JP2006195634A - 医用装置および不正アクセス監査システム - Google Patents

Abstract

【課題】医用分野に特有の不正アクセスの監査を支援することが可能な医用装置および不正アクセス監査システムである。
【解決手段】不正アクセス監査システムは、医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、監査ログ取得部により取得された監査ログを解析し、所望の対象を集計することにより解析結果を得る監査ログ解析部と、監査ログ解析部により得られた解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有する。
【選択図】 図１

Description

本発明は、患者情報等の個人情報のセキュリティを管理する機能を備えた医用装置および不正アクセス監査システムに係り、特に個人情報に対する不正アクセスの有無の監査を支援することが可能な医用装置および不正アクセス監査システムに関する。

従来、超音波診断装置、Ｘ線ＣＴ（ｃｏｍｐｕｔｅｄ ｔｏｍｏｇｒａｐｈｙ）装置、ＭＲＩ（ｍａｇｎｅｔｉｃ ｒｅｓｏｎａｎｃｅ ｉｍａｇｉｎｇ）等の医用装置やＨＩＳ（ｈｏｓｐｉｔａｌ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ），ＲＩＳ（ｒａｄｉｏｌｏｇｙ ｉｎｆｏｒｍａｔｉｏｎ ｓｙｓｔｅｍ）、ＰＡＣＳ（ｐｉｃｔｕｒｅ ａｒｃｈｉｖｉｎｇ ａｎｄ ｃｏｍｍｕｎｉｃａｔｉｏｎ ｓｙｓｔｅｍ）等の医用情報システムでは監査ログが記録されている。監査ログには、医用装置に対する設定の変更、患者情報等の個人情報に対するアクセスあるいはログイン／ログオフ操作に関する情報等の詳細な情報が記録される。

そして、医用装置や医用情報システムに保存された個人情報のセキュリティを管理するセキュリティ管理者は、監査ログを用いて個人情報に対する不正アクセスの有無を監査する。

しかし、監査ログは、単なる時系列の情報であり、膨大な量の情報である。従って、くまなく全ての監査ログを確認することが事実上不可能であると言える。そこで、監査ログを解析する手段の１つとして、市販されているログ解析ソフトの利用が考えられる。

近年のログ解析ソフトとしては、例えば非特許文献１や非特許文献２に参照されるものがある。
ＢＯＭ（登録商標） ｆｏｒ Ｗｉｎｄｏｗｓ（登録商標）、[ｏｎｌｉｎｅ]，セイ・テクノロジーズ株式会社（ＳＡＹ Ｔｅｃｈｎｏｌｏｇｉｅｓ） 製品情報、[平成１６年１２月１０日検索]、インターネット＜ＵＲＬ：http://www.say-tech.co.jp/product/01.html＞ 監視ソリューション、Ｗｉｎｄｏｗｓ（登録商標）サーバー、[ｏｎｌｉｎｅ]，セイ・テクノロジーズ株式会社（ＳＡＹ Ｔｅｃｈｎｏｌｏｇｉｅｓ）、[平成１６年１２月１０日検索]、インターネット＜ＵＲＬ：http://www.say-tech.co.jp/sol/01.html＞

しかしながら、医用装置や医用情報システムに保存される個人情報に対する不正アクセスには、医用向け以外の一般の情報システムに対する不正アクセスとは異なる特徴を有するものがある。

第１の例として、ユーザ登録されていない緊急ユーザが医用装置や医用情報システムにログオンする場合があるという事情がある。すなわち、医用装置は、緊急で検査を行う必要が生じ得ることから、事前にユーザ登録されていない放射線技師等の医療従事者であっても操作できるようにしておく必要がある。そこで、このような場合に備えて、特別なユーザとして緊急ユーザを用意し、登録されていないユーザであっても医用装置を操作できるようにする案が提案されている。

しかし、その場合には、この緊急ユーザであればアクセスできるという事情を悪用して、不正アクセスが行われる恐れがある。

第２の例として、特定の個人情報に対して正規の登録ユーザのアクセスが集中するという不正アクセスが起こり得る。一般の医用向け以外の情報システムにおいては、正規のアクセス権を付与され、ユーザ登録された特定のユーザのみが個人情報にアクセスすることができるようにされている。このため、ユーザ登録された特定のユーザが、多数の個人情報を取得して外部にするという不正アクセスが起こり得る。すなわち、一般の医用向け以外の情報システムにおける不正アクセスは、一人のユーザが多数の個人情報を不正に取得するという特徴がある。

これに対して、医用装置や医用情報システムに対する不正アクセスの場合には、このような特定の登録ユーザが多数の個人情報を不正に取得して漏洩するという不正アクセスに加え、正規のアクセス権限を持った多くの登録ユーザが、興味本位で特定のＶＩＰ（）患者の医用画像等の個人情報にアクセスするという不正アクセスが発生する恐れがある。

そして、このような医用装置や医用情報システムに特有の不正アクセスに対する監査は、従来の一般の情報システム向けのログ解析ソフトでは十分に行うことができない。そこで、医用装置や医用情報システムに特有の不正アクセスの有無を監査する場合に、監査を支援するツールの開発が望まれる。

本発明はかかる従来の事情に対処するためになされたものであり、医用分野に特有の不正アクセスの監査を支援することが可能な医用装置および不正アクセス監査システムを提供することを目的とする。

本発明に係る不正アクセス監査システムは、上述の目的を達成するために、請求項１に記載したように、医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、前記監査ログ取得部により取得された前記監査ログを解析し、所望の対象を集計することにより解析結果を得る監査ログ解析部と、前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有することを特徴とするものである。

