訪問診療で持ち出すPCに2要素認証を｜YubiKeyとFIDOログオンで盗難に備える

私は医療機関で情報システムを担当しています。在宅医療や訪問診療をやっていると、どうしても避けられない問題があります。電子カルテを使うノートPCを、院外に持ち出すことです。

患者さんの家に持っていく。車に積む。施設の待合に置く。院内のデスクトップと違って、ノートPCは「盗まれる」「置き忘れる」「車上荒らしに遭う」が現実のリスクになります。そして中には、患者さんの情報が入っている。

パスワードをかけていれば大丈夫、と思いたいところですが、パスワードは盗み見られたら終わりです。訪問先で画面を開いて打つ場面は毎日あります。そこで、持ち出すPCには2要素認証をかけることにしました。導入したのが、Yubico の物理キー YubiKey 5C Nano と、Windows のログオンをキー必須にできる YubiOn FIDO Logon の組み合わせです。

なぜ今、医療機関のPCに2要素認証なのか

理由は2つあります。ひとつは上に書いた持ち出しのリスク。もうひとつはガイドラインです。

厚生労働省の「医療情報システムの安全管理に関するガイドライン 第6.0版」では、パスワードで利用者認証を行う医療情報システムについて、令和9年度（2027年度）時点で稼働が見込まれるものは、新規導入・更新の際に2要素認証を採用するか、相当する対応を行うことが遵守事項になっています。

つまり、電子カルテを扱うPCを今後入れ替えるたびに、2要素認証は「やった方がいい」から「やる前提」に変わります。小さな医療機関でも例外ではありません。

院内の据え置きPCは、以前書いたように指紋認証リーダーを足すことで対応できます。問題は持ち出すノートPCです。指紋認証は便利ですが、PCごと盗まれたときに「PCに入れなくする」力はありません。パスワードを知っていれば入れてしまうからです。

物理キーなら、PCと一緒に盗まれない限り開かない

そこで物理的な認証キーです。選んだのは YubiKey 5C Nano。USB-C に挿す、小指の爪ほどの大きさのキーで、これ自体が「持っているもの」の要素になります。

ログインしようとすると「キーに触れてください」と出る。挿さっているキーの金色の部分を指で触れる。それで通ります。

これを、ソフト技研の YubiOn FIDO Logon と組み合わせます。Windows のログオンを FIDO のセキュリティキーで行えるようにするソフトで、今は無料トライアルで試しています。手持ちの Windows ノート（ThinkPad）に YubiKey を登録して、ログイン画面でキーに触れるだけで入れることを確認しました。

肝心なのはここからで、「キーがないとログインできない」設定にできることです。パスワードを知っていても、キーが挿さっていなければ入れない。さらに、キーを抜くと画面が自動でロックされます。

訪問先で車にPCを置いていく。キーは自分のポケットにある。万が一車上荒らしに遭っても、パスワードを盗み見られていても、PCの中身は開かれません。これが「FIDO 認証との組み合わせで、紛失・盗難対策にもなる」の意味です。

使ってみて：ログインがタッチ1回で終わる

セキュリティの話を先にしましたが、使ってみて一番感じたのは楽になったことでした。

2要素認証というと「手間が増える」と思われがちです。実際、スマホの認証アプリを使う方式だと、スマホを探して、アプリを開いて、6桁の数字を読んで、打つ、という動作が毎回入ります。

YubiKey は違います。パスワードを打って、キーに触れる。終わり。2要素になったのに、手順はスマホ方式より減りました。認証しているという意識そのものが薄くなる。これは、現場のスタッフに使ってもらう上でとても大事なことです。面倒な仕組みは、必ず誰かが回避します。

Nano を選んだ理由もここにあります。挿してもほとんど出っ張らないので、挿しっぱなしにできる。私は普段 Mac に挿したまま持ち歩き、Google などのサービスの2段階認証もこのキーで通しています。ThinkPad を使うときだけ差し替える。差し替えも一瞬です。

正直、1本1万円は高い。安く揃えるなら Security Key シリーズ

YubiKey 5C Nano は1本1万円前後します。自分用の1本ならいいのですが、スタッフ全員に配るとなると、これは高い。

そこで知っておきたいのが、同じ Yubico の Security Key シリーズです。YubiKey 5 シリーズの約半額で、Windows の FIDO ログオンや Google・Microsoft などのパスキー・2段階認証には、こちらで十分です。

違いを一言でいうと、Security Key は「FIDO 専用」、YubiKey 5 は「全部入り」です。YubiOn FIDO Logon は FIDO2 で動くので、Security Key シリーズで問題ありません。VPN のワンタイムパスワードやスマートカード認証まで1本にまとめたい管理者だけ、YubiKey 5 を選べばいい。

私の結論は、管理者は YubiKey 5C Nano、スタッフ用は Security Key シリーズです。10人分揃えても5万円台。電子カルテ端末1台の情報漏えい対応にかかる費用を考えれば、安い保険だと思います。

導入前に決めておくべき3つのこと

1. キーを失くしたときの手順。物理キーの宿命として、失くすと本人も入れなくなります。FIDO Logon のリカバリコードを管理者が保管する、予備のキーを1本登録しておく、のどちらかは必ず決めてから配ってください。

2. 抜く習慣。持ち出すPCでは、席を立つとき・車に置くときにキーを抜く。抜けば自動ロックされるので、この一手間で盗難対策が成立します。逆にここが守れないなら、Nano の挿しっぱなし運用は向きません。

3. 端子の確認。Nano は USB-C 専用です。USB-A しかないPCには挿せません。職場のPCの端子を数えてから、A と C のどちらを何本買うか決めるのが先です。

在宅医療をやっている医療機関で、持ち出しPCの認証がパスワードだけ、という方は多いと思います。令和9年度を待たずに、まず1本買って管理者のPCで試す。それだけで、ガイドライン対応と盗難対策の両方が一歩進みます。