１．なぜ医療サイトにセキュリティが重要なのか
パソコン苦手な院長普通の企業サイトと何が違うのでしょうか？SSLだけで十分では？
ぱそあん医療サイトは「健康情報」や「来院履歴」など、個人を特定しやすい情報を扱います。
万が一の漏えいは、医院の信頼を失うだけでなく、法的責任や行政指導にもつながる可能性があります。
だからこそ、SSLだけでなく運用体制の継続的な安全管理が欠かせません。
- 通信の安全（SSL/TLS証明書・HTTPS設定）
- フォームの安全（スパム防止・暗号化・同意文）
- システムの安全（WordPress更新・プラグイン管理）
- 運用の安全（権限・バックアップ・端末セキュリティ）
２．SSL設定の確認と更新チェック
SSL（Secure Sockets Layer）は、患者様とサイトの通信を暗号化し、第三者によるデータ盗聴や改ざんを防ぎます。
ただ導入して終わりではなく、有効期限・自動更新・リダイレクト設定まで確認する必要があります。
| 確認項目 | 方法 | 頻度 |
|---|---|---|
| 有効期限 | URL横の鍵マーク→証明書情報で確認 | 年１回 |
| 自動更新 | Let’s Encrypt／サーバー設定で確認 | 導入時・更新時 |
| HTTPSリダイレクト | .htaccess または サーバーパネル設定 | 初回設定時 |
| 混在コンテンツ | Chrome開発ツール（警告「保護されていません」） | 公開後に随時 |
３．フォーム送信の保護と同意文の表記
パソコン苦手な院長お問い合わせフォームもSSLで守られているはずですが、それだけで大丈夫ですか？
ぱそあんSSLは通信経路の保護に過ぎません。
フォーム自体にはスパム防止・同意文・送信ログ管理の３点を必ず設定しましょう。
特に医療機関では「送信＝個人情報提供」であるため、明示的な同意取得が必要です。
- ・reCAPTCHAまたはhoneypotを設置（スパム対策）
- ・同意チェックボックス「プライバシーポリシーに同意する」を必須化
- ・送信データをメールとDBで二重管理（削除期限を明記）
- ・自動返信メールに医院名・問い合わせ日時を記載
- ・誤送信防止の「確認画面」を設置
４．WordPressの脆弱性対策と更新ルール
WordPressは世界中で利用されているCMSのため、攻撃対象にもなりやすいのが現実です。
更新を怠ると、古いテーマやプラグインを経由して不正アクセスされるリスクがあります。
「セキュリティ対策＝常に最新状態」と心得ましょう。
- ・WordPress本体は最新安定版を維持（半年に１度の確認）
- ・不要なテーマ・プラグインは削除
- ・ユーザー名は「admin」を使わない
- ・ログイン試行制限（プラグイン例：Limit Login Attempts）
- ・ログインURL変更（例：/wp-admin → /clinic-login）
- ・定期バックアップを自動化（毎日DB／毎週ファイル）
５．バックアップと復旧体制を整える
「万が一」は必ず起こります。誤更新・マルウェア・サーバー障害など、想定外の事態に備えてバックアップの自動化を最初に行いましょう。
WordPressプラグイン（例：UpdraftPlus, BackWPup）やサーバー自動バックアップを併用するのが理想です。
| バックアップ対象 | 頻度 | 保存先 |
|---|---|---|
| データベース（投稿・設定） | 毎日 | クラウド（Google Drive／Dropbox） |
| メディアファイル（画像・PDF） | 週１回 | サーバー／外部ストレージ |
| テーマ・プラグイン構成 | 更新時 | ZIP保存＋Git履歴 |
６．スタッフ権限とパスワード管理
パソコン苦手な院長スタッフにも編集を任せたいのですが、セキュリティが心配です。
ぱそあん「誰でも編集できる」は最大のリスクです。
必ず役割に応じた権限設定を行い、不要な権限を外します。
さらに、パスワードは２段階認証＋定期変更を習慣化しましょう。
- ・寄稿者（下書き作成）／編集者（公開）／管理者（技術設定）に分離
- ・院長・管理者以外はプラグイン編集不可
- ・２段階認証を導入（Google Authenticator推奨）
- ・共通アカウントは禁止（個別ログイン必須）
- ・退職者アカウントは即日削除
７．セキュリティプラグインと監査ログの活用
WordPressにはセキュリティを補強するプラグインが多数あります。
代表的なものを導入し、監査ログ（誰がいつ何をしたか）を記録しておくと、万一の原因追跡が容易になります。
| プラグイン | 機能 | 備考 |
|---|---|---|
| Wordfence | 総合防御・不正アクセス検知 | 医療サイトでも安定運用 |
| iThemes Security | ログイン制限・２段階認証 | UIが分かりやすい |
| WP Activity Log | 操作履歴を自動記録 | 内部監査にも有効 |
８．個人情報と法的表示の整備
SSLや更新だけでなく、サイト上の「法的整備」もセキュリティの一部です。
プライバシーポリシー・免責事項・Cookie通知など、訪問者への説明責任を果たす文面を整備しておきましょう。
- ・プライバシーポリシー（個人情報の利用目的・保管期間）
- ・免責事項（医療情報の一般性・診断代替ではない旨）
- ・Cookie使用通知（アクセス解析ツール利用を明示）
- ・お問い合わせフォーム下部の同意文（明確なリンク）
９．ぱそあんのまとめ
- SSLは導入だけでなく更新・混在対策まで確認
- フォーム送信にはスパム防止＋同意取得をセットに
- WordPressは常に最新状態を維持し、権限を最小化
- バックアップと監査ログで万一の復旧と追跡を容易に
- 法的表示とプライバシーポリシーで安心と信頼を補強
次回シリーズ予告（２４：お知らせ更新をSEOで活かす運用法）
次回は、医院ブログや「お知らせ更新」をSEOに活かす方法を解説。
「投稿の仕方」で差がつく検索評価の仕組みと、患者様に伝わる更新台本を紹介します。
