セキュリティ・弱点
ホームページの管理画面に入れる人を見直すチェックリスト
職員が入れ替わったり、制作会社が代わったりするたびに、ホームページの管理画面に入れる人は少しずつ増えていきます。気づけば、辞めた職員や、もう付き合いのない会社の担当者のアカウントが残ったまま、ということもよく伺うお話です。管理画面は、ホームページの内容を書き換えられる大切な入口です。この記事では、入れる人を見直すときの手順と、権限の考え方、見直しの頻度の目安を、院長・事務長の方向けにまとめます。
なぜ「入れる人」の見直しが必要なのか
ホームページの管理画面は、文章や写真を直したり、お知らせを出したりするための場所です。その分、ここに入れる人は、ホームページの内容を自由に書き換えられる人でもあります。
管理画面のアカウントは、作るのは簡単でも、消すのを忘れやすいものです。入職時に「お知らせを直してもらうから」と作ったアカウントが、退職後もそのまま残る、といったことが起こります。使われていないアカウントは、誰も気にかけないため、パスワードが古いままになりがちです。
見直しが必要になる主な場面は、次のとおりです。
- 職員の入れ替わりがあった（退職・異動・産休など）
- 制作会社や保守会社が代わった
- 外部のライターや撮影担当に、一時的にアカウントを渡した
- 開業時に作った共用のアカウントが、今も使われている
- 誰がどのアカウントを使っているか、院内で把握できていない
これらに当てはまる場合は、一度、入れる人の一覧を確かめておくと安心です。パスワードの扱いはパスワード管理の考え方にもまとめています。
見直しの手順：4つのステップ
難しい作業ではありません。次の4つの手順で、半日もあれば一通り確かめられます。管理画面の操作が不安な場合は、保守会社や制作会社に一覧だけ出してもらう方法もあります。
- 利用者の一覧を出すWordPressであれば、管理画面の「ユーザー」の項目に、登録されている人の一覧が出ます。名前、ユーザー名、メールアドレス、権限の種類を紙かスプレッドシートに書き出します。
- 一人ずつ、今も必要か確かめる「この人は今も医院に関わっているか」「この人は今も更新作業をしているか」を確かめます。ユーザー名が略称で誰か分からない場合は、まず院内と、制作会社・保守会社に確認します。
- 不要なアカウントを整理し、権限を絞る使っていない人のアカウントは停止または削除します。残す人についても、必要以上に強い権限を持っていないかを見ます。
- 見直した結果を記録する見直した日、確認した人、整理した内容を残します。次回の見直しの時に、前回との違いが分かります。
ポイント
削除は元に戻せないことがあります。迷った場合は、まず停止する、パスワードを変える、権限を弱める、といった方法で様子を見てから、削除を判断すると安心です。
権限の考え方：全員が「管理者」でなくてよい
WordPressなどの管理画面には、「管理者」「編集者」「投稿者」など、権限の種類があります。名前は仕組みによって違いますが、考え方は共通です。その人がする作業に必要な範囲だけを渡す、ということです。
| 権限の例 | できることの目安 | 向いている人 |
|---|---|---|
| 管理者 | 設定の変更、機能の追加・更新、利用者の追加など全般 | 保守会社の担当者、院内でも責任者1名程度 |
| 編集者 | 記事やお知らせの作成・修正・公開 | お知らせを日常的に更新する職員 |
| 投稿者 | 自分の記事の作成・公開 | 院内の更新担当（限定的） |
| 寄稿者 | 記事の下書きのみ（公開は不可） | 外部のライターなど、確認を挟みたい人 |
お知らせを出すだけの職員に、機能の追加や設定の変更ができる管理者の権限は必要ありません。管理者の権限を持つ人が多いほど、操作ミスや、アカウントの乗っ取りが起きた時の影響が大きくなります。
どの作業を院内で行い、どの作業を任せるかは、自分で直す時の注意点で整理しています。分担を決めてから権限を決めると、迷いにくくなります。
見直しのチェックリスト
次の項目を、上から順に確かめてみてください。「いいえ」が付くものから、順に対応します。
- 管理画面に入れる人の一覧を、院内で持っている
- 一覧にいる全員の名前と役割が分かる
