MFAをカルテ利用の前提にいたしますと、認証基盤が止まった時点で、カルテの参照もオーダエントリも止まってしまいます。認証を強くするほど、その基盤自体が新しい弱点になり得る、ということです。
そこで図のとおり、アプリケーション層は2台をロードバランサで分散し、1台が落ちても残りでピーク時をさばける構成といたしました。データベース層は複製の構成とし、認証の設定と監査ログを同期しております。いずれも、多ノード構成のハイパーバイザーの上で動かしています。
冗長化で気を配りましたのがサーバー間の設定の差です。構成管理の自動化により、すべて同じ状態で反映しております。
認証のやり方は、IDとパスワードを打つ形から、パスワードのあとにICカード職員証をかざす二要素認証へと変わりました。
現場で一番心配されましたのは、手間が増えて診療の立ち上がりが遅くなるのではないか、という点です。そこで複数の端末、複数の部署で、延べ50回、n=50として時間を計りました。端末の起動から電子カルテが使えるまでの平均は、導入の前後ともおよそ15秒。差は見られませんでした。操作は一段階増えておりますが、実際の時間の負担は認められません。ただし、この時期にはプロファイル管理の見直しも並行しておりますので、認証以外の要因も含まれます。ここの切り分けは今後の課題です。障害試験では、アプリケーションサーバーを1台止めても認証は続き、利用者側に目立ったエラーは出ませんでした。
ESXiの多ノード化とOmnissa Horizonのインスタントクローンを組み合わせた仮想化基盤では特にこのL7での多要素認証は効果絶大でした。
認証を強くすることと、診療を止めないこと。この二つは、両立できると考えます。
同じ課題をお持ちの施設も、多いのではないでしょうか。本日の内容が、最初の一歩を踏み出す材料になれば幸いです。
