安全性と柔軟性を備えたリモート保守接続環境の運用管理
長瀬祥子 1), 中村直毅 2), 白川宣行 1) , 小川諭 1) , 齊藤智 1) , 木下賢吾 3)1) 東北大学 東北メディカル・メガバンク機構
2) 東北大学病院
3) 東北大学 情報科学研究科
nagase@med.tohoku.ac.jp

Operation and management of a network infrastructure for secure andflexible remote maintenance.
Sachiko Nagase 1), Naoki Nakamura 2), Nobuyuki Shirakawa 1), Satoru Ogawa1), Tomo Saito1),
Kengo Kinoshita3)
1) Tohoku Medical Megabank Organization, Tohoku Univ.
2) Tohoku University Hospital3) Graduate School of Information Sciences, Tohoku Univ.
概要
東北メディカル・メガバンク機構では、個人情報や解析情報を扱うため安全性を重視したネットワークを管理している。このネットワークに接続した実験機器やサーバ等の保守のため、安全性と柔軟性を備えたリモート保守接続環境を構築し運用管理をしてきた。この発表では、これまでの運用管理状況について報告する。また、これまでの課題をまとめ、今後の運用と更改に役立てたい。

1 はじめに
東北メディカル・メガバンク機構（ToMMo）では、医療情報とゲノム情報を複合させたバイオバンクを構築しており、システムごとに異なる機密性が必要とされる個人情報や解析情報を扱っている。そこで、セキュリティポリシーの異なる複数の firewall （以下、fw）を組み合わせることで、同じ fw 内の通信や異なる fw 間の通信、クライアントからの通信をきめ細かに設定できるように
Virtual LAN （以下、VLAN）を用いてネットワークを構築した[1]。一方、各 fw 内の VLAN に接続

2

リモート保守接続環境された機器を遠隔保守するため、機器の担当者のみが対象機器に接続できるリモート接続環境も構

2.1 リモート接続の制御概要

築した[2]。この環境では、安全性の高い認証を経このリモート接続環境では、ハードウェア・トて ToMMo 内の限定された VLAN にのみ接続するークンが生成するワンタイムパスワード（Oneことができ、監査証跡のために「いつ誰がどこかTime Password）と PIN コードの組み合わせで認証らどこへ通信しているか」が通信ログとして記録

す る 方 式 で イン タ ー ネット か ら Virtual Private

されるようにリモート接続を構築している。本稿

Network へ接続する（以下 OTP-VPN と呼ぶ）。

では、このリモート保守接続環境について、これOTP-VPN では、ユーザ１名ごとに１アカウントをまでの運用管理状況について報告する。

発行し、RSA SecurID ハードトークン SID 700（以下、トークン）のシリアル番号をアカウントに紐づけてユーザに提供する。ユーザは、ToMMo の293

VPN ルータへのリモート接続の設定を埋め込んだ

ト接続を希望する場合は、保守業者と ToMMo のク ラ イ ア ン ト ソ フ ト Cisco AnyConnect Secure

間で有効期間と遵守事項、秘密保持、責任体制をMobility Client（以下、AnyConnect）とトークンを受領し、PIN コード（4～8 桁の英数字によるパスワード）を設定するとリモート接続が可能となる。

含む覚書（案）も提出する。この内容を小委員会で審議し承認された場合には、覚書の締結を事務

ユーザは、アカウントと初回接続時に設定するで処理する。同時にネットワーク管理者は、リモPIN コードとトークンが 1 分毎に生成するワンタート保守接続ができるようにユーザとグループをイムパスワード（6 桁の数字）を用いることによ作成し、ネットワークやサーバを設定する。有効って、インターネットから ToMMo のネットワー

期間は毎年度末とし、年度毎に再申請による更新

クに IPsec（IKEv2）による VPN 接続ができる（図1）。VPN 接続時には、グループごとに 29～24bit
マスクの IP アドレス帯を割り当て、OTP-VPN 専手続きを実施している。

3 運用用の fw（図 1 の otp-fw）のルールを設定すること
で対象機器の IP アドレスとポートのみにアクセ3.1 リモート保守接続申請状況スできる。その際、ユーザ間の通信はできないよ2016 年度から 14 件の新規のリモート接続の申

