医療機関におけるUSBメモリによる情報漏えいは「ネットワーク分離」下での情報の受け渡しで防ぐ！

現在、セキュリティの観点から多くの医療機関が病院外から院内情報にアクセスすることを禁じていますが、実態としては、医療関係者は治療などを行うために、USBメモリなどを用いて患者の個人情報を院外で頻繁に扱っています。しかし、USBメモリは紛失しやすく、多くの流出インシデントを起こしているため代替手段への切り替えが必要です。ネットワーク分離下で情報を受け渡せる製品を導入し、医療情報の流出を防止していきましょう。

医療機関において、USBメモリの紛失を発端とする情報流出インシデントが頻発しています。USBメモリは院外に患者の個人情報を持ち出せるため便利ですが、物理的に小さく紛失しやすいなどのデメリットがあり、代替手段を用意すべきです。今回は、医療機関におけるUSBメモリの使用に関する実態と、効果的な代替手段について見ていきます。

医療機関の多くでUSBメモリを利用して個人情報を取り扱うようになっている

現在、医療機関の多くが、セキュリティの観点から病院外で病院の電子メールの閲覧や院内の情報へのアクセスを禁じています。

2017年5月30日に施行された改正個人情報保護法により、病院やクリニックを問わず、患者情報の取り扱いは一層厳格化されました。患者個人に対する診療情報や調剤情報などの個人情報は、個人情報保護法における「要配慮個人情報」に該当しており、利用する際には、患者本人の同意が必要となっています。

しかし、医師や薬剤師、放射線技師といった医療関係者は、その仕事の性質上、多くの個人情報を取り扱います。セキュリティの観点からは仕方ないとはいえ、このような情報へのアクセスが制限されている状況は非常に不便なことに変わりありません。

不便だからこそ、医療関係者たちは外部のメールサービスの利用やUSBメモリの使用といった抜け道を探し、患者の個人情報を取り扱うようになっています。このような状況で懸念されるのが、USBメモリなどの外部可搬記録媒体の紛失による個人情報の漏えいリスクです。

厚生労働省が定めたガイドラインではUSBメモリなどの外部情報可搬媒体は禁止されていない

厚生労働省が定めている「医療情報システムの安全管理に関するガイドライン第5版」では、USBメモリなどの情報機器を利用して情報を持ち出す際のリスクを次のように説明しています。

”この際留意すべきは、可搬媒体や情報機器による情報の持ち出し特有のリスクである。情報を持ち出す場合は、可搬記録媒体や情報機器の盗難、紛失、置き忘れ等の人による不注意、過誤のリスクの方が医療機関等に設置されている情報システム自体の脆弱性等のリスクよりも相対的に大きくなる。従って、情報若しくは情報機器の持ち出しについては、組織的な方針を定めた上で、人的安全対策をさらに施す必要がある。”

引用元：厚生労働省「医療情報システムの安全管理に関するガイドライン第5版」

このガイドラインでは、USBメモリなどの使用を避けることには特に言及がなく、外部可搬媒体の取り扱いの方法について方針を定めることを推奨しています。

また、外部機関に情報管理を委託する場合などは、同ガイドラインにおいてはむしろ、USBメモリなどの可搬記録媒体の使用を推奨する内容となっています。可搬記録媒体を利用すれば、クラッキングによる情報漏えいや情報書き換えの危険性が少なくなりますし、紙やフィルムとは異なり、端末上でしか電子データを見ることができないため、機密性も保持できるなどのメリットがあるからです。

ただし、USBメモリに保存される情報が極めて多いため、媒体を紛失したときのリスクが大きいことにも言及されており、一定の注意を払うことを促しています。そして、実際のところ、USBメモリの紛失による情報の流出が頻繁に起きている状況があるのです。

USBメモリの紛失が原因で個人情報が流出したインシデントは非常に多くなっている

日本ネットワークセキュリティ協会が発表している「情報セキュリティインシデントに関する調査報告」によると、2014年からのUSB等可搬記録媒体の漏えい件数は次のとおりとなっています。［※1］［※2］

USB等可搬記録媒体の漏えい件数

西暦	件数
2014年	110件
2015年	94件
2016年	45件
2017年	41件

代替手段などへの切り替えが進んでいるからでしょうか、漏えい件数自体は減少傾向にあります。しかし、2016年の業種別のデータでは、「医療、福祉」の分野において、USB等可搬記録媒体が漏えい経路になった比率は48.0％と他の経路と比べても突出して多く、USBによる情報流出が非常に多いことがわかります。[※1]

また、2018年の集計データはまだありませんが、USBメモリの紛失による個人情報の流出インシデントが何件か報告されており、USBメモリによる情報持ち運びの危険性は変化していません。2018年8月には、富山市立富山市民病院で、患者9,000人分の個人情報が記録されたUSBメモリが紛失しています。[※3]

もちろん、紛失しただけで情報漏えいが起きたとはいえませんが、実際にファイルの中身を見られてしまう危険性も大いにあります。海外での実験によると、落ちていたUSBメモリを拾った人の45％がファイルの中身をクリックしたというデータがあります。医療情報は、基本的に幾重にも鍵がかけられているため、そう簡単に中身を見ることはできません。しかし、リテラシーの高い人間が鍵を開ける可能性もありますし、悪意のある人物の手に渡った場合は、個人情報が売買される危険性もあるため注意が必要です。[※4]

［※1］日本ネットワークセキュリティ協会：「2016年情報セキュリティインシデントに関する調査報告」
［※2］日本ネットワークセキュリティ協会：「2017年情報セキュリティインシデントに関する調査報告」
［※3］Security NEXT：患者情報9000件含むUSBメモリが所在不明 - 富山市民病院
［※4］ASCII.jp：だって人間だもの…拾ったUSBメモリを開く人は何割いる？調査

ネットワーク分離下で情報を受け渡せる製品の導入を通して医療情報の流出を防ぐ努力を

USBメモリに変わって情報を受け渡する製品もあります。ですが、従来の製品の場合、保守運用に手間がかかったりと、簡単に扱えませんでした。

そんななか、NTTテクノクロスが提供する「Crossway/データブリッジ」であれば誰でも簡単かつ安全に情報の受け渡しができます。物理的に分離されたネットワーク間でも、ネットワークが分離された状態を保ちながら、安全かつ簡単なデータの受け渡しが可能です。
情報受け渡しのログ管理、ウィルスチェック、データ自動消去などの機能も備わっており、セキュリティ面で高い効果を発揮します。

医療情報の流出を防ぐためには、このようなネットワーク分離下でも情報を受け渡せる機器を導入し、よりセキュアな情報運用環境を構築していくことが重要です。