セキュリティ・弱点
ホームページの管理画面のログイン通知を、院内で受け取る考え方
ホームページの管理画面に、誰かがログインしたことを、メールなどで知らせてくれる仕組みがあります。通知が届けば、心当たりのないアクセスに早く気づけるかもしれません。ただ、通知は届くだけでは役に立たず、誰が受け取り、どう動くかを決めておいて、はじめて意味を持ちます。この記事では、通知で分かること・分からないこと、受け取る人の決め方、届いた時の対応の流れ、担当者が替わった時の見直しまでを、ITに詳しくない方にも分かるようにご説明します。
管理画面の「ログイン通知」とは何か
ホームページの管理画面に誰かがログインした時、その事実をメールなどで知らせてくれる仕組みを、ここでは「ログイン通知」と呼びます。「新しい端末から入りました」「ログインに何度も失敗しました」といった知らせが届くことで、心当たりのないアクセスに気づくきっかけになります。
管理画面は、ホームページの内容をすべて書き換えられる場所です。パスワードがほかの人に知られてしまった場合でも、通知が届けば、早く気づいて対応できる可能性があります。そのため、ログインの通知を院内で受け取る体制を考えておくことは、安全面の備えの一つになります。
ただし、通知の仕組みの有無や設定の方法は、ご利用のサーバーや、WordPressなどの管理の仕組み、保守会社の契約内容によって異なります。ここでは設定の方法ではなく、「院内でどう受け取り、どう動くか」という考え方に絞ってご説明します。
通知は「見張る」ためではなく「気づく」ための仕組みです
通知はスタッフを疑うためのものではありません。予想外のログインがあった時に、早く気づいて対応するためのものです。院内で説明しておくと、受け止め方が穏やかになります。
通知で分かること・分からないこと
通知の種類にはいくつかあります。何が分かり、何が分からないのかを知っておくと、届いた時に落ち着いて受け止められます。
| 通知の種類 | 分かること | 分からないこと |
|---|---|---|
| ログイン成功の通知 | いつ、どの端末や場所から入ったか（おおまかに） | 本人かどうか。誰が操作したか |
| ログイン失敗の通知 | 何度か失敗した記録があること | 攻撃なのか、単なる入力ミスなのか |
| 新しい端末からの通知 | これまでと違う端末や場所からの入室 | その端末の持ち主が誰か |
| パスワード変更の通知 | パスワードが変わったこと | 変えたのが本人かどうか |
どの通知も、それだけで「不正なアクセスだ」と断定できるものではありません。たとえば、院長が出張先から管理画面に入った時にも、新しい場所からの通知は届きます。大切なのは、通知を受けて「心当たりがあるか」を確認する習慣です。
あなたのクリニックのホームページは大丈夫？
アドレスを入れるだけで、ニュースになった弱点に当てはまりそうか・鍵マークは大丈夫かなどを約10秒で自動診断します。
受け取る人と、届いた時の動き方を決めておく
通知は、届くだけでは役に立ちません。誰が受け取り、どう動くかを決めておいて、はじめて意味を持ちます。次の点を、院内で話し合ってみてください。
通知の設定そのものは、専門の知識が必要になる場合があります。院内でお考えいただきたいのは、「通知が来たら誰がどう動くか」という運用の部分です。仕組みが入っていても、宛先が退職した人のままだったり、迷惑メールの振り分けに入っていたりすると、肝心な時に気づけません。通知用のメールが、受信箱に届いているかを、年に一度でも実際に確かめておくことをお勧めします。
もう一つ、通知は「届かないこと」にも意味があります。通常であれば毎週のように届く通知が、突然まったく届かなくなった場合は、設定が変わったか、仕組みが止まっている可能性があります。いつもの頻度を、なんとなく把握しておくと、異変に気づきやすくなります。
- 受け取る人：主担当と代理の二人以上に届くようにする。一人だけだと、休暇や退職の時に誰も気づかなくなります
- 受け取る場所：個人のメールではなく、医院で管理しているメールアドレスにする
- 確認する時間：通知は毎日見るのか、週に一度まとめて見るのかを決める
