ログを残しているのに異常に気づけない？｜記録と確認の基本
医療機器や院内システムでは、日々さまざまな操作が行われています。
例えば、
- 職員が電子カルテへログインする
- 管理者がシステムの設定を変更する
- メーカーが遠隔保守で接続する
- システム間でデータを送受信する
- ソフトウェアを更新する
といった操作です。
こうした操作やシステムの動作を記録したものが「ログ」です。
ログが残っていれば、後から何が起きたかを調べる手掛かりになります。
しかし、ここで一つ確認したいことがあります。
そのログを、誰が、いつ確認しているでしょうか。
ログを保存しているだけでは、不審な動きに気づけないかもしれません。
今回は、ログの取得と確認の基本を整理します。
ログとは何か
ログとは、システム上で起きた出来事を記録したものです。
例えば、次のような情報があります。
ログインの記録
誰が、いつ、どのシステムへログインしたかを確認するための記録です。
ログインに失敗した記録も、確認に役立ちます。
設定変更の記録
システムの設定や利用者の権限を変更した記録です。
例えば、新しい管理者を追加した場合や、重要な設定を変更した場合などです。
外部接続の記録
遠隔保守などで、外部からシステムに接続した記録です。
システムの動作記録
ソフトウェアの起動・停止、エラー、通信の異常などを記録します。
ただし、すべての機器やシステムが同じ情報を記録できるわけではありません。
利用している製品や設定によって、取得できるログは異なります。
「ログがある」と「確認している」は違う
例えば、あるシステムで、深夜に管理者アカウントによるログインが何度も失敗していたとします。
システムがその記録を保存していても、誰も確認しなければ、異変に気づくのは後日になるかもしれません。
一方、重要なログインの失敗が続いた場合に担当者へ通知する仕組みがあれば、早く確認できる可能性があります。
ただし、ログインの失敗が続いたからといって、必ず攻撃とは限りません。
パスワードの入力間違いや、システムの設定不備が原因の場合もあります。
大切なのは、
異常の可能性がある記録を見つけ、必要に応じて確認できること
です。
CISAも、ログの取得と定期的な監視を組み合わせることを推奨しています。
まず何を確認すればよいか
最初からすべてのログを集める必要はありません。
まずは、重要なシステムについて、次のような操作が記録されているかを確認します。
- 管理者アカウントのログイン
- ログインの連続失敗
- 利用者や権限の追加・変更
- 遠隔保守などの外部接続
- 重要なシステム設定の変更
- ログ機能の停止や記録の削除
- システムの異常終了や重大なエラー
何を重要な記録とするかは、システムの用途によって異なります。
例えば、医療機器の動作に影響する設定変更は、一般的な事務用PCの設定変更とは異なる重要性を持つ場合があります。
また、医療機器の中には、患者への影響を避けるため、利用できるログ機能や記録方法に制約があるものもあります。
必要なログの種類は、メーカーや保守事業者と確認することが大切です。
「いつもと違う」をどう見つけるか
ログを確認するときは、単にエラーの数を数えるだけでは十分ではありません。
例えば、
「普段は日中にしか使われない管理者アカウントが、深夜に利用された」
「保守予定がない日に、外部から接続が行われた」
「通常とは異なる担当者が重要な設定を変更した」
といった記録は、確認する理由になります。
ただし、深夜の接続がすべて不正なわけではありません。
夜間の保守や自動処理など、正当な理由がある場合もあります。
そこで必要になるのが、日常の運用を知ることです。
普段どのように使われているかが分からなければ、何が不自然なのかも判断しにくくなります。
第8回で扱った自動処理用アカウントも同様です。
そのアカウントが何のために、いつ使われるのかが分かっていれば、想定外の利用に気づきやすくなります。
ログは誰が確認するのか
ログ管理では、担当者を決めることも重要です。
例えば、
- システムのログを誰が確認するか
- 重要な通知が届いたら誰が判断するか
- 保守会社へ確認する場合の連絡先はどこか
- 担当者が不在の場合はどうするか
といったことです。
専任のセキュリティー担当者を配置できない医療機関もあるでしょう。
その場合でも、すべてを自院だけで行う必要はありません。
保守事業者や外部サービスへ確認を委託する方法もあります。
ただし、
「保守会社が見ているはず」
という状態には注意が必要です。
実際に何を確認しているのか、異常が見つかったときに誰へ連絡するのかを明確にしておきます。
