東京武蔵野病院は、IT化がまだまだ進んでいないと言われている医療機関の中において、いち早く電子カルテやITを導入した病院の一つである。

「病院に通っている事自体を内緒にしたい患者様も多く、名前だけでも非常に大切な個人情報となりますので、そういった情報を守る為に製品導入の検討に至りました。（同院 加藤氏）」

個人情報保護法の実用的な対策や、電子カルテに対する情報漏えい対策、PCの私物化防止と無駄なIT投資の見直しのために製品導入を決めたという。

東京武蔵野病院では、管理者4名体制で院内約500台のPCを管理している。

「以前、ウイルス対策ソフトの入れ替えを行った際、まずウイルス対策ソフトのメーカーが提供しているアンインストールツールをCatのファイル配布機能で全台配布・実行、その後新しいウイルス対策ソフトのインストーラーもファイル配布機能で実行しました。新しいウイルス対応ソフトに付属している配布機能は、電源が入っている時に配布をしないと動作しない仕様で、使い勝手が良くなかったですが、LanScope Catでは電源が入っていないPCにも電源ONのタイミングで再配布されるので成功率が高く、とても助かりました。失敗は500台中たった３台だけでした（福澤氏）」

同病院では、不要なソフトをインストールをさせないように基本的にAdministrator権限を与えていない。必要なソフトがあれば都度申請して貰い、医療IT課が直接インストールしている。都度対応の工数は多少かかるが、Catの配布機能の成功率が高いのでそれほど手間はかかっていないという。

業務上、電子カルテなどでセンシティブな情報を多く扱うため、東京武蔵野病院が特に力を入れているのが、情報漏えい対策だ。

情報漏えい対策のポリシーは、Cat導入前の電子カルテ導入時に作成したものを元に策定した。また、セキュリティ研修は入職時に実施。院内規定の説明と操作のログを収集している旨を徹底周知させることで、新入職員を含めた全職員が問題操作を起こす事はないという。具体的な情報漏えい対策として、まずはUSBメモリの制御がある。

「重要情報が集まる医療系ネットワーク（電子カルテ）においてUSBメモリや外部デバイスは利用禁止です。USBメモリを使用する場合は、申請書を提出してもらい都度許可しています。主に学会などで資料を使いたい場合や、症例のデータを持ち出す際に申請されるので、申請者も利用ケースも決まっていますね。（同院　高橋氏）」

ここで気になるのが現場の反応だ。USBメモリの禁止に関して反発があったのは導入当初だけで、約3ヶ月後には「USBメモリを使わない状態」が当たり前になったという。USBメモリの利用を制限するだけでなく本当に使いたい場合は申請させるというフローを用意することで、必要な職員のみが決まった業務において使用する運用が確立。これまでに情報漏えいインシデントは一切ないという。

また同時に、情報漏えい対策として強化されているのがWebサイトの閲覧制御だ。

「業務に関係のないサイトのキーワードをアラームと禁止に設定しています。職員が禁止行為を行おうとするとリアルタイムにポップアップがあがるので、見られているという意識ができ、抑止効果がしっかり効いています。（加藤氏）」

Cat導入直後は1日1000件近い大量のアラームが発生し指導が必要だったが、「確認」と「注意」を繰り返す事でアラームは大幅に減り、今では指導が必要なケースはほとんどないそうだ。

「先日職員から患者のギャンブル依存症に関する調べものを行う際に、アラームにHITして見れないという問い合わせがありました。他院の同じ症例を調べたかったとの事で、URLを個別許可する形で対応しました。今のブラックリスト管理に加え、「ギャンブル依存症」など症例に関連するホワイトリスト管理の工夫も行っていきたいと思っています。（高橋氏）」

業務の滞りが無いように現場の意見を聞き柔軟にポリシーの見直しを行う点も、東京武蔵野病院の運用成功の大きな要因だ。

東京武蔵野病院では、トラブル解決のためにもCatのログを活用している。

「主に医療系ネットワーク（電子カルテ）の操作ログの確認を行っています。例えば電子カルテのエラーなどのトラブル発生直前の操作を追跡する際に使っています。（福澤氏）」

他にも以前USBメモリがウイルスの感染源になった事があり、その原因究明にCatのログを活用した。結果、自宅で使用していたUSBメモリを院内で使用して感染するケースや、学会などで講演先の学校のPC経由で感染したケースがあることが分かったという。こういった感染源の特定にもCatのログが大きな役割を果たしている。

「以前は職員に確認をしても「何も特別な操作はしていないのに・・」という話で調査にも時間を費やしていました。Cat導入後はログから「本当に何もしていなかったのか」「（無意識に）何かをしてしまったのか」が見えてくるので、ベンダーもサポート時に、まず「Catではどういったログが出ていますか？」と聞かれるくらいに重宝しています。（加藤氏）」

原因が「全く見当つかない状態」からではなく「何が起こったか情報がある状態」から始められる為、以前と比べ解決スピードも格段に上がり、これまで苦労していたヘルプデスクの対応工数削減に大きく貢献。このようにセキュリティ対策以外にもCatのログを活用しているという。

今後は、業務効率と現場ニーズに合わせたデバイス管理を行いたいという。

「運用を続けるうち、どういったケースで申請がくるのかパターンが見えてきました。今後はUSBメモリのシリアルナンバーで、一時許可や期間指定を使った運用を行い、職員がストレスなく業務ができる環境を作っていきたいです。（福澤氏）」

また同時に今、一番急務と感じているのがマイナンバー対策だ。来るべき制度施行に向けどの企業も取り組みを始めようとしている。東京武蔵野病院では、別ネットワークで稼働している人事系ネットワークをマイナンバー対策のために再構築しようと考えている。

現在、Catを利用する事で安全管理措置にあたる「ＰＣ操作ログの取得」「印刷ログの取得」「デバイス制御」「不正アプリの検知」は網羅できているが、他にも様々な対策が必要だと加藤氏は語る。

「ツールでの対策ももちろんですが、一般的なセキュリティレベルを強化する対策も必要だと思っています。座席配置を変えたり、ついたてを立てたりと視覚的に見えないような物質的な対策を考えています。その他、マイナンバーが配られる前に職員向けの院内研修の実施も必須ですね。（加藤氏）」

将来的には医療番号と連動するとも言われているマイナンバー。医療業界においても対策の優先度が高い事は間違いない。

※本事例は2015年9月取材当時の内容です。