病院・介護施設の情報漏洩！スマートフォンのセキュリティ対策

今や大多数の人が利用しているスマートフォン。
アプリをインストールし動画を見たり、小説を読むことや買い物も可能な高機能な携帯電話。私も利用しています。
とっても身近なこのスマートフォンには、アドレス帳以外にも自分で撮影した映像や画像、購入した動画や音楽等が蓄積されており、当然のことながら、無くなれば情報漏えいの恐れがあります。

また、気にしなければいけないのは盗難・紛失だけでなく、攻撃者にとって格好のターゲットとなっている認識を持つことです。スマートフォンは、パソコンやネットワークを攻撃のターゲットとしていた者の次なる狙い目となってきているようです。

そこで今回はIPAが報告している「スマートフォンのセキュリティ対策のしおり」のまとめと、日本医師会が発表した「地域医療連携推進のための新たな日医IT化宣言と医療・介護における多職種連携のあり方」の中からスマートフォンの普及により利用が広がっているSNSの利用についての注意点をまとめました。

スマートフォンのウイルス感染対策

スマートフォンの利用者はパソコンと同様、コンピュータウイルスによる被害や不正アクセスによる被害に遭う可能性があります。スマートフォンの第一の自己防衛対策として、スマートフォンを狙ったコンピュータウイルス対策に目を向けてみましょう。

①アプリは信頼できる場所からインストールする
スマートフォンがウイルスに感染するのは、利用者が意図的にインストールするアプリにウイルスが仕込まれている場合が多いとの報告があります。一般的に利用者がアプリをインストールする経路には、アプリケーション・ストアと呼ばれるアプリの配信チャネルからインストールする場合と、SNS（ソーシャル・ネットワーク・サービス）や SMS（ショート・メッセージ・サービス）を通じて、アプリのインストール勧誘から行われる場合があります。正規でないアプリ・ストアからインストールしたアプリの場合、正規のアプリと見た目が同じ海賊版のアプリであることもあり、場合によってはウイルスが仕掛けられている場合もあるようです。

②アプリをインストールする際にアクセス許可を確認する
アプリをインストールする際に表示される「アクセス許可」には必ず目を通すようにしましょう。
過去に発見されたウイルスの中には、個人情報などを不正に盗み取るため、アプリの種類から考えると不自然なアクセス許可をユーザーに求めるものが報告されています。アプリをインストールする際に、不自然なアクセス許可や疑問に思うアクセス許可を求められた場合には、そのアプリのインストールを中止するように心掛けましょう。

～アクセス許可により取得される情報の一例～
【電話発信】
電話の着信状況に応じて再生中の音楽を停止するといった用途に使用されています。
この許可が与えられたアプリは、スマートフォンの電話番号、機器毎に付けられている端末識別番号といった情報を読み取ることもできます。

【場所】
携帯電話の基地局や、周囲にある無線LANの設備から推測できる位置情報を意味しており、およそ数十mから数km 程度の誤差の範囲でスマートフォンの位置情報を得られます。
位置情報は、アプリの画面に表示する広告の内容を決めるために使われることがあります。

【ネットワーク通信】
インターネットへのアクセスにより情報を送受信するという機能です。広告に関するデータのやりとりにも使われます。

③アプリは常に最新の状態で利用する
ストアなどからインストールしたアプリの場合は、一般的にアプリの自動更新ができる仕様になっています。アプリに脆弱性がある場合は、ウイルスに感染したり、情報が盗み出されたりするなどの不正アクセスを受ける危険性が高まります。対策として、アプリに脆弱性が見つかった場合などにアプリを自動更新する許可を与えておけば、アプリを常に最新の状態で利用することができます。

④セキュリティソフト（アプリ）を利用する
パソコンの場合もそうですが、ウイルス対策は専用の対策ソフト（アプリ）を利用するのがお勧めです。昨今ではスマートフォンに対応したウイルスが増加傾向にあるため、各社からスマートフォン用のセキュリティ対策ソフトが発売されています。

⑤重要な情報を通信する場合は、安全な回線を利用する
スマートフォンは、インターネットなどの外部に接続するために携帯電話の回線を利用する方法、街中など無料のWi-Fi環境を利用する方法など複数選択肢があります。
しかし、携帯電話の回線以外では安全な通信が確保できるかどうかは不明です。重要な情報を受け渡すような通信を行う場合は、安全な回線を利用するように心掛けてください。不特定多数の利用者がいる無料のWi-Fi環境では、盗聴の危険性が高くなります。

医療・介護業界におけるSNSの注意点

スマートフォンの普及により利用が進んでいるSNS。
代表的なものとしてFacebook、LINE、Twitter、Google+などの公開型のSNSが有名です。これらのサービスは無料で利用でき、手軽な情報交換ツールとして多くの人に利用されています。

SNSの代表的な機能は、特定のグループに属するメンバーが発信する情報が時系列で並んでいくタイムライン機能ですが、これは多職種間のコミュニケーションが重視される医療・介護連携において、最適な機能であると言えます。

そのため、SNSの利用には期待が集まっており、更にシステムのように高額な投資や運営費が必要な仕組みを構築する必要がないこともあり、利用が進むと想定されています。

ただし、病状や家族情報など機微な情報を扱う医療・介護の業界では、公開型のSNSと異なる非公開型かつ専用のプライベートSNSを使わなければならないこと、その上で更に様々なセキュリティ確保に努めなければならないことに注意する必要があります。

SNSを利用する際のリスクに対して、厚生労働省の「医療情報システムの安全管理に関するガイドライン第4.3版」では、スマートフォンやタブレット端末も想定した上で、

・持ち出し機器に関する運用管理規程の策定
・パスワードの定期的な変更
・情報の暗号化の必要性
・無線接続も含めたネットワークの要件
・インストールするアプリケーションの制限
・管理者の管理責任

上記内容が定められていますが、現在の安全管理ガイドラインでは、SNSで流通する情報の種別まで細かに触れられておらず、必ずしもSNSを想定した記載となっていない部分もあるため、更なる注意が必要となります。

SNSを利用する際に気を付けるべき基本事項

日本医師会では、一般社団法人保健医療福祉情報安全管理適合性評価協会の「医療情報連携においてSNSを利用する際に気を付けるべき事項」を一定の指針として提示しています。
同文書では、次の4項目をきちんと確認した上で運用すべきであるとしています。

・「情報」　　：「誰の」「何の情報を」「どんな目的で」「誰のために」
・「送信者」　：「どこの」「誰が」「どの役割で」「どこから」
・「受信者」　：「どこの」「誰に」「どの役割で」「どこに」
・「送信する」：「どんな手段で」「どの経路で」「どのような取扱いで」

医療情報連携においてSNSを利用する場合、基本的には患者に関して知り得た情報を、共有すべき関係者に対して情報連携をすることとなりますが、この時、必ず守らなければいけない事項として、『医療情報連携におけるSNSに対して、患者や家族に対してSNSの利用、利用するSNSにおける情報の利用目的、対策事項等をきちんと説明または周知し、同意をもらうこと』が重要です。またSNSを利用する職員に対して教育を実施し、利用目的や利用用途、利用ルールについて十分理解がされた上で運用する必要があります。