ひとことで言うと
電子カルテ端末のアクセスログを解析し、手動ロックの利用は院内通知後に増えた一方で、自動ロックが依然として大半を占めることを示した研究。
Keywords
システム、サイバーセキュリティ、EHR、医療情報DB、アクセスログ
なぜこの研究をしたのか
電子カルテでは、職員が院内のさまざまな場所から診療情報にアクセスできるため、機密性の高い個人情報を守る必要がある。離席時にはログアウトが求められるが、短時間の離席ではログアウトされず、端末が閲覧可能な状態で放置されることがある。そこで、画面ロックを伴う利用やロック解除の状況を把握するため、アクセスログを解析した。
どう調べたか
電子カルテデータベースから、ログイン、ログアウト、手動ロック、自動ロック、本人によるロック解除、他者による強制解除のアクセスログを抽出した。アクセスログには、職種、診療科、部署、端末名、操作日時、操作内容などが含まれていた。調査期間は、手動ロック機能の院内周知前後の変化を見るため、2023年3月〜5月とした。
何がわかったか
2023年3月〜5月のログイン件数は586,415件で、画面ロックを伴う利用は222,686件だった。その内訳は、手動ロック29,402件（13.2%）、自動ロック193,284件（86.8%）であり、画面ロックの大半は自動ロックだった。
手動ロック機能の通知前である3月は、画面ロック73,894件のうち手動ロックが6,079件（8.2%）だった。通知後の5月は、画面ロック76,157件のうち手動ロックが13,158件（17.3%）となり、手動ロックの利用率が上昇した。
なぜ大事なのか
自動ロックが多いということは、画面ロックがかかるまでの30分間、端末が無操作のまま操作可能な状態になっている可能性がある。その間、患者の個人情報が閲覧されるリスクや、他者によるなりすまし操作のリスクが高まる。手動ロックの利用を増やすことは、業務効率を大きく下げずに患者情報を保護する対策になり得る。
次に目指すこと
手動ロックの院内通知は一定の効果を示したが、利用していない職員の方が多かった。今後は、アクセスログの継続的な監視、手動ロック方法の定期的な周知、自動ロックまでの時間の見直し、長時間の画面ロックへの対策が必要である。