また、本発明に係る不正アクセス監査システムは、上述の目的を達成するために、請求項２に記載したように、医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、前記監査ログ取得部により取得された前記監査ログを解析し、前記医用装置および前記医用情報システムの少なくとも一方へのログイン権限を付与するためのユーザ登録がなされていない緊急ユーザのログインの回数、ログイン時間およびログイン中に検査画像を参照した回数の少なくとも１つを集計することにより解析結果を得る監査ログ解析部と、前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有することを特徴とするものである。

また、本発明に係る不正アクセス監査システムは、上述の目的を達成するために、請求項３に記載したように、医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、前記監査ログ取得部により取得された前記監査ログを解析し、患者ごとの検査画像を表示させた回数別に前記医用装置および前記医用情報システムの少なくとも一方のユーザの数を集計することにより解析結果を得る監査ログ解析部と、前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有することを特徴とするものである。

また、本発明に係る医用装置は、上述の目的を達成するために、請求項７に記載したように、監査ログを作成して記録する医用装置において、前記監査ログを取得する監査ログ取得部と、前記監査ログ取得部により取得された前記監査ログを解析し、所望の対象を集計することにより解析結果を得る監査ログ解析部と、前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有することを特徴とするものである。

また、本発明に係る医用装置は、上述の目的を達成するために、請求項８に記載したように、監査ログを作成して記録する医用装置において、前記監査ログを取得する監査ログ取得部と、前記監査ログ取得部により取得された前記監査ログを解析し、前記医用装置および前記医用情報システムの少なくとも一方へのログイン権限を付与するためのユーザ登録がなされていない緊急ユーザのログインの回数、ログイン時間およびログイン中に検査画像を参照した回数の少なくとも１つを集計することにより解析結果を得る監査ログ解析部と、前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有することを特徴とするものである。

また、本発明に係る医用装置は、上述の目的を達成するために、請求項９に記載したように、監査ログを作成して記録する医用装置において、前記監査ログを取得する監査ログ取得部と、前記監査ログ取得部により取得された前記監査ログを解析し、患者ごとの検査画像を表示させた回数別に前記医用装置および前記医用情報システムの少なくとも一方のユーザの数を集計することにより解析結果を得る監査ログ解析部と、前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部とを有することを特徴とするものである。

本発明に係る医用装置および不正アクセス監査システムにおいては、医用分野に特有の不正アクセスの監査を支援することができる。

本発明に係る医用装置および不正アクセス監査システムの実施の形態について添付図面を参照して説明する。

図１は本発明に係る医用装置および不正アクセス監査システムの第１の実施形態を示す機能ブロック図である。

医用装置１は、超音波診断装置、Ｘ線ＣＴ装置、ＭＲＩ等の任意の装置であり、入力装置２、表示装置３、監査ログ記録部４および監査ログデータベース５（ＤＢ）を備える。また、医用装置１には、不正アクセス監査システム６が内蔵される。ただし、不正アクセス監査システム６を医用装置１から独立したシステムとし、任意の医用装置１と接続してもよい。

さらに、医用装置１のみならず、不正アクセス監査システム６をＨＩＳ，ＲＩＳ、ＰＡＣＳ等の任意の医用情報システムと接続したり、あるいは医用情報システムに内蔵することもできる。ここでは、不正アクセス監査システム６を医用装置１に内蔵した例について説明する。

不正アクセス監査システム６は、コンピュータに不正アクセス監査プログラムを読み込ませて構築することができる。但し、不正アクセス監査システム６の全部あるいは一部を回路で構成してもよい。不正アクセス監査システム６は、監査ログ取得部７、監査ログ解析部８、解析結果情報作成部の一例としてのグラフ作成部９、不正アクセス検出部１０を有する。

監査ログ記録部４は、入力装置２から医用装置１に入力された情報に基づいて、必要に応じて認証を行い、不正アクセスの監査に用いるための監査ログを作成する機能と、作成した監査ログを監査ログデータベース５に書き込む機能とを有する。このため、監査ログデータベース５には、時系列の監査ログが記録される。

図２は、図１に示す監査ログデータベース５に保存される監査ログの一例を示す図である。

図２に示すように監査ログは、例えば操作者（ユーザ）の識別情報であるユーザＩＤ（ＵｓｅｒＩＤ）、イベント内容の識別情報であるイベントＩＤ（Ｌｏｇｏｎ，検査画像表示、Ｌｏｇｏｆｆ等）、医用装置１の識別情報である装置ＩＤ、アクションの対象を特定するアクション対象情報（患者の識別情報であるＰａｔｉｅｎｔ ＩＤや検査の識別情報であるＳｔｕｄｙ ＵＩＤ等）がアクセス日時に関連付けて作成される。ただし、監査ログを構成する一部の情報を省略したり、逆に他の任意の情報を付加して監査ログを構成してもよい。

例えば、ユーザがユーザ登録されていない緊急ユーザであるか否かを識別するための情報を付加することができる。ただし、ユーザＩＤから緊急ユーザであるか否かを識別できるようにすることもできる。

監査ログ取得部７は、入力装置２から入力された監査条件を受け取り、監査条件に従って監査に必要な監査ログを監査ログデータベース５から取得する機能と、取得した監査ログを監査ログ解析部８に与える機能とを有する。

ここで、監査条件の例としては、監査対象となる監査ログのファイル名やディレクトリ名、監査期間、緊急ユーザの利用状況や特定個人情報へのアクセス状況といった監査の内容、監査ログの表示間隔（日毎、月毎、３ヶ月毎、半年毎、１年毎等）等の条件が挙げられる。

