る技術の端末への実装状況等を考慮し、できるだけ早期に対応することが求められる
（※）
。
※ 二要素認証技術の端末等への実装を促してきたが、さらに強く推し進めるため、令
和 9 年度時点で稼働していることが想定される医療情報システムを、今後、導入又
は更新する場合、原則として二要素認証を採用することが求められる。
また医療情報システムに二要素認証が実装されていないとしても、例えば放射線管理
区域や薬局の調剤室など、指定された者以外の者の入室が法令等により制限されるよう
な区画の中に端末が設置されている医療情報システムであって、当該区画への入場に当
たって利用者の識別・認証が適切に実施されており、入場時と端末利用時を含め二要素
以上（記憶・生体計測・物理媒体のいずれか 2 つ以上）の認証がなされている場合には、
二要素認証に相当すると考えてよい。
(2) 情報の区分管理とアクセス権限の管理
医療情報システムの利用に際しては、情報の種別、重要性と利用形態に応じて情報の
区分管理を行い、その情報区分ごと、組織における利用者や利用者グループ（業務単位
等）ごとに利用権限を規定する必要がある。ここで重要なことは、付与する利用権限を
必要最小限にすることである。
知る必要のない情報は知らせず、必要のない権限は付与しないことでリスクを低減で
きる。医療情報システムに、参照、更新、実行、追加等のようにきめ細かな権限の設定
を行う機能があれば、さらにリスクを低減できる。
アクセス権限の見直しは、人事異動等による利用者の担当業務の変更等に合わせて適
宜行う必要があるため、その運用方法について組織の規程で定めなければならない。
また、クラウドサービスを利用する場合、利用するサービスによっては、医療機関等
の規程に基づいて定めたシステム上の設定（ポリシー）が、デフォルトの設定となる等、
自動的に意図しない内容に変更されてしまう危険性がある。これにより、アクセス権限
等が変更され、医療情報が意図しない相手先に送付されるなどのリスクが想定される。
このような状況を防ぐため、意図せぬ設定の変更に関して検知できる措置を講じること
が求められる。特に自動的に検知し、運用に反映できることが必要となる。
(3) 外部のアプリケーションとの連携における認証・認可
クラウドサービスなどの普及から、外部のアプリケーションを連携して用いる場面等
が多くなってきている。院内のシステムと外部アプリケーションを連携して用いる場合
や、複数のクラウドサービスを連携して用いる場合には、アプリケーション間でデータ
の引き渡しなどを行う必要が生じる。昨今、システム間連携のインタフェースとして、
Web 技術のうち、連携のしやすさから、REST API（Representational State Transfer
Application Programming Interface）が活用されている。REST API は Web の技術を用

22