【03/02(Tue)】 セキュリティー…思わぬ穴

★ 本日の在宅カルテ
　　→　http://winukarte.blog.shinobi.jp/Entry/824/

　先日，院内で「トロイの木馬感染」が問題になり，セキュリティー対策を講じるように指示があった。
　よく聞くと，放科で起きた事象で，設置端末にUSBメモリーを使用したコトが起因だったらしい。それによって放科内のRIS・PACSのネットワーク上にはびこり，更に，電カルにも繋がっているので，そこまで検証したと言う。駆除には￥40万も掛かったらしい。
　ただ，なぜか病院として「セキュリティーソフトの導入」は考えておらず，「運用上の徹底」になってしまったらしい。本来ならセキュリティーソフトの導入を図るべきだと思う。もちろん運用上の問題点には注意は必要だが。
　そんな中，今日は生理検査室内でも問題が起きた。
　脳波計(Windows XP Proベース)を立ち上げると，アプリケーションエラーが出現し，再起動してもエラー。
　メーカーに問い合わせ，調べてもらうと，「ウィルス感染の可能性」とされる。
　ウチでの脳波は基本的にペーパーレス。脳波計本体に閲覧用端末2台の構成で，脳波波形データはサーバー代わりとしてNASを設置している。
　ところが，前日にこのNASが壊れてしまい，新しく更に大容量のNASを購入して設置したのだが，納品業者がセットアップする際にだいぶ手間取ったようで，CD-ROMがウマく使えなかったりしたらしく，USBメモリーを使ってセットアップしたらしい。
　メーカーから「ウィルス感染の可能性」を示唆されたので，スキャンすると脳波計本体と閲覧端末2台がやはり感染していた。念のために納品業者が作業に使ったUSBメモリーをチェックしてもらうと同種のウィルスが検出された。これで因果関係がはっきりした。
　そこで駆除・復旧作業になるのだが，脳波ネットワークは納品業者に任せ，脳波計が生理システムから患者属性取得する仕組みで，生理システムは更に電カルに繋がっているので，生理システムサーバーとWebサーバーと電カルサーバーのチェックを電カルベンダーと医療情報部門で行うことに。
　本来ならば，こう言うセキュアなシステム構築に携わっているのならば，セキュリティーに対して安易な対応はすべきではないはず。それが破られた。私用媒体ならともかく，社用媒体で大きな問題を起こすなどあり得ないことだ。
　電カルのネットワークはクローズド。基本的に外部媒体を受け付けない。
　ところが部門内サーバー・クライアントのネットワークはクローズドではなく，セットアップやメンテナンスなどで外部媒体はよく使われる。誰もが外部媒体を接続できてしまう。これが広まれば院内全体を脅かす。
　部門内サーバーは接続する機器の入れ替えや設定変更が多々あり，データをオフラインで取り込むこともある。そのためにハード的なセキュリティーは甘いので，ソフト的なセキュリティーは確保するべきだと思う。しかし「運用上で注意」に留まり，セキュリティーソフトの導入を考えていないのはどうだろう。
　とりあえずのところは，ウチでは業者に対しても「チェック済の媒体を使用」「未チェックならチェックしてから使用」と言うルールを設けた。
　施設内ネットワークでのセキュリティー問題が取りざたされているが，多くは「ユーザーの不注意」がほとんどだが，まさか業者が持ち込むとは思わなかった。落とし穴だ。