監査ログ解析部８は、監査ログ取得部７から受けた監査ログの解析を行う機能と、解析結果をグラフ作成部９および不正アクセス検出部１０に与える機能を有する。このとき、解析内容として、例えば緊急ユーザによる医用装置１の利用状況（アクセス情報）および特定の個人情報に対するアクセス状況の一方および双方から入力装置２の操作により選択することができるように構成される。

グラフ作成部９は、監査ログ解析部８から受けた監査ログの解析結果をグラフとして作成する機能と、作成したグラフを画像情報として表示装置３に与えることにより、表示装置３にグラフを表示させる機能とを有する。

不正アクセス検出部１０は、監査ログ解析部８から受けた監査ログの解析結果と、不正アクセスとみなされる条件に従って、不正アクセスの有無、回数、頻度等の不正アクセスの監査に有用な情報を求める機能と、求めた結果を画像情報として表示装置３に与えることにより表示させる機能とを有する。

次に、医用装置１および不正アクセス監査システム６の作用について説明する。

図３は、図１に示す医用装置１および不正アクセス監査システム６により、監査ログを取得してグラフを出力することによって、不正アクセスの有無の監査の支援を行う際の流れを示すシーケンス図であり、図中Ｓに数字を付した符号はシーケンス図の各ステップを示す。

まずステップＳ１において、医用装置１に保存された個人情報に対する不正アクセスを監査するユーザであるセキュリティ・アドミニストレータは、入力装置２にユーザＩＤやパスワードを入力してログインした後、入力装置２に監査条件を入力することにより監査ログの解析を要求する。このため、監査条件が入力装置２から監査ログ取得部７に与えられる。

次にステップＳ２において、監査ログ取得部７は、入力装置２から受けた監査条件に従って、監査ログデータベース５から監査に必要な監査ログを取得する。

図４は、図１に示す不正アクセス監査システム６の監査ログ取得部７により取得された監査ログの一例を示す図である。

図４に示すように監査条件に従って監査ログが監査ログ取得部７により取得される。図４に示す監査ログの例によれば、ユーザ（操作者）である「Ｙａｍａｄａ Ｔａｒｏ」が２００４年９月２９日の１０時１２分３５秒に「ＸＸＸ Ｈｏｓｐｉｔａｌ」の医用装置「ＣＴ００１」にログオン（Ｌｏｇｏｎ）し、１１時１３分３５秒にＰａｔｉｅｎｔ ＩＤが「１．２．５．１２１３．１」で特定される検査画像を表示したことが分かる。さらに、１２時１４分３５秒にＰａｔｉｅｎｔ ＩＤが「１．２．５．１２１３．２」で特定される検査画像を表示した後、１３時１５分３５秒にログオフ（Ｌｏｇｏｆｆ）したことが分かる。

監査ログ取得部７は、図４に示すような各監査ログを監査条件に従って監査ログデータベース５から取得する。

次にステップＳ３において、監査ログ取得部７は、取得した監査ログを監査ログ解析部８に与える。

次にステップＳ４において、入力装置２から所望の解析内容についての監査ログの解析指示が監査ログ解析部８に入力されると、監査ログ解析部８は監査ログ取得部７から受けた監査ログを用いて指定された解析内容について監査ログの解析を行う。

解析内容が、緊急ユーザによる医用装置１の利用状況の解析である場合には、監査ログ解析部８が監査ログ取得部７から受けた監査ログをパース（解析）し、１アクションずつ監査ログが予め定められた条件に合致するか否かを判定する。そして、監査ログ解析部８は、条件に合致していると判定された監査ログを抽出する。

監査ログの抽出のための判定条件としては、例えば監査条件として指定された監査期間内の監査ログのイベントがログオン、ログオフ、検査画像表示のいずれかに該当するか否かとすることができる。

次に、監査ログ解析部８は、抽出した監査ログを用いてユーザ（操作者）別に、例えばログオン回数、ログオン時間、検査画像の表示回数を集計する。尚、ログオン時間は、ログオン終了時刻からログオン開始時刻を差分することにより求めることができる。集計の期間は、入力装置２から指定することが可能であり、日毎、月毎、３ヶ月毎、半年毎、１年毎のように任意に設定することができる。

図５は、図１に示す不正アクセス監査システム６の監査ログ解析部８により得られたユーザ別のログオン回数の集計結果の一例を示す図、図６は、図１に示す不正アクセス監査システム６の監査ログ解析部８により得られたユーザ別のログオン時間の集計結果の一例を示す図、図７は、図１に示す不正アクセス監査システム６の監査ログ解析部８により得られたユーザ別の検査画像の表示回数の集計結果の一例を示す図である。

図５に示すように、指定された監査期間においてユーザごとにログオン回数が集計される。例えば、２００４年の９月１日に、ユーザ「Ｙａｍａｄａ Ｔａｒｏ」が１回ログオンし、緊急ユーザが１０回ログオンしていることが集計結果として得られているのが分かる。

同様に、図６によれば、ユーザ別のログオン時間の集計結果が確認でき、図７によればユーザ別の検査画像の表示回数の集計結果が確認できる。

一方、解析内容が、特定個人情報へのアクセス状況の解析である場合には、監査ログ解析部８が監査ログ取得部７から受けた監査ログをパースし、１アクションずつ監査ログが予め定められた条件に合致するか否かを判定する。そして、監査ログ解析部８は、条件に合致していると判定された監査ログを抽出する。

