お知らせ
【識者の眼】「認証（authentication）と認可（authorization）」近藤博史
個人情報等セキュアな情報を扱う際の基本用語として、「認証（authentication）」と「認可（権限付与、authorization）」があります。「認証」とは、情報やシステムに人や物（端末、サーバ）が接続（アクセス）するとき、接続を許された人、物であることを証明することです。この場合に人、物を特定する番号（ID）とパスワードを使います。一方、「認可」はシステムの管理者が、人、物に対してどのような機能を許すかを決めることです。接続する人は許可された機能を使うだけなので、「認可」はごぞんじない方も多いと思います。
個人のPCの設定でも、利用者設定をすれば各ファイルについて参照、修正、削除などの操作権限を付与することができます。サーバ、端末ではソフトウェアをオールマイティに導入、操作できる管理者権限か、限定された操作のみを認める利用者権限を設定することになります。ハッカー（ブラックハッカー）は管理者権限の情報を盗むことにより、すべてのソフトウェアを利用でき、新たなソフトウェアやウイルスを導入しようとします。
2022年に大阪急性期・総合医療センターで発生したランサムウェアによる電子カルテ停止事件は、サプライチェーン型の侵入でした。関係機器に共通の管理者権限のID、パスワードが設定されていたことが侵入後のランサムウェアの容易な拡散をまねきました。これは「閉じたネットワーク神話」とも呼ばれますが、お友達企業間で種々の設定をする場合に、手間が省けるよう安易な対応が行われていました。本来、それぞれの機器のID、パスワードは別々にして、不必要な管理者権限を与えない、一度社外に伝えてしまった後は変更するなどの対応をしていればよかったのです。
私が医療情報部の仕事についた1997年頃は「本当に閉じたネットワーク」の時代でしたが、この頃はネットワーク内は自由で管理者権限で共通認証だったと思います。勤務先の鳥取大学病院では、シンクライアント基盤とネットワーク管理は電子カルテとは別の地域の非医療系企業が落札したので、ネットワークセキュリティを議論して設計管理していました。2020年にはサーバ、ストレージ等のハードを統合仮想サーバにして、ネットワークからサーバまでを含めた基盤全体の管理を非医療系企業に任せており、医療系システムはソフトウェアの導入に限定していました。セキュリティ向上のためには有力な方法と思っています。
ところで、「認可」を適切に実施すれば、秘匿情報を含む医療情報のデータベースを、個人情報を漏洩することなく直接利用できると思います。統計情報を処理するようなソフトウェアのみの操作を認可して、個別データの参照を不可と設定するのです。もちろん、個々のデータを出力するような統計処理機能も制限します。「除外症例を見つけるために個々の情報を見る必要がある」という意見もあるかもしれませんが、ビッグデータ時代には除外するのもある条件の症例群になると思います。
これまでの臨床研究では、匿名化したデータ全体を研究者に渡していましたが、今後の臨床研究で扱うのはビッグデータですから、またリアルデータを用いた研究でも、個々のデータをみることなく情報処理を行う、クラウド基盤上のデータベースを研究に直接使用する時代に来ていると思います。
近藤博史（日本遠隔医療学会会長、協和会協立記念病院院長）［セキュア情報］［管理権限］［閉じたネットワーク］
