病院のSEとして10年以上働いている@whitefox21seです。
▼Twitterで最新記事やアクセスランキングをツイートしてます。こちらもよろしくお願いします！
Follow @whitefox21se
少し前になりますが、今年2023年2月、近畿大学病院にて業務委託先の社員が患者情報を故意に外部へ漏洩した事案が発生しました。われわれ病院に勤務する者は、当然ながら業務上知り得た情報を外部へ漏らしてはいけない守秘義務がありますが、その患者のカルテをスマホで撮影し、友達に動画を送信したという事件です。
患者やその家族に被害を与えただけでなく、委託業者が契約を打ち切られるなど、従業員の軽率な行動により関係者が大きな損失を被る事態となっています。
今回は、他人事だと思えない本件について医療情報技師の立場から考えます。
目次
応援してくださる方は、励みになりますので「人気ブログランキング」ボタンまたは「にほんブログ村」のクリックをお願いします！
※クリックすると私に票が入ります。押すだけなら無料（笑）！情報が取られる等はありませんので、ぜひ応援よろしくお願いしますm(_ _)m
システムエンジニアランキング
にほんブログ村
興味本位で動画を撮影し、SNSで送信
事故の全貌は、セキュリティ関連のニュースに詳しいpiyologさんの記事に分かりやすくまとめられているので、そちらを紹介します。
端的に言うと、業務委託先の従業員が私物のスマホで患者の電子カルテを撮影し、その画像を知り合いにSNSで送信した、というもの。
私のような中年世代からすれば、カルテ情報をカメラで撮影しSNSで発信するのは明らかにNGだろうに、なぜそんなことを？と思いますが、コンプライアンス意識やITリテラシーが低いと、罪悪感なくこうした行為に及んでしまうわけですね。自分たちにとって当たり前のことが、当たり前だと考えられない従業員がいる、ということを知らないといけないと思いましたね。
個人情報保護において怖いのは、実は「身内」なんですよね。外部から迫る脅威に対してはウイルス対策ソフトやファイアウォールで対抗できますし、ネットワークに怪しい動きがないか日ごろからチェックしたりしますが、今回のように業務にあたっている従業員にスマホを持ち出されたら、防ぐのは非常に困難です。
▼サイバー攻撃で注意すべきは実は身内だ、ということをこちらの記事で取り上げました。興味があれば、ぜひ一緒に読んでみてくださいね。
以前にも、ある市役所の職員が住民基本台帳のデータを抜き取り自宅に持ち帰ったという事件がありましたが、その従業員もたいした罪悪感なく行っていたと思われます。「何が悪いの？」ぐらいの気持ちでやっていたのでしょう。
厄介なのが、「罪の意識がない」点。そう考える従業員はおそらく一定数いると思われます。職場で得た情報を私的に使ってはならないこと、何らかの理由で持ち出す場合には漏洩しない対策を講じなければならない、という当たり前のことを、従業員へ教育する機会が必要だと思います。
委託業務を打ち切りされる事態に
近畿大学病院は事故を重く受け止め、業者とは2023年3月31日をもって契約終了とする措置を取りました。たった一人の軽率な行動により、情報を漏らされた当事者はもちろんのこと、会社にも大損害を与える事態に発展してしまいました。
同病院は業務中のスマホを禁止したり、職員へこの事件を周知して教育したりするなど対策を講じていますが、こうした情報漏洩事故は「委託業者」によって引き起こされるケースが見られます。2022年6月に兵庫県・尼崎市で起きた、全市民の個人情報入りUSBメモリーの紛失事件でも当事者は委託業者の従業員でした。
病院からすると、委託先の従業員に対する教育は委託業者側が行うべきものであり、そこを信用しているからこそ業務を任せているわけですが、教育がしっかり行われ、実践できているかどうかまでを病院側でもチェックしなければ、こうした事故は防げないのだろうか？と思ってしまいますね・・・。
▼尼崎市で起きたUSBメモリーの紛失事案についてはこちらの記事で紹介しました。興味があれば一緒に読んでみてください。
その信頼が失われてしまった以上、契約終了もやむ無しでしょう。厳しい措置ですが、病院にとって個人情報の漏洩は地域住民の信用を失墜する重大な事故ですから、厳正に対処すべきだと思います。
委託業者に任せる場合でも、丸投げせずにチェックすべき
犯人は委託業者の従業員だったとしても、患者やその家族、果ては地域住民の信用を失うのは病院側。「悪いのは病院の職員ではないんです」と説明しても理解は得られないので、業務委託する場合でも丸投げせず、守秘義務やコンプライアンスを遵守できているかどうかチェックしなくてはならない、と考えさせられます。
先の尼崎市の事件でも、市の職員はデータの管理を委託業者へ任せ切りで、どのような体制で管理業務をしているのか、それどころか再委託していたことすら関知していなかったと聞きます。よく言えばそれだけ業者を信頼していたということでしょうが、悪く言えば怠慢であり、最終責任を持つ立場としては管理が行き届いていなかったと言われても仕方ありません。
病院でも業務委託は多々あります。「人の振り見て我が振り直せ」で、医療情報技師としては取引先ベンダーとの契約関係をおさらいしたり、委託業務の管理体制について再チェックするなど、任せ切りにしない体制づくりをしなければと思うばかりです。
最後に
当ブログでは、病院に勤務するシステムエンジニアの私が、関係法令の改正やパソコンのトラブルシューティングなどをSE目線から紹介しています。
面白いと思ったら、ぜひブラウザにお気に入りの登録をお願いします！
人気記事もぜひ読んでいってくださいね。
▼面白かったと思って頂けたら、ぜひ下の「人気ブログランキング」または「にほんブログ村」のボタンを押してください！
