セキュリティ対策 スマホと医療現場の安全運用

セキュリティ対策 スマホと医療情報保護の基本

セキュリティ対策 スマホと医療機関ガイドラインのポイント

医療機関におけるスマホのセキュリティ対策は、端末単体の話ではなく「医療情報システムの一部」として位置づけられています。厚生労働省の「医療情報システムの安全管理に関するガイドライン第6.0版」では、モバイル端末を含む情報機器を対象に、情報資産の洗い出し、リスク分析、技術的・物理的・組織的対策を組み合わせて運用することが求められています。

参考）https://www.mhlw.go.jp/content/10808000/001582980.pdf

このガイドラインでは、オンライン資格確認端末などのモバイル機器について、業務専用端末とし、OS・ソフトウェアのアップデート、ウイルス対策ソフトの導入、強固な認証設定など、基本的なセキュリティ対策を徹底するよう示されています。医療従事者個人のスマホであっても、BYODとして業務に用いる場合は、施設が管理する端末と同等の対策を講じることが望ましいと明記されている点は重要です。

参考）https://www.pref.ishikawa.lg.jp/yakuji/topic/documents/betten2.pdf

また、厚労省の「医療機関のサイバーセキュリティ対策チェックリスト」では、スマホを含む端末管理やアクセス権限の設定、インシデント発生時の対応手順などがチェック項目として整理されています。これを医療情報システム全体の枠組みとして理解したうえで、「スマホの扱い」を位置づけ直すと、現場のルール作りがぶれにくくなります。

参考）https://www.mhlw.go.jp/content/10808000/000936167.pdf

徳島県や石川県など自治体が公開している「モバイル端末等の安全管理に関するチェックリスト」は、日常運用レベルの具体的な確認項目がまとまっており、スマホセキュリティの院内基準を作る際に非常に参考になります。OS・アプリの更新、パスワード・画面ロック設定、持ち出しルール、教育・訓練など、チェックリストをそのまま「点検表」として活用できるのが利点です。

厚生労働省ガイドライン第6.0版の解説（医療情報システム全体の枠組みとモバイル端末の位置づけに関する参考リンク）
医療情報システムの安全管理に関するガイドライン第6.0版

セキュリティ対策 スマホとBYOD・私物端末利用の注意点

医療現場では、PHSからスマホへの置き換えに加え、医師・看護師が私物スマホを業務連絡や情報確認に用いるケースが増えています。Medicomなどの調査では、私物スマホ使用への抵抗理由として「患者情報等の個人情報の漏洩リスク」が最も多く挙げられており、BYODが心理的ストレスの原因にもなっていることが示されています。

参考）https://medcom.ne.jp/blog/03

BYODの安全な運用のためには、少なくとも次のポイントを押さえる必要があります。

・業務利用が許可される端末の条件を明文化する（OSバージョン、暗号化、画面ロック、ウイルス対策の有無など）
・業務データと私的データを論理的に分離する（業務用アプリ領域と個人領域の分離、MDMやコンテナ型アプリの導入）
・紛失・盗難時の対応手順を事前に決めて、端末のリモートロック・ワイプ手段を準備しておく

自治体チェックリストでは、「職員個人の所有する端末の業務利用（BYOD）を想定し、施設管理端末と同等の対策を講じるように」と記載されています。ここには、「私物だから自由に使う」のではなく、「私物であっても医療情報を扱う以上、施設の情報セキュリティポリシーに従うべき」というメッセージが含まれています。

技術的対策に加えて、実務上は「何をスマホで行うことを許すのか」「どこまでが禁止なのか」をはっきり線引きしておくことが非常に重要です。例えば、電子カルテへの直接アクセスは禁止だが、院内グループウェアを通じた勤務連絡・会議資料閲覧は許可するなど、具体的なユースケース単位でルールを示すと現場が迷いにくくなります。こうしたルールが曖昧なまま、「自己判断」でスマホ利用が進むことこそ、最も大きなリスクになり得ます。

医療機関向けモバイル端末安全管理チェックリスト（BYOD運用の具体的な確認項目に関する参考リンク）
モバイル端末等の安全管理に関するチェックリスト

セキュリティ対策 スマホとMDM・アプリ制限の活用

病院全体でスマホを安全に運用するためには、個々の医療従事者の努力だけでは限界があります。ここで重要になるのが、MDM（Mobile Device Management）などの管理ツールを用いた「集中管理」です。MDMを導入すると、端末の登録、ポリシー配布、アプリの許可・禁止、遠隔ロック・ワイプなどを一元的に行うことができ、紛失・盗難時の被害拡大を最小限に抑えられます。

参考）医療のスマートデバイス活用、病院・医療現場のスマホ・タブレッ…

例えば、医療現場向けMDMサービスでは、次のような機能が提供されています。

・業務に必要なアプリのみをホワイトリスト方式で許可し、それ以外のインストールを禁止する
・カメラ機能の使用を、特定アプリ内のみに制限し、通常カメラによる撮影を無効化する
・端末紛失時に、管理者が遠隔から端末をロックし、データを消去することで、患者情報の漏えいを防ぐ

総務省の資料でも、院内の電波環境整備とセットで「医療従事者向けスマートフォン導入」の事例が紹介されており、ナースコール受信や出勤時間の自動記録など、スマホを業務基盤に組み込むと生産性が向上することが示されています。ただし、その前提として、MDMを活用した端末管理や、端末紛失時のインシデント対応手順の整備が欠かせません。

