セキュリティ・弱点
管理画面にログインできる端末を決める時の考え方
ホームページの管理画面に、いま誰がどの端末から入っているか、ご存じでしょうか。受付のパソコン、院長の自宅のパソコン、事務長の私物のスマホ。気づけば入口がいくつにも増えている、というお話はよく伺います。管理画面は、ホームページの内容をすべて書き換えられる場所です。だからこそ、入ってよい端末を先に決めておくと、トラブルの芽を小さくできます。この記事では、専門の知識がなくても決められるよう、端末を選ぶ時の考え方と、決めたことの残し方を順にご説明します。
なぜ「端末」を決めておくのか
ホームページの管理画面は、お知らせの更新から診療時間の変更まで、ホームページに関わるほぼすべてを操作できる場所です。パスワードを知っている人なら、どの端末からでも入れるのが普通の状態です。便利な反面、「どこから入られているか分からない」状態になりやすいという面があります。
たとえば、院長が自宅の共用パソコンでパスワードを保存したまま使っている場合や、退職したスタッフの私物のスマホにログイン状態が残っている場合を想像してみてください。パスワード自体が漏れていなくても、端末が手元を離れたことで、管理画面への入口が残ったままになります。
そこで、「入ってよい端末」を院内で決めておきます。端末を決めるというのは、難しい設定をするという意味ではありません。まずは「どの端末から入ってよいか」を言葉にして、院内の取り決めにするところから始められます。
端末を決めるのは「疑う」ためではありません
スタッフを疑うための取り決めではなく、うっかりを防ぐための取り決めです。担当が替わっても迷わないよう、仕組みとして残しておく、という考え方です。
端末の種類ごとの考え方
端末は大きく、院内の業務用パソコン、院内の共用パソコン、私物のパソコン・スマホ、院外（自宅や外出先）の端末に分けて考えると整理しやすくなります。それぞれの考え方の例を表にまとめました。あくまで一般的な目安ですので、院の実情に合わせて調整してください。
| 端末の種類 | 考え方の例 | 気をつけたい点 |
|---|---|---|
| 院内の業務用パソコン | 入ってよい端末の中心にする | 画面を開いたまま席を離れない |
| 院内の共用パソコン | 原則として使わない、使うなら入りっぱなしにしない | パスワードの保存や、ログイン状態の残りに注意 |
| 私物のパソコン・スマホ | 使う場合は理由と担当者を決める | 退職・端末の買い替えの時の扱いを決めておく |
| 自宅・外出先の端末 | 必要な人だけに限り、使い方の約束を作る | 公共の無線につながない、画面を人に見られない |
共用のパソコンは、誰が最後に使ったか分からなくなりがちです。ブラウザ（ホームページを見るためのソフト）にパスワードを保存する機能は便利ですが、共用の端末では、次に使う人にそのまま使われてしまいます。共用端末では保存しない、という約束だけでも効果があります。
パスワードの持ち方そのものについては、ホームページのパスワード管理、院内で誰が持っておくべき？でご紹介しています。端末の取り決めと合わせてお読みください。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
私物のスマホ・自宅からの操作をどう考えるか
診療の合間に、スマホから休診のお知らせを出したい。そんな時、私物のスマホから管理画面に入れると、確かに便利です。一方で、私物の端末は院の管理の外にあり、紛失や買い替え、家族との共用といった、院側では見えない事情が入り込みます。
そのため、私物の端末を使うかどうかは、次の三点で考えてみてください。
- その操作は、院内の業務用パソコンではできないのか（スマホでなければならない理由があるか）
- 端末に画面ロックがかかっていて、紛失した時の連絡先が決まっているか
- 退職や担当替えの時に、その端末からの入口を閉じる手順が決まっているか
三つとも「はい」と言える場合に限って、私物の端末を認める、という線引きもあります。難しいと感じる場合は、院内の業務用パソコンだけにしておくほうが、管理は楽になります。