- 退職した職員のアカウントが残っていない
- 以前の制作会社や、関わりの終わった会社のアカウントが残っていない
- 一人ひとりが自分専用のアカウントを使っている（共用のアカウントを避けている）
- 管理者の権限を持つ人が、必要な人だけになっている
- 外部の人に渡した一時的なアカウントは、作業の終了後に止めている
- 二段階認証など、ログインを守る設定を使えている
- 見直した日を記録し、次回の予定を決めている
全部を一度に直そうとしなくても大丈夫です。まずは「退職した人のアカウントがないか」を確かめるだけでも、大きな一歩です。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
見直しで見つかりやすい例と、その対応
実際に見直してみると、次のようなアカウントが見つかることがよくあります。それぞれの対応の考え方を、表にまとめました。
| 見つかりやすい例 | 対応の考え方 |
|---|---|
| 退職した職員の名前のアカウント | 停止または削除する。メールアドレスも使えなくなっていないか確認する |
| 誰のものか分からない略称のアカウント | まず制作会社・保守会社に確認する。心当たりがなければ、停止して様子を見る |
| 開業時に作った共用のアカウント | 個人ごとのアカウントに切り替え、共用のものは停止する |
| 以前の制作会社のアカウント | 契約や作業が終わっていれば停止する。保守を続けている場合は残す |
| 作業が終わった外部の人の一時アカウント | 作業の完了を確認し、停止または削除する |
どれも、「いつか使うかもしれない」という理由で残すより、必要になった時に作り直す方が安全です。アカウントは、必要な時に作り、不要になったら止める、という流れを院内の約束にしておくと、見直しの手間も小さくなります。
見直しをする頻度と、院内での決め方
見直しの頻度は、半年から1年に一度が一つの目安です。それに加えて、職員の退職があった時、制作会社や保守会社が代わった時は、その都度、確かめます。
院内では、次の3つを決めておくと続けやすくなります。
- 担当者：事務長など、院内の誰が見直しを行うか
- 時期：開院記念日や年度の初めなど、覚えやすい時期
- 連絡の流れ：職員が辞める時に、アカウントの整理を依頼する手順（退職手続きの項目に入れておく）
特に、退職の手続きにアカウントの整理を組み込んでおくと、消し忘れを防げます。紙の手続き表に「ホームページの管理画面」の欄を1行足すだけでも十分です。
自院で見直すのが難しい、一覧の見方が分からない、といった場合は、専門家に一緒に確かめてもらうこともできます。HPドクターでは、今の制作会社との契約はそのままで、無料のセカンドオピニオンを受け付けています。お問い合わせはこちらからどうぞ。
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
アカウントを削除すると、その人が書いた記事も消えますか？
仕組みによって異なります。WordPressでは、利用者を削除する時に、その人の記事を別の人に引き継ぐかどうかを選べるのが一般的です。操作の前に控え（バックアップ）を取り、不安な場合は保守会社にご相談ください。
制作会社のアカウントは、消してよいのでしょうか？
保守や更新を任せている間は必要です。契約が終わった、もう関わりがない、という場合は、停止の対象になります。消す前に、今も作業を依頼していないかを、制作会社に確認してください。
管理者が院内に誰もいません。どうすればよいですか？
まず、管理者の権限を持つアカウントが誰のものかを、制作会社や保守会社に確認してください。院内に責任者の管理者アカウントを1つ持っておくと、いざという時に困りにくくなります。
パスワードを全員分変えたほうがよいですか？
退職者がいた場合や、共用のアカウントを使っていた場合は、変える意味があります。あわせて、一人ひとりが自分専用のアカウントを使う形にすると、あとで誰が操作したかも分かりやすくなります。
この記事は、クリニックのホームページの保守を担当する「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