監査ログの抽出のための判定条件としては、例えば監査条件として指定された監査期間内の監査ログのイベントが検査画像表示であるか否かとすることができる。

次に、監査ログ解析部８は、抽出した監査ログを用いて、例えば検査画像の対象である患者別に、各ユーザ（操作者）の検査画像の表示回数を集計する。

図８は、図１に示す不正アクセス監査システム６の監査ログ解析部８により得られた、患者別の各ユーザの検査画像の表示回数を集計して得られた結果の一例を示す図である。

図８によれば、例えば患者「ＡＡＡＡＡ」の検査画像をユーザ「Ｙａｍａｄａ Ｔａｒｏ」が１回表示させたことが確認できる。また、例えば、患者「ＣＣＣＣＣ」の検査画像をユーザ「Ｓａｔｏ ｈａｎａ」が２回表示させたことが確認できる。

さらに、監査ログ解析部８は、抽出した監査ログを利用して、例えば、各患者の検査画像を１回表示したユーザ、２回表示したユーザ、・・・、ｎ回以上表示したユーザの数を日毎に集計する。

次に、ステップＳ５において、監査ログ解析部８は、得られた監査ログの解析結果をグラフ作成部９に与える。

また、ステップＳ６において、監査ログ解析部８は、得られた監査ログの解析結果を不正アクセス検出部１０に与える。

次に、ステップＳ７において、グラフ作成部９は、監査ログ解析部８から受けた監査ログの解析結果に基づいてグラフを作成する。

図９は図１に示す不正アクセス監査システム６のグラフ作成部９により作成された緊急ユーザの日毎のログオン回数を示すグラフの一例を示す図である。

図９において縦軸は、緊急ユーザのログオン回数を示し、横軸は日付を示す。図９によれば、日毎の緊急ユーザのログオン回数の推移を容易に確認することができる。

図１０は図１に示す不正アクセス監査システム６のグラフ作成部９により作成された緊急ユーザの日毎のログオン時間を示すグラフの一例を示す図である。

図１０において縦軸は、緊急ユーザのログオン時間を示し、横軸は日付を示す。図１０によれば、日毎の緊急ユーザのログオン時間の推移を容易に確認することができる。

図１１は図１に示す不正アクセス監査システム６のグラフ作成部９により作成された緊急ユーザの日毎の検査画像の表示回数を示すグラフの一例を示す図である。

図１１において縦軸は、緊急ユーザによる検査画像の表示回数を示し、横軸は日付を示す。図１１によれば、日毎の緊急ユーザによる検査画像の表示回数の推移を容易に確認することができる。

図１２は図１に示す不正アクセス監査システム６のグラフ作成部９により作成された特定の患者の個人情報への日毎のアクセス状況を示すグラフの一例を示す図である。

図１２において縦軸は、患者の検査画像を表示させたユーザの数を示し、横軸は日付を示す。また、図１２中の菱形印は検査画像を１回表示させたユーザの数を、四角印は検査画像を２回表示させたユーザの数を、三角印は検査画像を３回表示させたユーザの数を、ばつ印は検査画像を４回以上表示させたユーザの数をそれぞれ示す。

図１２によれば、ある患者の検査画像を表示させたユーザの数の推移を表示回数別に確認することができる。例えば、５日には、検査画像を１回表示させたユーザが１５人いたことが確認できる。また、例えば、９日には、検査画像を４回以上表示させたユーザが１人いたことが確認できる。

また、ステップＳ８において、不正アクセス検出部１０は、監査ログ解析部８から受けた監査ログの解析結果に基づいて、予め定められた基準に従って不正アクセスの有無、回数または頻度を検出する。これらの不正アクセスの検出方法としては、例えば閾値を設定し、ログイン回数や検査画像の表示回数等の集計結果を閾値と比較することにより行う方法が挙げられる。

図１３は図１に示す不正アクセス監査システム６の不正アクセス検出部１０により、ログオン回数の集計結果に基づいて検出された不正アクセスの結果の例を示す図である。

図１３において縦軸は、緊急ユーザのログオン回数を示し、横軸は日付を示す。また図１３において一点鎖線は不正アクセスを検出する際の基準となる閾値を示す。図１３によれば、緊急ユーザのログオン回数が閾値である３回以上となる日が３日、４日、６日であり、点線で示す期間において継続的に緊急ユーザが個人情報に多数回アクセスしている可能性があることが確認できる。したがって、緊急ユーザによる不正アクセスの疑いがあるか、または医用装置１が正しく利用されていないと推察することができる。

図１４は図１に示す不正アクセス監査システム６の不正アクセス検出部１０により、検査画像の表示回数の集計結果に基づいて検出された不正アクセスの結果の例を示す図である。

図１４において縦軸は、検査画像の表示回数を示し、横軸は日付を示す。また図１４において一点鎖線は不正アクセスを検出する際の基準となる閾値を示す。図１４によれば、緊急ユーザによる検査画像の表示回数が閾値である４回以上となる日（３日）が存在し、点線で示す日付において緊急ユーザが個人情報に多数回アクセスしている可能性があることが確認できる。このため、３日に緊急ユーザによる不正アクセスの疑いがあると推察することができる。

尚、ログオン回数等の集計結果が閾値を超える、あるいは閾値以上となる頻度に対して、更に閾値を設定し、頻度が閾値を超えたか否か、あるいは閾値以上となるか否かを判定することもできる。

図１５は図１に示す不正アクセス監査システム６の不正アクセス検出部１０により、特定の患者の個人情報への日毎のアクセス状況の集計結果に基づいて検出された不正アクセスの結果の例を示す図である。

