本人確認は入口ではない、システムの最後の防波堤である

たった一つの確認が、病院を守るのか、壊すのか

「本人確認」と聞くと、多くの人は面倒な手続きだと思う。受付で名前を名乗り、診察券を出し、保険証や身分証を見せる。だが今、本当に問われているのは、そうした確認が手間かどうかではない。その確認が、どこまで現実に耐えられるかである。

一方では、医療機関が患者本人や家族の確認に、診察券とマイナンバーカード、健康保険証、運転免許証などを組み合わせている。もう一方では、全社で使うクラウドサービスに、子会社の一つから盗まれたアカウント情報が入り口になって不正侵入が起きている。前者は身体と書類で人を確かめ、後者はIDとパスワードでシステムを確かめる。対象は違うが、突きつけている問題は同じだ。

本人確認とは、信頼の儀式ではなく、攻撃者のコストをどこまで上げられるかという設計問題である。

---

破られるのは「システム」ではなく、つながり方

セキュリティ事故というと、多くの人は巨大な防壁が一気に崩れるイメージを持つ。だが実際には、壊れるのは単体の仕組みではない。壊れるのは、仕組み同士のつながり方だ。

病院の受付で見ているのは、単なる身分証の提示ではない。診察券、本人確認書類、家族であることの説明、受付時間、窓口担当者の判断、院内ルール。これらが重なって初めて、「この人に情報を渡してよい」という決定になる。つまり医療の本人確認は、単独の証明書を信じるのではなく、複数の弱い証拠を束ねて強さを作るやり方だ。

クラウド侵害でも本質は同じで、最初から巨大な壁を突破されたわけではない。まずどこかの子会社でアカウント情報が盗まれ、その情報が別の場所、別のサービスへと横流しされ、最終的に全社共通の基盤へ到達した。ここで破られたのはパスワードそのものではなく、「一つのIDが、どこまで通用してしまうか」という接続の広さである。

この二つを並べると、重要な発見がある。現代の事故は、だいたい「入口」で起きるのではない。入口が、他の場所まで通ってしまう構造の中で起きる。

セキュリティの本当の境界は、書類の提示やログイン画面ではない。
それらが通したものが、どこまで行けるかで決まる。

---

本人確認の本質は「同一人物か」ではなく「権限を同じにしない」こと

本人確認は、つい「あなたは誰ですか」という問いだと思われがちだ。だが実務で重要なのは、誰かを完全に証明することではない。むしろ、同じ人に見える入力でも、同じ権限を与えない設計にある。

たとえば病院では、家族が代理で来たからといって、何でも見せてよいわけではない。本人の診察情報、家族の診察券、身分証の組み合わせで確認しても、それで無制限の閲覧権が発生するわけではない。受付で認めるのは、あくまで「この手続きの範囲で妥当かどうか」だ。つまり医療現場は、本人確認と権限付与を分けるべきだという直感を、かなり前から実装している。

ITの世界では、この二つが雑に一体化しやすい。ログインできたら全部見られる、1回認証したら全部通る、社内ネットワークに入れたら安全とみなす。こうした発想は便利だが、攻撃者にとっては理想的な環境になる。なぜなら、盗まれた一つの認証情報が、そのまま巨大な権限に変換されるからだ。

ここで役立つのが、本人確認の三段階モデルである。

1. 存在確認: 目の前の人、あるいはアクセス元が実在するか
2. 関連確認: その人が、その申請や操作と関係しているか
3. 権限確認: その操作を、どこまで許可するか

多くの事故は、この三つが混ざることで起きる。存在を確認しただけで、権限まで与えてしまうからだ。医療の現場で言えば、受付で来院者を確認した瞬間に、全カルテへのアクセスを許すようなものだ。そんな運用は誰も採らない。だがITでは、気づかないうちに似たことが行われている。

---

便利さは、境界を消す。だから事故は境界の外で広がる

クラウドとID管理の最大の魅力は、どこからでもつながることだ。出張先でも、自宅でも、別の拠点でも、同じアカウントで同じ仕事ができる。これは生産性の夢でもある。だが同時に、境界を消すことで安全の前提も消してしまう。