参考）https://www.soumu.go.jp/main_content/000984442.pdf

意外に見落とされやすいのが、「業務用チャットアプリの選定と設定」です。一般的なSNS・チャットは利便性が高い一方で、暗号化方式やログの保存場所、第三者提供の有無が施設側からは見えにくく、医療情報の取り扱いには不向きな場合があります。医療機関向けに設計されたチャットツールや、オンプレミス型グループウェアをスマホから利用する形にすると、ログ管理・アクセス制御を行いやすくなります。

医療現場でのスマートフォン導入とMDM活用事例（院内業務とセキュリティを両立させるための参考リンク）
院内の電波環境整備と医療従事者向けスマートフォン導入

セキュリティ対策 スマホと現場教育・情報セキュリティ研修

医療従事者向けのセキュリティ対策では、「技術的対策」と同じくらい「教育・研修」が重要です。情報セキュリティ研修教材（医療従事者向け）では、パスワード管理、メール・SNSの注意点、マルウェア対策、物理的な持ち出しリスクなどがケース形式で解説されており、スマホ利用の具体的なシーンを想定したトレーニングに活用できます。

参考）https://h-crisis.niph.go.jp/wp-content/uploads/2021/04/20210402172128_content_10808000_000761105.pdf

自治体のチェックリストでも、「端末等の安全管理について職員に周知・教育訓練等を定期的に実施すること」が対策項目として明記されています。ここでポイントになるのは、単発の座学ではなく、「日常業務に直結するテーマ」で継続的に取り上げることです。例えば、次のようなトピックで短時間のマイクロ研修を繰り返す方法があります。

・当院で実際に起こった（あるいは全国で報告された）スマホ紛失・誤送信事例の共有と、教訓の確認
・写真撮影・画面キャプチャに関する院内ルールの再確認と、グレーゾーン事例のディスカッション
・新しいセキュリティ機能（生体認証、アプリロック、MDMポリシー変更など）の具体的な使い方説明

厚労省や国立保健医療科学院が公開している「情報セキュリティ研修教材」は、医療現場向けにシナリオが作られているため、独自研修コンテンツを作る際の土台として非常に有用です。自施設の事例やルールを追加し、スマホ利用の場面を交えてローカライズすることで、受講者の納得感が高まり、日常行動の変化につながりやすくなります。

さらに、研修だけでなく「現場での声かけ文化」を育てることも、意外と大きなセキュリティ対策になります。例えば、ロッカーにスマホが置きっぱなしになっていないか、カンファレンス資料を撮影していないかなど、気づいた職員が丁寧に声をかけ合うことで、ルールが「机上の空論」にならず、日常の習慣として根付きます。こうしたソフト面の工夫は、ガイドラインには明文化されにくいものの、実務上は非常に重要な要素です。

医療従事者向け情報セキュリティ研修教材（スマホ利用を含む教育・研修の設計に関する参考リンク）
情報セキュリティ研修教材（医療従事者向け）

セキュリティ対策 スマホと医療現場ならではの独自リスクと工夫

検索上位の記事では、画面ロックやOSアップデート、ウイルス対策といった一般的なスマホセキュリティ対策が中心ですが、医療現場にはそれだけでは語りきれない独自のリスクがあります。例えば、「オンコール待機中の私物スマホ持ち歩き」と「患者情報を含むチャット・画像」が同じ端末に混在する状況や、「手袋装着中の生体認証の誤動作」「当直室での充電中紛失」といった、医療ならではのシーンが挙げられます。

こうした特殊な状況に対する工夫として、次のような実務的アイデアがあります。
・端末ロック方法を、数字コード＋生体認証の併用にしておき、手袋装着時は数字コードで解錠できるようにしておく（生体認証のみだと、緊急時に端末操作が滞る恐れ）
・当直室などで充電する際には、必ずロックをかけたうえで、患者情報を扱うアプリを「アプリロック」機能で二重に保護しておく
・カンファレンス資料の写真撮影を禁止するのではなく、院内クラウド・グループウェアに資料を安全にアップロードし、スマホから閲覧可能とすることで「撮影したくなる理由」を減らす

また、医療現場では「患者のスマホ」との距離感も重要です。患者が自身のスマホで診療の様子を録画・撮影するケースが増えており、その際に画面に他の患者情報が写り込む、医療スタッフのIDカードが写るなどのリスクが生じます。これに対しては、撮影・録画の可否や条件を院内規程として整備し、診療場面で患者から申し出があった際の対応手順を事前に共有しておくことが有効です。

さらに、スマホを活用した医療アプリ（薬剤情報、ガイドライン閲覧、スコアリングツールなど）も、セキュリティの観点から見直す余地があります。アプリ内で患者情報を入力・保存する場合、データがどこに保管されるのか、開発元がどのようなセキュリティ対策を講じているのかを確認し、施設側のポリシーと整合するか評価する必要があります。便利なアプリであっても、データの扱いが不透明であれば、業務利用を控える判断も求められます。

このように、医療現場のスマホセキュリティ対策は、「一般的なスマホの守り方」＋「医療特有の運用リスク」＋「現場の行動変容」の三層で考えると整理しやすくなります。ガイドラインやチェックリストで示される技術的・組織的対策を土台にしつつ、自施設の診療スタイルや端末の運用実態に合わせて、現場目線の工夫を積み重ねていくことが、実効性のあるセキュリティ対策につながるのではないでしょうか。

【第1類医薬品】リアップX5 60mL