図１５において縦軸は、患者の検査画像を表示させたユーザの数を示し、横軸は日付を示す。また、図１５中の菱形印は検査画像を１回表示させたユーザの数を、四角印は検査画像を２回表示させたユーザの数を、三角印は検査画像を３回表示させたユーザの数を、ばつ印は検査画像を４回以上表示させたユーザの数をそれぞれ示す。さらに、図１５中の点線は不正アクセスを検出する際の基準となるユーザの数の閾値を示す。

図１５によれば、一点鎖線で示すように、５日に検査画像を少ない回数（１回または２回）表示させたユーザの数が閾値である９人を超えている。従って、多くのユーザが特定の患者の検査画像を閲覧していることが分かる。このため、多くのユーザが特定の個人情報に不正にアクセスしている疑いがある。

また、図１５によれば、二点鎖線で示すように８日から９日にかけて、特定の患者の検査画像が３回または４回以上と多数回表示されていることが分かる。従って、特定のユーザが不正にあるいは過剰に患者の個人情報にアクセスしている疑いがある。このように、検査画像の表示回数に閾値を設定することもできる。

そして、不正アクセス検出部１０は、不正アクセスの有無、回数、頻度等の不正アクセスの検出結果を表示させるための画像情報を作成する。不正アクセスの検出結果の表示方法としては、例えば、文章としてテキスト形式で検出結果を表示させる方法の他、カラーにより特定の部分を強調表示する方法や、図１３、図１４、図１５に示すように図形や記号により表示させる方法が挙げられる。

次に、ステップＳ９において、グラフ作成部９は、グラフを画像情報として表示装置３に与える。

また、ステップＳ１０において、不正アクセス検出部１０は、不正アクセスの検出結果を表示させるための画像情報を表示装置３に与える。

次に、ステップＳ１１において、表示装置３は、グラフ作成部９および不正アクセス検出部１０から受けた画像情報を用いて、グラフおよび不正アクセスの検出結果を表示させる。この結果、図９、図１０、図１１、図１２に示すようなグラフが表示装置３に表示される。さらに、不正アクセス検出部１０が不正アクセスの検出結果として枠を表示させる場合には、図１３、図１４、図１５に示すようにグラフとともに不正アクセスの検出結果が表示される。

このため、セキュリティ・アドミニストレータは、表示装置３に表示されたグラフおよび不正アクセスの検出結果から不正アクセスの有無、回数、頻度等の情報を容易に確認することができる。

つまり、以上のような医用装置１および不正アクセス監査システム６は、医用装置１に保持されている個人情報を保護するために、監査ログを取得して分析することにより、緊急ユーザの利用状況、特定個人情報へのアクセス状況をグラフとして表示することことができるようにしたものである。

このように医用装置１および不正アクセス監査システム６を構成することで、個人情報に対する医用分野に特有の不正アクセスの有無を容易に確認して監査することが可能となる。

尚、解析結果情報作成部としてグラフを作成するグラフ作成部９を医用装置１ないし不正アクセス監査システム６に設けたが、グラフに限らず表形式や数値等のように任意の形式で監査ログの解析結果を表示するための情報を作成し、表示装置３で表示させてもよい。

また、不正アクセス監査システム６の一部の機能を省略してもよい。例えば、不正アクセス検出部１０を省略して、グラフのみ表示装置３に表示させ、ユーザがグラフから不正アクセスの有無を判断するように構成してもよい。

ところで、以上のような不正アクセス監査システム６は、様々なシステムや機器に搭載することが可能である。そこで、不正アクセス監査システム６の構成例を列挙する。尚、不正アクセス監査システム６は、以下に示す構成例以外の構成をとることも可能である。

図１６は本発明に係る医用装置および不正アクセス監査システムの第２の実施形態を示す機能ブロック図である。

図１６に示された、医用装置１Ａおよび不正アクセス監査システム６Ａでは、医用装置１Ａがネットワークを介して監査ログを一括管理するレポジトリ２０、例えばｓｙｓｌｏｇサーバと接続される一方、不正アクセス監査システム６Ａをレポジトリ２０の一機能として設けた構成が図１に示す医用装置１および不正アクセス監査システム６と相違する。他の構成および作用については図１に示す医用装置１および不正アクセス監査システム６と実質的に異ならないため同様な機能を有する構成については同符号を付して説明を省略する。

医用装置１Ａには、送信部２１が設けられる。送信部２１はネットワークを介してレポジトリ２０と接続され、監査ログデータベース５に保存された監査ログをレポジトリ２０に送信することができる。また、レポジトリ２０には、受信部が監査ログ取得部７として設けられる。そしてレポジトリ２０の監査ログ取得部７により、単一または複数の医用装置１Ａから監査ログがネットワークを介して自動的に取得され、各監査ログはレポジトリ２０において一括管理される。

レポジトリ２０には、不正アクセス監査システム６Ａが設けられる。不正アクセス監査システム６Ａには、図１に示す不正アクセス監査システム６と同様な構成要素に加え、解析結果データベース２２が設けられる。そして、監査ログ解析部８は、監査ログ取得部７から監査ログを受けると、監査ログの取得をトリガとして自動的に監査ログの解析を行い、解析結果を解析結果データベース２２に書き込むように構成される。

そして、不正アクセス監査システム６Ａでは、レポジトリ２０の入力装置２からグラフ作成部９および不正アクセス検出部１０にグラフの作成指示および不正アクセスの検出指示が入力された場合に、グラフ作成部９および不正アクセス検出部１０が入力装置２からの指示をトリガとして解析結果データベース２２から監査ログの解析結果を取得して、グラフの作成および不正アクセスの検出を行う。