- 心当たりの確認先：ログインした人が誰かを、スタッフ全員に聞いて回るのではなく、管理画面に入る人の一覧と照らし合わせる
管理画面に入れる人の一覧は、管理画面に入れる人を見直すチェックリストで作り方をご紹介しています。端末を決めておく考え方は、管理画面にログインできる端末を決める時の考え方にまとめています。この二つがあると、通知が届いた時に「これは心当たりのある端末だ」と判断しやすくなります。
通知が届いた時の対応の流れ
通知が届いた時に、焦らず動けるよう、流れを先に決めておきます。「心当たりがある場合」と「ない場合」に分けて考えると整理しやすくなります。
- 通知の内容を確認するいつ、どの端末や場所から、どんな種類の通知かを読みます。画面を保存しておくと、あとで説明しやすくなります。
- 心当たりがあるか確かめる管理画面に入る予定の人に、その時間に入ったかを確認します。確認は、個人を責めない聞き方で行います。
- 心当たりがある場合は、記録して終了「◯月◯日、◯◯が出張先から入った」のように、更新履歴に一行残します。
- 心当たりがない場合は、保守会社などに連絡するパスワードを変更し、制作会社や保守の担当に状況を伝えます。二段階認証を入れていない場合は、導入を相談します。
- ホームページに変化がないか確認する表示がおかしくないか、見覚えのないページや文字がないかを確かめます。気になる兆候は、改ざんされた時のサインをご覧ください。
心当たりがない場合も、慌てて一人で対応しないでください
パスワードの変更や、状況の確認は、専門の担当者と一緒に進めるのが安全です。連絡先は、パスワード管理の記事でご紹介した一覧にまとめておくと、すぐに連絡できます。
通知を続けて活かすための見直しと、相談先
通知の仕組みは、設定して終わりではなく、続けて見直すことで効果を保てます。特に、担当者が替わった時に、宛先が古いまま残っていないかを確認してください。
- 退職・異動・休職があった時は、通知の宛先を入れ替える
- 年に一度、通知が実際に届くかを試す
- 不審な通知が届いた時の対応を、更新履歴に残す
- 通知が多すぎて見なくなっていないか、内容を見直す
スタッフが退職した時にホームページ側でやることと合わせて、年間の点検に組み込むと、見落としを防げます。
「うちの管理画面に通知の仕組みがあるのか分からない」という場合は、まず現状を確かめるところから始めましょう。HPドクターの無料の自動診断で、ホームページの安全面の状態を確かめられます。
通知の設定の相談や、今の保守の内容を見直したい場合は、専門家による無料のセカンドオピニオンをご利用いただけます。今の制作会社との契約は、そのままで構いません。お申込みはこちらからどうぞ。
ホームページにも、セカンドオピニオンを
今の制作会社との契約はそのままで、専門家が無料で詳しく確認し、「誰が何を直せばよいか」を制作会社にそのまま渡せる形でお送りします。
無料でセカンドオピニオンを受けるよくあるご質問
ログイン通知は、すべてのホームページで使えますか？
使えるかどうかは、サーバーや管理の仕組み、保守会社の契約内容によって異なります。制作会社や保守の担当に、通知の仕組みがあるかを確認してください。
通知が届いたら、すぐに不正アクセスと考えるべきですか？
そうとは限りません。出張先や新しい端末からの正規のログインでも通知は届きます。まず心当たりがあるかを確認し、ない場合に保守会社へ連絡してください。
通知は、院長一人が受け取れば十分ですか？
二人以上に届くようにするのが安心です。院長が不在の時や、退職・異動があった時に、誰も気づかなくなるのを防げます。
通知が多すぎて、見なくなってしまいそうです。
見なくなると意味がなくなります。通知の種類を絞る、週に一度まとめて確認する、といった運用を、制作会社と相談してください。
二段階認証を入れていれば、通知は不要ですか？
二段階認証は入口を強くする仕組み、通知は「入った事実に気づく」仕組みで、役割が違います。両方そろっているほうが、より安心です。
この記事は、クリニックのホームページの保守を担当する「HPドクター」編集部がまとめました。運営会社は、医療法人・医療系企業の営業・採用・教育を支援する「MedLead」も提供しています。