ログは残し方にも注意する
ログは取得できればそれでよい、というものでもありません。
例えば、システムへ侵入した人がログを削除できてしまうと、何が起きたか調べにくくなります。
そのため、重要なログについては、
- 誰が閲覧できるか
- 誰が削除・変更できるか
- どのくらいの期間保存するか
- システム障害時にも確認できるか
- 記録された時刻が正しいか
を確認します。
ログを別のシステムへ集約することが有効な場合もあります。
ただし、集約のために医療機器へ過剰な負荷をかけたり、必要な機能へ影響を与えたりしないよう注意が必要です。
また、ログに患者情報や個人情報が含まれる場合には、利用目的に応じた取得範囲、アクセス権限、保存方法を検討する必要があります。
すべてのログを無期限に保存することが適切とは限りません。
医療機器メーカーと医療機関では役割が異なる
医療機器メーカーにとって重要なのは、製品がどのような記録を残せるかを把握することです。
例えば、
「誰が操作したか」
「設定が変更されたか」
「通信や認証で異常が起きたか」
などを、製品の特性に応じて記録できるかを確認します。
さらに、利用者が必要な記録を確認・取得できるか、どのような方法で提供するかも検討します。
一方、医療機関では、実際に導入している複数のシステムを対象に、重要な記録をどう確認するかが課題になります。
メーカーが製品内の記録機能を提供していても、医療機関側で確認する運用がなければ、十分に活用できない可能性があります。
反対に、医療機関が確認したくても、製品が必要な記録を取得できない場合もあります。
両者の役割を整理することが重要です。
これまでの基礎講座とのつながり
第5回では、多要素認証によるログイン保護を扱いました。
第7回では、管理者権限を必要最小限にする考え方を扱いました。
第9回では、リモート保守の接続記録について説明しました。
第10回では、脆弱性への対応優先順位を整理しました。
第11回では、ネットワーク間の通信範囲を管理する考え方を扱いました。
これらは、いずれも大切な対策です。
しかし、対策が適切に運用されているかを確認する仕組みも必要です。
ログ管理は、これまで学んできた対策を、日常の運用の中で確認するための手段の一つです。
5分で確認してみましょう
自社や自院について、次の質問に答えられるでしょうか。
- 重要なシステムで、どのようなログが取得されているか把握している
- 管理者のログインや権限変更が記録されている
- 遠隔保守など外部接続の記録を確認できる
- 不審な記録を誰が確認するか決まっている
- 重要な異常が見つかった場合の連絡先が決まっている
- ログの保存期間と管理責任者が決まっている
- 必要なときに過去のログを確認できる
- ログを削除・変更できる人が制限されている
一つでも「分からない」があれば、そこから確認を始めます。
最初から高度な監視システムを導入する必要はありません。
まず、重要なシステムで何が記録され、誰が確認しているのかを把握しましょう。
AIGISでは「ログがあるか」だけでは終わりません
ログの取得は、セキュリティー対策の一つです。
しかし、記録が残っていても、必要なときに確認できなければ、その価値を十分に活用できません。
AIGISでは、医療機器のログ機能や運用状況について、
「何が記録されるか」
「必要な情報を確認できるか」
「誰が確認するか」
「異常が見つかったときにどう対応するか」
といった観点から、現状を整理することを重視します。
大切なのは、ログを大量に保存することではありません。
必要な記録を残し、異常に気づき、適切な対応につなげられる状態を作ることです。
参考資料
- CISA：Use Logging on Business Systems
- NIST SP 800-53 Rev.5（Release 5.2.0、2025年8月）：AU-2 Event Logging、AU-3 Content of Audit Records、AU-6 Audit Record Review, Analysis, and Reporting、AU-9 Protection of Audit Information
- 厚生労働省：医療情報システムの安全管理に関するガイドライン 第7.0版（2026年6月）
- CISAほか：Secure by Demand: Priority Considerations for OT Owners and Operators when Selecting Digital Products（2025年1月。製品のログ記録機能に関する参考資料として参照）
情報確認日：2026年10月14日