図１７は本発明に係る医用装置および不正アクセス監査システムの第３の実施形態を示す機能ブロック図である。

図１７に示された、医用装置１Ｂおよび不正アクセス監査システム６Ｂでは、メディア３０に監査ログを書き込むための記録部３１が医用装置１Ｂに設けられる一方、不正アクセス監査システム６Ｂを例えばセキュリティ・アドミニストレータ等のユーザが利用するＰＣ（ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）３２の一機能として設けた構成が図１に示す医用装置１および不正アクセス監査システム６と相違する。他の構成および作用については図１に示す医用装置１および不正アクセス監査システム６と実質的に異ならないため同様な機能を有する構成については同符号を付して説明を省略する。

医用装置１Ｂの監査ログデータベース５に記録された監査ログは、記録部３１によりメディア３０に書き込むことができる。このため、セキュリティ・アドミニストレータ等のユーザは、監査に先立って医用装置１Ｂの監査ログをメディア３０に記録する。そして、監査の際にはＰＣ３２の入力装置２を操作し、不正アクセス監査システム６Ｂに読出部として設けられた監査ログ取得部７を用いて監査ログをＰＣ３２に入力する。

次に、入力装置２からの指示により、監査ログは監査ログ取得部７から監査ログ解析に与えられ、図１に示す不正アクセス監査システム６と同様な流れにより監査ログの解析、グラフの作成、不正アクセスの検出、グラフおよび不正アクセスの検出結果の表示が行われる。

図１８は本発明に係る医用装置および不正アクセス監査システムの第４の実施形態を示す機能ブロック図である。

図１８に示された、医用装置１Ｃおよび不正アクセス監査システム６Ｃでは、不正アクセス監査システム６Ｃを独立したシステムとし、医用装置１Ｃと不正アクセス監査システム６Ｃとの間で様々な手法で情報伝達が行えるようにした点が図１に示す医用装置１および不正アクセス監査システム６と相違する。他の構成および作用については図１に示す医用装置１および不正アクセス監査システム６と実質的に異ならないため同様な機能を有する構成については同符号を付して説明を省略する。

医用装置１Ｃ、不正アクセス監査システム６Ｃおよびレポジトリ２０はネットワークを介して互いに接続される。医用装置１Ｃには、送信部２１および記録部３１が設けられる。医用装置１Ｃの送信部２１は、ネットワークを介してレポジトリ２０および不正アクセス監査システム６Ｃと接続される。そして、送信部２１により、監査ログデータベース５に保存された監査ログをレポジトリ２０や不正アクセス監査システム６ＣにＦＴＰ（File Transfer Protocol）、ＨＴＴＰ（Hyper Text Transfer Protocol）、ＤＩＣＯＭ（digital imaging and communications in medicine）等の通信プロトコルを利用して送信することができる。

また、医用装置１Ｃの記録部３１は、監査ログデータベース５に保存された監査ログをメディア３０に書き込むことができる。

不正アクセス監査システム６Ｃの監査ログ取得部７には、読出部７ａと受信部７ｂとが設けられ、メディア３０から読出部７ａにより監査ログを取得することができる。また、受信部７ｂによりレポジトリ２０や医用装置１Ｃの送信部２１からネットワークを介して監査ログを受信することができる。

そして、不正アクセス監査システム６Ｃにおいて、入力装置２からの指示により、図１に示す不正アクセス監査システム６と同様な流れにより監査ログの解析、グラフの作成、不正アクセスの検出、グラフおよび不正アクセスの検出結果の表示が行われる。

図１９は本発明に係る医用装置および不正アクセス監査システムの第５の実施形態を示す機能ブロック図である。

図１９に示された、医用装置１Ｄおよび不正アクセス監査システム６Ｄでは、不正アクセス監査システム６Ｃを独立したシステムとし、医用装置１Ｃと不正アクセス監査システム６Ｃとをネットワークにより情報伝達が行えるようにした点並びに不正アクセス監査システム６Ｄの動作トリガが図１に示す医用装置１および不正アクセス監査システム６と相違する。他の構成および作用については図１に示す医用装置１および不正アクセス監査システム６と実質的に異ならないため同様な機能を有する構成については同符号を付して説明を省略する。

医用装置１Ｃの監査ログデータベース５に保存された監査ログは送信部２１からネットワークを介して、不正アクセス監査システム６Ｃに受信部として設けられた監査ログ取得部７に送信することができる。監査ログは、例えば定期的に医用装置１Ｄの送信部２１から不正アクセス監査システム６Ｃの監査ログ取得部７に送信され、監査ログ取得部７において受信された監査ログは自動的に監査ログ解析部８に与えられる。

監査ログ解析部８は、監査ログ取得部７から監査ログを受けると自動的に監査ログの解析を行う。不正アクセス監査システム６Ｃには、解析結果データベース２２が設けられ、監査ログ解析部８は、監査ログの解析結果を解析結果データベース２２に書き込んで保存する。

そして、セキュリティ・アドミニストレータ等のユーザが入力装置２から、グラフ作成部９および不正アクセス検出部１０にグラフの作成指示および不正アクセスの検出指示が入力された場合に、グラフ作成部９および不正アクセス検出部１０が入力装置２からの指示をトリガとして解析結果データベース２２から監査ログの解析結果を取得して、グラフの作成および不正アクセスの検出を行う。

このように、医用装置１Ｄにおいて監査ログが生成され、不正アクセス監査システム６Ｃが監査ログを取得した時点で予め監査ログの解析を行い、監査ログの解析結果を解析結果データベース２２に保存しておいてもよい。

