「リモート保守」を開けっぱなしにしない｜遠隔接続の基本

医療機器や院内システムでは、メーカーや保守会社が離れた場所からシステムへ接続し、状態確認や設定変更を行うことがあります。

いわゆる「リモート保守」です。

現地へ行かなくても対応できるため、とても便利な仕組みです。

問題は、リモート保守そのものではありません。

「誰が、いつ、どこから、何のために接続できるのか分からない」状態のまま使い続けることです。

リモート保守とは

例えば、次のような作業があります。

• 医療機器の状態をメーカーが遠隔確認する
• システムのログを保守会社が確認する
• 設定を変更する
• ソフトウェアを更新する
• 障害発生時に外部の担当者が調査する
• 院内システムを外部の保守会社が管理する

こうした作業のため、院内や社内のシステムへ外部から接続できる仕組みを用意することがあります。

「いつでも接続できる」が本当に必要か

リモート保守を導入したとき、
「保守会社が必要なときに接続できるようにしておこう」
という設定にすることがあります。

しかし、実際には年に数回しか使わない接続が、365日利用可能になっているかもしれません。

すべてのリモート接続を毎回手動で有効化する必要がある、という意味ではありません。

大切なのは、
「この接続は常時必要なのか」
「必要なときだけ使える状態にできないか」
を一度確認することです。

誰のアカウントで接続しているか

次に確認したいのがアカウントです。

例えば、
「保守会社用」
という一つのアカウントを複数人で共有していると、
「実際に誰が接続したのか」
を後から確認しにくくなります。

可能であれば担当者ごとのアカウントを使い、不要になった担当者のアクセス権は停止します。

また、リモートアクセスは外部から利用できる入口です。

多要素認証を利用できる場合は、パスワードだけに頼らない認証を使います。

第5回で紹介した多要素認証、第7回の最小権限、第8回のアカウント管理は、リモート保守でもそのまま基本になります。

接続できる人に必要以上の権限を与えない

保守作業だからといって、必ずしもシステム全体を変更できる権限が必要とは限りません。

例えば状態確認だけなら、
「見ることはできるが、設定変更はできない」
権限で足りる場合があります。

一方、ソフトウェア更新や設定変更が必要な作業では、より強い権限が必要になることもあります。

第7回の「最小権限」と同じです。

「保守会社だから管理者」
ではなく、
「この作業に、どこまでの権限が必要か」
で考えます。

「誰が接続したか」を後から確認できるか

リモート保守では、接続を許可するだけでなく、記録も重要です。

最低限、

• 誰が接続したか
• いつ接続したか
• どのシステムへ接続したか
• どのくらい接続していたか

を確認できる状態が望まれます。

ログは、事故が起きたときだけ使うものではありません。

「使われていないはずのリモート接続が動いていないか」
を確認する材料にもなります。

外部の保守会社に任せていても確認は必要

リモート保守では、
「保守会社のシステムだから、こちらでは分からない」
という状態になりがちです。

しかし、自社や自院のシステムへ入る入口である以上、

• どの方法で接続しているか
• 誰が利用できるか
• 多要素認証を使っているか
• 担当者が変わったときに権限を停止できるか
• 接続記録を確認できるか

といった点は確認しておきたいところです。

5分で確認してみましょう

自社や自院について、次の質問に答えられるでしょうか。

• 外部から接続できるシステムを把握している
• 何のための接続なのか分かっている
• 誰が接続できるか分かっている
• 個人ごとのアカウントを使っている
• 多要素認証を利用している
• 必要以上の権限を与えていない
• 接続した日時を後から確認できる
• 保守契約が終わったときにアクセスも停止できる

一つでも「分からない」があれば、そこから確認を始めます。

いきなり接続を停止すると、保守や障害対応ができなくなる可能性があります。

まず、
「どんな入口があるのか」
を確認することが最初の一歩です。

AIGISでは「外から入る入口」も確認します

セキュリティー対策では、社内のパソコンやアカウントだけに目が向きがちです。

しかし、保守、監視、クラウド連携、メーカーサポートなど、外部からシステムへ接続する仕組みもあります。

AIGISでは、
「誰が接続できるか」
「いつ接続できるか」
「どこまで操作できるか」
「接続した記録を確認できるか」
といった点も確認します。

重要なのは、リモート保守をなくすことではありません。

「便利な入口を、誰も管理していない入口にしないこと」です。

参考資料

• HHS Cyber Gateway：HPH Cybersecurity Performance Goals
• NIST SP 800-53 Rev.5（Release 5.1.1）：AC-17 Remote Access
• CISA：Guide to Securing Remote Access Software
• CISA：Internet Exposure Reduction Guidance
• FDA：Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions（February 2026）

情報確認日：2026年9月23日