IT資産の正確な把握とパッチ適用でセキュリティ対策を強化

導入経緯

“USBメモリの管理強化”と
“資産管理の効率化”で機微なデータを守る

病院では、患者の皆さまの診療データなど、漏洩が許されない情報を扱っています。そのため、USBメモリなどの可搬記憶媒体の使用はできるだけ避けたいと考えていますが、医師が学会で発表する資料を持ち出したり、保健所に診療データを渡したりと、使用せざるを得ない場面があり、管理の強化が欠かせません。また、院内のIT化推進により端末数が増加し、手入力でのIT資産管理台帳の更新が追いつかなくなっていたため、ツールによる管理を検討することに。多くの医師が使用するMac端末の管理も要件に加え、複数の製品を比較検討した結果、当院の要求を満たしている「SKYSEA Client View」の導入を決めました。

近年、病院を狙ったサイバー攻撃が多発していますが、防御対策だけでなくインシデント発生時の事後対応を考慮しておくことが重要です。国立病院機構に属している当院の場合は、インシデント発生時に説明責任をしっかりと果たすことが責務であると考えています。そのためには、普段から事実を正確に把握できる環境が必要ですので、「SKYSEA Client View」のログ情報を役立てています。

導入効果

セキュリティパッチを“部署ごとに配布”
徐々に適用を拡大してトラブルを回避

多発している脆弱性を狙った攻撃への対策として、OSやアプリケーションのセキュリティパッチは、速やかに適用する必要があると考えています。以前はアプリケーションの自動更新機能を使って適用していましたが、これに起因するシステムトラブルが発生することも。そうなれば、PCを1台1台操作して更新機能を停止したり、適用前の状態に戻したりしなければならず、手間と時間がかかっていました。

現在は「SKYSEA Client View」の「グループツリー」であらかじめ部署を作成しておき、「ソフトウェア配布」機能を使って部署ごとに適用しています。院内のシステムに影響が出ないかを確認しながら徐々に適用範囲を拡大していくことができるので、トラブルはほとんど発生しなくなりました。

また、適用状況は管理コンソールを確認すれば自席で把握できます。適用漏れがないか、院内を歩き回って確認する必要もなくなり、作業負荷が軽減しました。

所在不明ファイルの捜索は
“直前に行っていた操作”を手掛かりに

USBメモリは紛失やマルウェアへの感染による情報漏洩の危険性があることから、当院では数年前から使用頻度の削減に取り組んできました。代替となるデータの保管先としてNASを整備し、職員に移行を促したほか、パスワード保護と遠隔消去が可能なUSBメモリを支給。パスワードは定期的な更新が必要で、更新期限が切れるとアクセス不能になる仕様です。

取り組み開始から一定期間経過後、「SKYSEA Client View」でUSBメモリの使用状況を確認したところ、使用頻度が激減していました。そこで、使用率が高い一部を除き、個人への支給を取りやめに。現在は、管理課でUSBメモリを一括管理し、必要な場合にのみ申請の上、期間を限定して貸し出しています。

現在はほとんどの文書ファイルをNASに配置していますが、時折ファイルが行方不明になることがあります。マウスの誤操作が原因だと思われますが、NASのファイル操作ログで見つけられない場合、以前はバックアップから戻すしか方法がなく、1日の業務が台無しになることも。「SKYSEA Client View」の導入後は、該当ファイルへの操作をログで追跡できるので、ファイルを完全に削除していない限り、ほぼ発見できるようになりました。

ログ情報を“医師の労働時間の改善”と
業務フローの見直しにも活用

2024年度より、医師の時間外労働の上限規制が適用されるため、勤務実態を組織的に管理することが求められています。ほとんどの医師は、患者の方々を診る以外の時間はほぼPCを使用して業務を行っています。当院ではそこに着目し、PCを操作している時間を「SKYSEA Client View」の操作ログで確認することに。これにより、おおよその実労働時間を把握できるようになりました。

ログからは残業中の作業内容もわかるので、声掛けをして帰宅を促すだけでなく、長時間労働の原因を洗い出し、業務フローを見直すといった具体的な改善にも活用しています。