以上のような各種不正アクセス監査システム６、６Ａ、６Ｂ、６Ｃ、６Ｄのようなシステム構成の他、Ｗｅｂサービスとして実現することもできる。

次に、不正アクセス監査システム６に他の機能を付加した構成例について説明する。

図２０は本発明に係る医用装置および不正アクセス監査システムの第６の実施形態を示す機能ブロック図である。

図２０に示された、医用装置１Ｅおよび不正アクセス監査システム６Ｅでは、医用装置１Ｅに画像管理情報データベース４０および検査オーダ情報データベース４１が設けられる点および不正アクセス監査システム６Ｅの詳細機能が図１に示す医用装置１および不正アクセス監査システム６と相違する。他の構成および作用については図１に示す医用装置１および不正アクセス監査システム６と実質的に異ならないため同様な機能を有する構成については同符号を付して説明を省略する。

医用装置１Ｅには、画像管理情報データベース４０および検査オーダ情報データベース４１が設けられる。画像管理情報データベース４０には、監査ログに含まれるアクション対象情報であるＳｔｕｄｙ ＵＩＤと患者の識別情報とを関連付けた画像管理情報が保存される一方、検査オーダ情報データベース４１には、患者ごとの検査の予約を管理する検査オーダ情報が保存される。検査オーダ情報では、Ｓｔｕｄｙ ＵＩＤと患者の識別情報とが関連付けられている。

そして、不正アクセス監査システム６Ｅの監査ログ解析部８は、監査ログを解析する際に、画像管理情報データベース４０に保存された画像管理情報および検査オーダ情報データベース４１に保存された検査オーダ情報のうち任意の情報を参照して患者を特定する。つまり、監査ログの解析により患者を特定して集計する必要がある場合に、監査ログに直接患者を特定する情報が含まれていれば容易に集計を行うことができるが、検査の識別情報であるＳｔｕｄｙ ＵＩＤ等のような患者を特定するための間接的な情報しか含まれていない場合には、患者を特定することが困難である。

図２１は、監査ログ解析部８による解析対象となる監査ログに、患者を直接特定するための情報が含まれていない場合の例を示す図である。

図２１に示す監査ログでは、検査画像表示というイベントのアクション対象情報としてＳｔｕｄｙ ＵＩＤが記録されている。このため、監査ログから表示された検査画像がどの患者のものであるかを直接特定することができない。

そこで、このような場合には、監査ログ解析部８が画像管理情報データベース４０に保存された画像管理情報および検査オーダ情報データベース４１に保存された検査オーダ情報を参照して患者を特定する。

図２２は、図２０に示す画像管理情報データベース４０に保存された画像管理情報の一例を示す図である。

図２２に示すように、画像管理情報データベース４０にはＳｔｕｄｙ ＵＩＤと患者の識別情報とが関連付けられて、画像管理情報として保存されている。図２２の例では、Ｓｔｕｄｙ ＵＩＤが「１．２．３５．６８７．３」に対応する患者は「ＡＡＡＡＡ」であることが分かる。

図２３は、図２０に示す検査オーダ情報データベース４１に保存された検査オーダ情報の一例を示す図である。

図２３に示すように、検査オーダ情報データベース４１には、検査の予約情報として予約日、患者識別情報およびＳｔｕｄｙ ＵＩＤが関連付けられた検査オーダ情報が保存されている。図２３の例からも、Ｓｔｕｄｙ ＵＩＤが「１．２．３５．６８７．３」に対応する患者は「ＡＡＡＡＡ」であることが分かる。

このように、監査ログ解析部８が画像管理情報データベース４０に保存された画像管理情報および検査オーダ情報データベース４１に保存された検査オーダ情報を参照すれば、監査ログに患者を直接特定する情報が含まれていない場合であっても患者を特定することが可能となる。さらに、監査ログに含まれる情報と患者の識別情報とが関連付けられた情報であれば、検査オーダ情報や画像管理情報に限らずに、監査ログ解析部８が他の情報を参照できるようにしてもよい。

尚、以上のような各実施形態における医用装置１、１Ａ、１Ｂ、１Ｃ、１Ｄ、１Ｅや不正アクセス監査システム６、６Ａ、６Ｂ、６Ｃ、６Ｄ、６Ｅを互いに組み合わせて構成したり、一部の機能を省略して構成してもよい。

本発明に係る医用装置および不正アクセス監査システムの第１の実施形態を示す機能ブロック図。 図１に示す監査ログデータベースに保存される監査ログの一例を示す図。 図１に示す医用装置および不正アクセス監査システムにより、監査ログを取得してグラフを出力することによって、不正アクセスの有無の監査の支援を行う際の流れを示すシーケンス図。 図１に示す不正アクセス監査システムの監査ログ取得部により取得された監査ログの一例を示す図。 図１に示す不正アクセス監査システムの監査ログ解析部により得られたユーザ別のログオン回数の集計結果の一例を示す図。 図１に示す不正アクセス監査システムの監査ログ解析部により得られたユーザ別のログオン時間の集計結果の一例を示す図。 図１に示す不正アクセス監査システムの監査ログ解析部により得られたユーザ別の検査画像の表示回数の集計結果の一例を示す図。 図１に示す不正アクセス監査システムの監査ログ解析部により得られた、患者別の各ユーザの検査画像の表示回数を集計して得られた結果の一例を示す図。 図１に示す不正アクセス監査システムのグラフ作成部により作成された緊急ユーザの日毎のログオン回数を示すグラフの一例を示す図。 図１に示す不正アクセス監査システムのグラフ作成部により作成された緊急ユーザの日毎のログオン時間を示すグラフの一例を示す図。 図１に示す不正アクセス監査システムのグラフ作成部により作成された緊急ユーザの日毎の検査画像の表示回数を示すグラフの一例を示す図。 図１に示す不正アクセス監査システムのグラフ作成部により作成された特定の患者の個人情報への日毎のアクセス状況を示すグラフの一例を示す図。 図１に示す不正アクセス監査システムの不正アクセス検出部により、ログオン回数の集計結果に基づいて検出された不正アクセスの結果の例を示す図。 図１に示す不正アクセス監査システムの不正アクセス検出部により、検査画像の表示回数の集計結果に基づいて検出された不正アクセスの結果の例を示す図。 図１に示す不正アクセス監査システムの不正アクセス検出部により、特定の患者の個人情報への日毎のアクセス状況の集計結果に基づいて検出された不正アクセスの結果の例を示す図。 本発明に係る医用装置および不正アクセス監査システムの第２の実施形態を示す機能ブロック図。 本発明に係る医用装置および不正アクセス監査システムの第３の実施形態を示す機能ブロック図。 本発明に係る医用装置および不正アクセス監査システムの第４の実施形態を示す機能ブロック図。 本発明に係る医用装置および不正アクセス監査システムの第５の実施形態を示す機能ブロック図。 本発明に係る医用装置および不正アクセス監査システムの第６の実施形態を示す機能ブロック図。 監査ログ解析部による解析対象となる監査ログに、患者を直接特定するための情報が含まれていない場合の例を示す図。 図２０に示す画像管理情報データベースに保存された画像管理情報の一例を示す図。 図２０に示す検査オーダ情報データベースに保存された検査オーダ情報の一例を示す図。