昔のオフィスなら、物理的な扉、入退室記録、端末の固定配置が自然な制約として働いた。今日のクラウドは、場所と端末と時間の制約を軽くする。その結果、悪意あるアクセスも同じように軽くなってしまう。盗まれたアカウント情報が一度通れば、別の子会社、別のサーバー、別の業務システムに波及する。これが、現代の侵害が「一箇所の失敗」で終わらない理由だ。

医療機関の本人確認も、同じ便利さの圧力の中にある。患者の待ち時間を減らす、家族対応をスムーズにする、窓口を混雑させない。そのために確認を簡略化したくなる。しかし、簡略化の圧力が強いほど、確認は「早く終わるか」に引っ張られ、「本当に必要か」が抜け落ちる。すると、便利さのための仕組みが、なりすましや誤受け渡しの通路になってしまう。

ここで大切なのは、便利さを敵視しないことだ。便利さは必要だし、完全な不便さは持続しない。問題は、便利さを得る代わりに、何を別の場所で補うかである。病院は書類の組み合わせと受付ルールで補う。ITは多要素認証、端末管理、権限分離、監査ログで補う。つまり、便利さは削ってよいが、境界は削ってはいけない。

事故は、甘い一手から起きるのではない。
境界を消したまま便利さだけを増やしたときに起きる。

---

もっとも危険なのは、信頼を「1回」で済ませること

現代の組織が苦手なのは、相手を信じることではない。信頼を固定化してしまうことである。

一度本人確認が終わったら、その後のやり取りは全部同じ信頼レベルで扱う。最初のログインに成功したら、その端末からの行為は全部安全とみなす。これが危ないのは、攻撃が時間をかけて進むからだ。最初の侵入点が小さくても、そこから内部探索、権限昇格、横展開が起きる。盗まれたアカウント情報は、単独ではただの鍵に見える。だがその鍵が、どの扉にも使えてしまうと、もはや鍵ではなくマスターキーになる。

医療現場の本人確認は、この罠を直感的に避けている。診察券を持っているからといって、毎回すべてが自動化されるわけではない。本人確認書類を見たからといって、家族の受診情報まで何でも許可されるわけでもない。確認は一度で完結する証明ではなく、場面ごとに権限を更新する作業になっている。

この発想は、あらゆる組織に応用できる。たとえば社内システムでも、次のように分けるだけでリスクはかなり下がる。

• ログインできること
• 個人情報を閲覧できること
• 金融情報を扱えること
• 管理者権限を持つこと

この分離が弱いと、攻撃者は一つの証明で全部を狙える。分離が強いと、たとえ一部が破られても、被害は局所化する。セキュリティとは、侵入をゼロにすることではなく、侵入後に全部を持っていかれないことだ。

---

Key Takeaways

1. 本人確認と権限付与を分ける。
   誰かを確認したことと、何を許すかは別問題。最初の認証で全部を開放しない。

2. 「一つ通れば全部通る」構造を点検する。
   アカウント、子会社、クラウド、サーバーの連携が広すぎると、侵害は連鎖する。

3. 確認は一回で終わらせず、場面ごとに見直す。
   医療でもITでも、操作ごと、情報ごとに必要な確認の強さは違う。

4. 便利さを増やすなら、境界を強くする。
   受付の効率化やクラウドの利便性を追うほど、監査、分離、多要素認証、最小権限が重要になる。

5. 事故の原因を「人の注意不足」で終わらせない。
   失敗は個人の怠慢より、過剰につながった設計から起きることが多い。

---

受付カウンターとクラウドのログイン画面は、同じ問いを投げている

病院の窓口で求められるのは、決して古風な儀式ではない。あれは、信頼を雑にしないための最前線だ。診察券だけでは足りず、身分証だけでも足りず、家族かどうかも含めて確認する。その慎重さは、面倒ではなく合理性である。

クラウド時代の組織が学ぶべきなのも、まさにそこだ。誰が入ったかを確認するだけでは不十分で、その人がどこまで行けるかを絞らなければならない。セキュリティの本質は、入口を守ることではなく、入口の先に広がる世界を細かく区切ることにある。

だからこれからの本人確認は、もっと厳しくなるべきなのではない。もっと賢くなるべきなのだ。確認とは、相手を信じ切るためのものではない。信頼を適切な大きさに保つための技術である。

そしてその視点に立ったとき、受付の一枚の書類も、企業の一つのアカウントも、同じことを教えてくれる。問題は「誰かが入った」ことではない。入ったあとに、どこまで行けてしまうかである。