うに VPN ルータで制御しセキュリティを担保し請があり、年度更新を含むと延べ 61 申請があった。ている。

このうち 2 件は、OTP-VPN 接続を試したが、保守2.2 リモート保守接続申請

業者で導入しているリモート接続ツールでないとToMMo に設置されている機器に対して学外か保守が難しいとの申し出があり、ホワイトリストらのリモート保守接続が必要な場合、下記を遵守で運用した。また 1 件は、保守業者の固定 IP とのできる場合に限ってトークンを提供している。

みインターネット VPN の接続ができるように調✓アカウントの使い回しをしないこと。

整した。その結果、OTP-VPN による接続では、11✓トークンの管理に責任を持つこと。

パターンの fw のルールと各種サーバの設定を行✓

ToMMo と交わした覚書の遵守事項に同意い、ToMMo の担当者ごとに 9 グループに分けて運すること。

用した。

実際の手続きでは、機器が設置されている部門の責任者が、ToMMo の該当するネットワークの3.2 リモート保守接続利用状況
2016 年 4 月から現在まで各月のリモート接続のアクセス数と利用者数の推移状況を図 2 に示す。

情報管理セキュリティ小委員会へリモート保守接

１ヶ月当たり最大接続数は、約 250 回であり、2016続申請書を提出する。保守業者が学外からリモー

年 4 月に 3 グループで運用が始まってから最大 9294

グループとなり、2022 年 9 月現在は 5 グループで費用も保守契約に含まれていた。また、海外で勤運用している。新しい機器やシステムの導入時に務している保守人員にトークンを配布し安全に管新規申請があり、構築期間には多くのアクセスが理するように調整することは困難であった。そのあるが、運用期間に入るとアクセス数が減少するため、本来であれば、統一したリモート接続方式場合が多い。システム更改があると再びアクセスを採用するのが望ましいが、業者が希望する商用数が増加する傾向がある。新型コロナ対策によるのリモート接続管理ソフトウェアを条件付きで許移動制限が始まった 2020 年春頃には、ユーザのア容することにした。

クセス回数が例年よりも多少増加したが、リモー

リモート接続管理ソフトウェアを利用するには、ト接続環境が整っていたことで、機器の保守に大当該機器からインターネット上のリモート接続管きな混乱を生じることなく事業を継続することが理ソフトウェアのサーバ向きの通信をホワイトリできた。

ストで許可する必要があるとともに、通信ログか2018 年より ToMMo の担当者に OTP-VPN 制御の権限移譲するため、次の権限を付与した。

らは、機器の遠隔操作の詳細を把握することはできない。そのため、リモート接続時に安全上の問➢ アカウントの開閉題やインシデントが生じた際に、ToMMo の VLAN

➢ アカウントのロック解除に影響が及ばないような考慮をするとともに、万➢ PIN コードのクリアが一の際には業者が責任を負うよう妥協点を図っ➢ トークンの時刻同期た。

これにより、リモート接続時のトラブル対応をグループ内で迅速かつ円滑に行えるようになった。

【ホワイトリストで許可した例】
ToMMo の担当者が、踏み台となるサーバを別VLAN に用意し、その踏み台サーバ経由でリモー

4 課題と考察

ト接続を許可し、このアクセス履歴を監視することにした。

4.1 リモート接続の要件の調整に際しての課題
ToMMo の機器への OTP-VPN 接続は、4 箇所の【インターネット VPN で許可した例】

fw に設置された機器に対して 9 グループで実際にリモート保守接続元と ToMMo の 2 地点間のみ運用してきた。このように複数の fw への通信が必のインターネット VPN 接続環境を用意するため要になっても柔軟に対応できることを見据えて専用の VPN-IPsec 対応機器を設置し、この接続環

OTP-VPN の接続環境を構築し、様々なリモート接境用の VLAN を保守対象機器の設置場所に伸ばし続の要望に応えることができた。要件を満たし使た。ToMMo の担当者は、機器の遠隔保守メンテナ用を許可した 9 グループの内訳は、次の通りであンスが必要な時に、ToMMo の VLAN からインタる（表 1）。

ーネット VPN 用の VLAN に LAN ポートの接続を変更する。メンテナンスが完了したら ToMMo の

表 1. グループの内訳
fw（図 1） グループ（図 2） グループ数

VLAN に戻すという運用をしている。切替日時は、

A-fw
B-fw
C-fw
D-fw

51
12

VLAN を設定しているネットワークスイッチのポ9ークンを購入した。4 年目頃から電池の残容量がa1, a2, a3, a4, a5
b1
c1
d1, d2

総計ートのダウンアップで記録している。
4.2 トークンの利用に際しての課題
OTP-VPN 導入の際には、有効期限が 5 年間のト減るにつれて、トークンの時刻がずれて接続できこのうち D-fw の 2 グループは、当初想定してない障害が発生した。トークンの時刻同期もグルいなかった Web サーバや DB サーバの保守用途のープごとに実施できるようにしていたため、利用要望に対応した（図 1: D-fw）。OTP-VPN 接続後に、者側の対応で調整することができ、原因が分かっ

