最初から入っている患者は架空です。本物の情報は入力しないでください
サンプル診療所・架空データ
患者情報管理デモ
報じられた事故の原因と同じ操作が、どこで止まるかを試せます
部品の汚染で狙われる鍵と出口、ID を変えて他人の情報を読む、盗んだセッションで開く、クラウドの保管場所（ストレージ）を外から読む。本物の API に自分で送り、止まった場所と理由をそのまま見られます。題材は診療所の患者情報ですが、顧客や社員の情報を持つシステムでも確かめることは同じです。
受付・看護師・医師・管理者に切り替えながら、架空の患者の情報を操作できます。ログイン、権限の確認、暗号化、閲覧の記録は、画面の見た目ではなくサーバーが実際に行っています。止まった要求も届いた JSON も、そのまま画面に出します。
3 分で通せます（登録 → 読む → DB → 守りを試す → 消す）
はじめる
メールアドレスもパスワードも要りません。
パスキーを使えない・残したくない端末では、認証アプリで始めてください。パスキーは端末によっては残ります。消すときは端末の設定から消してください。入力した内容は 24 時間で読めなくなります。
ログインせずに読むと
本物の API に cookie なしで患者の一覧を要求します。結果はサーバーが返したそのままです。
- セッション
- ログイン
- 権限
- 再認証
- 記録
- 復号
このデモで確かめられること
- サプライチェーン部品の汚染に備えているか
- 鍵を探す・外へ送る動きを、サーバーとブラウザで本当に試します。画面から 7 通りの方法で外へ送ると、ブラウザが止めます。
- 認証ログインを破られないか
- 再認証なしで病歴を開くと止まります。盗まれたトークンの悪用と同じ操作です。
- ゼロトラスト他人の情報を読まれないか
- 受付のまま病歴を要求すると止まります。ID を変えて別の訪問の患者を読むと、無い ID と同じ 404 です。
- 暗号化DB の中身が漏れたら読まれないか
- DB に入っている実物を出します。病歴と診断、入力した文字と画像は暗号文です。
- 個人情報誰が見たか分かるか、消せるか
- 患者を開くたびに閲覧の記録が増えます。入力した内容は 24 時間で読めなくなり、「今すぐ消す」で消えます。
- IaC・土台設定ミスや侵入の広がりに備えているか
- 保管場所を外から読むと止まります。公開にする操作が組織のルールで拒否された記録も読めます。
土台の作り方は事例ページに日付つきで書いています。