Web予約・Web問診のセキュリティ、クリニックが確認したいこと

Web予約・Web問診とホームページのつながり

Web予約やWeb問診の多くは、専門の提供会社が用意した仕組みを使っています。クリニックのホームページには「Web予約はこちら」といったボタンがあり、押すと提供会社のページに移る形や、ホームページの中に予約画面を組み込んで（埋め込んで）表示する形が一般的です。

たとえるなら、ホームページはクリニックの玄関、予約や問診の仕組みは提携している受付窓口のようなものです。窓口そのものの管理は提供会社が行いますが、玄関から窓口への案内板はクリニックのホームページにあります。この案内板が書き換えられてしまうと、患者さんは別の場所に案内されてしまいます。

患者さんの情報が実際に送られる先は提供会社の仕組みであることが多いですが、そこにたどり着くまでの入口はクリニックのホームページです。入口の安全を保つことも、患者さんの情報を守ることにつながります。

ホームページの側で確認したいこと

提供会社の仕組みがしっかりしていても、ホームページが第三者に書き換えられると、予約ボタンのリンク先を偽のページに差し替えられるおそれがあります。患者さんは見慣れたホームページから移っているので、偽のページだと気づきにくいのが難しいところです。次の点を確認しておきましょう。

1. 予約ボタンを実際に押してみるホームページの予約ボタンを押して、移った先のアドレスが提供会社から案内されたものと同じかを確かめます。トップページだけでなく、診療案内や各ページのボタンもひととおり確認します。
2. 移った先にも鍵マークが出ているか見る予約や問診のページで、アドレス欄に鍵マーク（通信の暗号化）が出ているかを確認します。あわせて、ホームページ自体にも鍵マークが出ているかを見ます。
3. 埋め込みの部品を把握する予約画面を組み込んでいる場合、どのページに、誰が、いつ組み込んだかを記録しておきます。提供会社を変えた後に、古い部品が残ったままになっていないかも確認します。
4. ホームページの土台を更新するWordPress（ホームページを更新するための仕組み）、プラグイン（追加機能）、PHP（ホームページを動かすためのプログラムの言語）が古いままだと、書き換えの入口になり得ます。定期的な更新を担当者に依頼します。
5. スマートフォンでも確かめる予約の多くはスマートフォンから行われます。スマートフォンで開いた時にも、ボタンが正しく表示され、正しいページに移るかを確認します。

2026年10月20日にPHPの開発チームが深刻な弱点2件の修正を予告し、10月21日にはIPA（情報処理推進機構）が注意喚起を出しました。弱点はPHP本体にあるため、WordPressを新しくしていてもPHPが古ければ対象になり得ます。予約ボタンを置いているホームページの土台が古くなっていないか、この機会に確かめておくと安心です。

見た目では分からない変化に気づくには

ホームページの書き換えは、院長やスタッフが見ている画面では何も変わっていないように見えることがあります。たとえば、検索から来た人やスマートフォンで見た人だけを別のページに移す仕掛けもあります。気になるサインがないか、ときどき確かめておきましょう。

• 患者さんから「予約ページの見た目がいつもと違った」「見慣れない画面が出た」と言われた
• 予約の件数が急に減ったのに、電話での問い合わせは変わらない
• 検索結果に、クリニックとは関係のない文章が表示されている
• Googleの検索結果やブラウザに、警告が出るようになった

見た目では分からないサインの確かめ方は、ホームページが乗っ取られていないか確認する方法で詳しくご紹介しています。外から見える範囲の状態は、アドレスを入れるだけで確認できる無料の自動診断でも確かめられます。

提供会社に確認しておきたいこと

予約や問診の仕組みそのものの安全性や、患者さんの情報の扱いについては、提供会社に確認するのが確実です。導入の時に説明を受けていても、時間がたつと内容を忘れてしまうものです。次のような質問を、一度まとめて聞いておくことをおすすめします。

院内で決めておきたいこと

予約や問診の管理画面は、受付スタッフが日常的に使うものです。便利な反面、アカウントやパスワードの扱いが曖昧になりやすいところでもあります。院内で次のような点を決めておくと安心です。

• 管理画面のアカウントは、できるだけ職員ごとに分ける
• パスワードを付箋に書いて、受付のパソコンに貼らない
• 職員が退職したら、その日のうちにアカウントを止める
• 受付のパソコンから離れる時は、管理画面を閉じるか画面をロックする
• 予約や問診のページのアドレスと、提供会社の連絡先を院内で共有しておく
• 院内の掲示や紙で案内している二次元コードが、今のページを指しているか確認する

特に気をつけたいのが、受付のパソコンにパスワードを保存したまま、誰でも管理画面に入れる状態になっているケースです。忙しい受付では便利に感じますが、誰がいつ予約を変更したのかが分からなくなり、退職した職員が自宅から入れてしまう、といったことも起こり得ます。提供会社の仕組みで二段階の確認（パスワードに加えて、スマートフォンに届く番号などで本人を確かめる方法）が使える場合は、取り入れを検討してみてください。

ホームページの問い合わせフォームでも患者さんの情報を受け取っている場合は、問い合わせ・予約フォームの個人情報の記事もあわせてご覧ください。フォームと予約の仕組みの両方を見直すと、情報の流れ全体が見えてきます。

予約が使えない時の備え

提供会社の障害や、ホームページのトラブルで、Web予約が一時的に使えなくなることがあります。そうした時に患者さんが困らないよう、案内の切り替え方を決めておきましょう。

• ホームページの予約ボタンの近くに、電話番号も載せておく
• 予約が使えない時に出すお知らせの文面を、あらかじめ用意しておく（例：「ただいまWeb予約がご利用いただけません。お電話でご予約ください。」）
• お知らせをホームページに出せる人と、その手順を院内で共有しておく
• Googleマップのクリニック情報（Googleビジネスプロフィール）に載せている予約の案内も、あわせて切り替えられるようにしておく

Web予約・Web問診の仕組みそのものの扱いや、法律上の責任の範囲は、提供会社や専門家にご確認ください。そのうえで、入口となるホームページの側で何を整えればよいかを知りたい場合は、HPドクターの専門家による無料セカンドオピニオンをご利用ください。今の制作会社との契約はそのままで、今の状態を見立て、手を入れる順番をお伝えします。保守をお任せいただく場合は担当制で、緊急時は24時間受け付けています。