Web サーバと DB サーバ宛の ssh 通信できるようてからは大きな問題にはならなかった。また 2019な環境を提供している。

年に有効期限切れに伴い、トークンの更新を実施

一方、海外メーカーの大規模な機器やシステムした。年度更新の手続きに合わせて、旧トークン

では、海外から不特定多数の保守人員によるリモを回収し新トークンを配布するという流れをグルート保守が必要となっており、そのリモート接続ープごとに実施し、切り替えはスムーズに完了し295た。ハードウェア・トークンを利用する場合には、導入後にこのような手間も考慮する必要がある。
4.3 データの持ち出し・持ち込みに際しての課題

時点では特にインシデントは発生していない。

5 まとめ

リモート接続の際のリスクには、データの持ち

本稿では、リモート保守接続環境の運用状況に出しやマルウェアなどに感染した危険なファイルついて報告した。OTP-VPN のリモート接続環境はの持ち込みがある。覚書の遵守事項では規定して本格運用から約 7 年が経過し、提供中のトークンいるものの意図せずにインシデントが発生する可の有効期限は 2024 年までである。

能性がある。

現在は、スマートフォンの普及もあり、ハード

そこで 2018 年度以降は、リモートデスクトップウェアを用いたワンタイムパスワード認証以外に接続用に Windows OS の仮想端末を用意し、そのもソフトウェアトークンや生体認証など多様な認仮想端末を踏み台にして保守対象機器に接続でき証方式の選択肢も増えている。保守業者のリモーる環境を整備した（図 3）。Windows OS でデバイ

ト接続という用途では、ハードウェアを用いたトスを制御し、ToMMo の VLAN からのデータの出ークンは、個人のスマートフォンに頼らずに利用し入れは FTP サーバ経由のみに限定した（図 3 破でき、固有のパスワード（PIN コード）とワンタ線矢印）。FTP サーバでは、ウィルスチェックのリイムパスワードの二要素で認証でき、所有物認証アルタイムスキャンを有効にし、必要に応じてフにもなるというメリットがある。

ァイルのアップロードとダウンロードを有効に設

本来、ToMMo へのリモート接続は、ToMMo で定する。一度アップロードしたファイルの削除は準備した OTP-VPN 接続に統一して運用できれば禁止し、アップロード後１週間経過したファイル理想的であった。しかし、実際には、保守対象機は、圧縮して保管用ディレクトリに移動するよう器や保守契約内容は多岐に渡り、機器の新規導入にスクリプトで処理した。

や更改の時期も異なる。そのため、ToMMo の担当者にリモート保守接続申請の準備を速やかに実施してもらうことで要望を把握し、ToMMo のネットワークへのリスクが最小限になるよう案件ごとの対応を行ってきた。
今後は、リモート保守接続申請の状況を踏まえてより利便性が高く安全に接続できるリモート環境を検討していきたい。

参考文献

その結果、リモート接続先から FTP サーバ経由で持ち込まれたデータと持ち出されたデータの累計を図 4 に示す。１年に１回程度、大きなファイルのやり取りが多い時期があり、システムのアップデートなどの対応の様子が判る。また約４年間
で 2.7GB 程度のデータの出し入れがあったが、現296[1] Takai-Igarashi T, Kinoshita K, Nagasaki M, et al.
Security controls in an integrated Biobank toprotect privacy in data sharing: rationale andstudy design. BMC Med Inform Decis Mak.
2017;17(1):100. doi:10.1186/s12911-017-0494-5.
[2] 長瀬 祥子, 中村 直毅, 伊藤 和哉, 葭葉 純子, 長田 俊明, 高畑 知香, 鈴木 麻里恵, 鈴木 みどり, 冨永 悌二: 安全性と柔軟性を備えたリモート接続環境の構築. 第 35 回医療情報学連合大会(第 16 回日本医療情報学会学術大会)論文集, 医療情報学 35 (Suppl.), 970～973, 2015.