符号の説明

１、１Ａ、１Ｂ、１Ｃ、１Ｄ、１Ｅ 医用装置
２ 入力装置
３ 表示装置
４ 監査ログ記録部
５ 監査ログデータベース（ＤＢ）
６、６Ａ、６Ｂ、６Ｃ、６Ｄ、６Ｅ 不正アクセス監査システム
７ 監査ログ取得部
７ａ 読出部
７ｂ 受信部
８ 監査ログ解析部
９ グラフ作成部
１０ 不正アクセス検出部
２０ レポジトリ
２１ 送信部
２２ 解析結果データベース（ＤＢ）
３０ メディア
３１ 記録部
３２ ＰＣ（ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）
４０ 画像管理情報データベース
４１ 検査オーダ情報データベース

Claims (9)

1. 医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、
   前記監査ログ取得部により取得された前記監査ログを解析し、所望の対象を集計することにより解析結果を得る監査ログ解析部と、
   前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部と、
   を有することを特徴とする不正アクセス監査システム。
2. 医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、
   前記監査ログ取得部により取得された前記監査ログを解析し、前記医用装置および前記医用情報システムの少なくとも一方へのログイン権限を付与するためのユーザ登録がなされていない緊急ユーザのログインの回数、ログイン時間およびログイン中に検査画像を参照した回数の少なくとも１つを集計することにより解析結果を得る監査ログ解析部と、
   前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部と、
   を有することを特徴とする不正アクセス監査システム。
3. 医用装置および医用情報システムの少なくとも一方に保存された監査ログを取得する監査ログ取得部と、
   前記監査ログ取得部により取得された前記監査ログを解析し、患者ごとの検査画像を表示させた回数別に前記医用装置および前記医用情報システムの少なくとも一方のユーザの数を集計することにより解析結果を得る監査ログ解析部と、
   前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部と、
   を有することを特徴とする不正アクセス監査システム。
4. 前記解析結果情報作成部は、前記解析結果をグラフとして表示装置に表示させるための画像情報を作成するグラフ作成部を備えることを特徴とする請求項１ないし３のいずれか１項に記載の不正アクセス監査システム。
5. 前記監査ログ解析部は、前記監査ログに含まれる情報と患者の識別情報とを関連付けた情報を参照することにより、患者ごとに所望の対象を集計するように構成したことを特徴とする請求項１ないし３のいずれか１項に記載の不正アクセス監査システム。
6. 前記監査ログ解析部により得られた前記解析結果から不正アクセスとみなされる条件に従って、不正アクセスの有無、回数および頻度の少なくとも１つを求め、求めた結果を不正アクセス検出結果として表示装置に表示させるための画像情報を作成する不正アクセス検出部を設けたことを特徴とする請求項１ないし３のいずれか１項に記載の不正アクセス監査システム。
7. 監査ログを作成して記録する医用装置において、
   前記監査ログを取得する監査ログ取得部と、
   前記監査ログ取得部により取得された前記監査ログを解析し、所望の対象を集計することにより解析結果を得る監査ログ解析部と、
   前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部と、
   を有することを特徴とする医用装置。
8. 監査ログを作成して記録する医用装置において、
   前記監査ログを取得する監査ログ取得部と、
   前記監査ログ取得部により取得された前記監査ログを解析し、前記医用装置および前記医用情報システムの少なくとも一方へのログイン権限を付与するためのユーザ登録がなされていない緊急ユーザのログインの回数、ログイン時間およびログイン中に検査画像を参照した回数の少なくとも１つを集計することにより解析結果を得る監査ログ解析部と、
   前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部と、
   を有することを特徴とする医用装置。
9. 監査ログを作成して記録する医用装置において、
   前記監査ログを取得する監査ログ取得部と、
   前記監査ログ取得部により取得された前記監査ログを解析し、患者ごとの検査画像を表示させた回数別に前記医用装置および前記医用情報システムの少なくとも一方のユーザの数を集計することにより解析結果を得る監査ログ解析部と、
   前記監査ログ解析部により得られた前記解析結果を表示装置に表示させるための解析結果情報を作成する解析結果情報作成部と、
   を有することを特徴とする医用装置。

Images