前や連絡先が登録されていないか |
名義や連絡先の考え方は、ドメインの名義の確認方法も参考になります。
退職が決まってから、整理が終わるまでの進め方
整理は、退職の前から始めるとスムーズです。退職の日を過ぎてからだと、本人に確認が取りづらくなります。次の順番で進めてみてください。
- 担当していた範囲を書き出す退職する人が、ホームページについて何を担当していたかを聞き取り、ログインしていた場所の一覧を作ります。
- 引き継ぎ先を決める後任の担当者を決め、管理画面の使い方や、制作会社への連絡方法を伝えてもらいます。
- アカウントを医院の管理下に移す個人名義のログインや連絡先メールを、医院が管理するものに切り替えます。パスワードの変更も、このタイミングで行います。
- 退職者のアカウントを無効にする引き継ぎが済んだら、退職者のアカウントを削除するか、使えない状態にします。制作会社に依頼が必要な場合もあります。
- 記録を残すいつ、誰の権限を、どう変えたかを1行ずつ残します。更新の記録の残し方は更新履歴の残し方にまとめています。
ポイント
アカウントを先に消してしまうと、引き継ぎで困ることがあります。「引き継ぎを受ける → 医院の管理下に移す → 退職者の権限を外す」の順番を守ると、混乱が起きにくくなります。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
パスワードを共用している場合の注意点
小さな医院では、管理画面のパスワードを、数人で1つ共用していることがよくあります。この場合、退職者のアカウントだけを消しても、共用のパスワードを知っている人が残るため、見直しが必要です。
- 共用のパスワードは、退職者が知っていたなら変更する
- できれば、1人ごとに別のアカウントを作り、共用をやめる
- 新しいパスワードは、推測されにくい長いものにし、管理の担当者が責任を持って保管する
- 二段階認証（ログイン時に確認コードを求める仕組み）が使える場合は、設定を検討する
パスワードの持ち方は、パスワード管理は誰が持つべきかで、二段階認証は二段階認証とはで詳しく説明しています。なお、管理画面の作りによっては、アカウントを増やすために制作会社への依頼が必要なことがあります。
退職が重なる医院で、仕組みとして備えておくこと
退職のたびに慌てて確認するのではなく、普段から誰がどこに入れるのかが分かる状態にしておくと、見直しの負担が小さくなります。次のような備えが役に立ちます。
- ログインできる人の名簿を1枚作り、「どのサービスに、誰が入れるか」を書いておく
- 新しく担当を任せる時に、名簿へ追記し、外れる時に消すことを決まりにする
- 連絡先メールは、個人のアドレスではなく、医院で管理する共用のアドレスにしておく
- 年に1回、名簿と実際のアカウントを見比べる日を決める
名簿には、パスワードそのものは書かないでください。誰が入れるかを管理するための表であり、パスワードの保管は別の方法にします。小さな医院でも、この1枚があるだけで、退職や担当替えの時に確認の範囲がすぐ分かります。権限の整理に関わる法律上の判断が必要な場合は、専門家にご確認ください。
退職時のチェックリストと、迷った時の相談先
最後に、退職のたびに使えるチェックリストをまとめます。印刷して、退職の手続きの書類と一緒に保管しておくと便利です。
- 退職者がログインしていた場所の一覧を作ったか
- 後任の担当者を決め、引き継ぎを終えたか
- 管理画面・サーバー・ドメインの連絡先が、医院の管理するものか
- 共用のパスワードを変更したか
- フォームの通知先や転送設定から、退職者のアドレスを外したか
- 制作会社など外部の窓口の連絡先を更新したか
- 退職者のアカウントを削除、または無効にしたか
- 変更した内容を記録に残したか
どこに権限が残っているか自分たちでは分からない、制作会社に頼んでも把握しきれていない、といった場合は、専門家に確認してもらうこともできます。HPドクターでは、今の制作会社との契約はそのままで、無料のセカンドオピニオンを受け付けています。お問い合わせはこちらからどうぞ。
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
退職者のアカウントは、すぐに削除したほうがよいですか？
引き継ぎが終わり、後任の担当者が代わりに作業できる状態になってから削除するのが安全です。ただし、退職日を過ぎたまま長く残さないようにしてください。
退職者個人のメールアドレスで契約している場合は、どうすればよいですか？
サーバーやドメインの契約の連絡先は、医院が管理するアドレスに変更するのが望ましいです。手続きは契約先ごとに異なるため、制作会社や契約先にご確認ください。
アルバイトや派遣のスタッフにも、同じことが必要ですか？
ホームページの管理画面などに触れていた場合は、同じ考え方で整理します。触れていなかった場合は、特別な手続きは不要です。
誰がどこにログインできるのか、そもそも分かりません。
まず、管理画面のユーザー一覧を見て、知らない名前がないかを確かめます。契約先ごとの確認は、制作会社に一覧を出してもらうと整理しやすくなります。
この記事は、クリニックのホームページの保守を担当する「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