自宅からの操作も同じ考え方です。自宅のパソコンを家族と共用している場合は、その点を取り決めに入れておきましょう。公共の場所の無線につないだままで管理画面を開くことは、避けたほうが安心です。院内の無線との関係は、院内の無線ネットワークとホームページ管理の関係で整理しています。
「入口を閉じる」手順も一緒に決めておきます
端末を認めるときは、認めなくなる時（退職、端末の買い替え、紛失）の手順もセットで決めておきます。ログイン状態を解除する、パスワードを変える、といった作業を誰が行うかを書いておくと迷いません。
端末の取り決めを作って、残す手順
取り決めは、立派な規程でなくて構いません。A4一枚のメモでも、担当が替わった時に役立ちます。次の順番で進めると、無理なく整理できます。
- いまの入口を書き出す管理画面に入っている人と、その端末を一覧にします。分からない部分は、制作会社や保守の担当に確認します。
- 入ってよい端末を決める業務用パソコンを中心に、私物や自宅の端末を認めるかどうかを決めます。
- 使い方の約束を足す画面を開いたまま離れない、パスワードを保存しない、公共の無線では開かない、といった約束を一行ずつ書きます。
- 入れなくする手順を決める退職・紛失・買い替えの時に、誰が何をするかを決めます。
- 年に一度、見直す一覧を見直し、使っていない端末や人が残っていないか確認します。
一覧には、パスワードそのものは書かないようにしてください。端末の名前、使う人、認めた日、見直した日、といった情報だけで十分です。
管理画面に入れる人の見直しは、管理画面に入れる人を見直すチェックリストも参考になります。
また、端末の取り決めに加えて、ログインそのものを強くする方法として、二段階認証があります。端末が変わってもパスワードだけでは入れない状態にでき、取り決めと組み合わせると安心です。
分からない時は、ひとりで抱え込まない
「うちの管理画面は、そもそも誰が入っているのか分からない」という場合も、珍しくありません。その場合は、取り決めを作る前に、まず現状を確認するところから始めるのが近道です。ご自院のホームページの状態が気になる方は、無料の自動診断で現状を確かめてみてください。
現状の確認は、制作会社や保守の担当に「入っているアカウントの一覧」を見せてもらうところから始められます。専門の言葉が出てきて分かりにくい時は、HPドクターの無料の自動診断（/check）で、ホームページの状態を確かめることもできます。ご契約中の制作会社との関係は、そのままで構いません。
取り決めの作り方に迷う場合は、専門家による無料セカンドオピニオンもご用意しています。院の規模や運用に合わせた線引きを、一緒に整理するところからお手伝いします。
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
管理画面に入る端末を、すべて院内のパソコンだけにするべきですか？
そうしなければならないわけではありません。ただ、院内の業務用パソコンだけにすると管理が簡単になります。私物や自宅の端末を認める場合は、理由と担当者を決め、入れなくする手順も用意しておくと安心です。
スタッフの私物のスマホから更新を頼んでもよいですか？
院の取り決めの範囲で判断することになります。画面ロックの有無や、退職時にログイン状態を解除する手順が決まっているかを確認し、難しければ院内の業務用パソコンから行う形が無理のない方法です。
端末の一覧には、パスワードも書いておくべきですか？
書かないでください。一覧には端末の名前、使う人、認めた日、見直した日などだけを残します。パスワードは別の方法で、決めた人だけが管理するのが一般的な考え方です。
制作会社に管理画面の入り方を聞いても失礼になりませんか？
失礼にはあたりません。ホームページは医院の大切な情報発信の場ですので、誰がどこから入れるのかを把握しておくのは、管理者として自然なことです。丁寧に「整理したいので教えてください」と伝えるとよいでしょう。
取り決めは、どのくらいの頻度で見直せばよいですか？
目安は年に一度です。スタッフの入れ替わりや端末の買い替えがあった時にも、その都度見直すと、入口の増えすぎを防げます。
この記事は、クリニックのホームページの保守を担当する「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
