・医療機関等の外部からの接続は VPN を経由し、踏み台端末への RDP、SSH 等による接続に限定する。
上記措置を講じる際には、以下 3 つが適用されていることが前提となる。これらが満たされない場合、十分な
措置とは見なされない。
・外部から踏み台端末にログインするユーザに管理者権限を与えない
・十分な OS のセキュリティアップデート
・医療情報システムサーバ群と踏み台端末で共通のパスワードを利用しない
➢
➢

また、医療情報を格納するサーバについても、すでにネットワーク接続管理や端末管理等による安全性確保対策
を実施していると考えられるが、巧妙化する不正接続対策の観点から、原則として二要素認証を求める。ただし、
運用対応等の技術的な理由で対応が間に合わない場合には、令和９年度以降、直近のシステムの更改、新
規導入までの間を経過措置とする。

➢

認証により実現される対策の強度は、単に認証方法だけで判断されるものではない。二要素認証が技術的に採
用できない場合には、二要素認証等の認証強化と併せて他の対策（ネットワーク接続管理や端末管理等）と
併せて対策を講じることが必要である。「二要素認証を採用していることを前提とした場合、パスワードの桁数は 8
桁（PIN であれば 4 桁）以上が求められる。この際、英数字のが混在する形で（大文字小文字は問わない）
を要する求める。ただし、二要素認証を採用していない場合には 13 桁以上とすること。システムの仕様上、13 桁
以上の設定ができない場合には、設定可能な最大桁数を設定し、直近のシステムの更改、新規導入までの間を
経過措置期間とする時に必ず対応すること。

➢

いずれの場合においても、パスワードの定期的な変更は不要とする。

➢

PIN の定義としては、「特定のデバイスにおける電子証明書等の使用のための 4-8 桁の暗証番号」とする。

➢

また、VPN 装置においてもパスワードの使い回しや、単純なパスワードの利用によりサイバー攻撃被害が多発して
いる。VPN 装置においても記憶認証のみに依存するのではなく、二要素認証等を導入することが望ましい。

➢

医療情報システムに二要素認証が実装されていないとしても、例えば放射線管理区域や薬局の調剤室など、指
定された者以外の者の入室が法令等により制限されるような区画の中に端末が設置されている医療情報システ
ムであって、当該区画への入場に当たって利用者の識別・認証が適切に実施されており、入場時と端末利用時
を含め二要素以上（記憶・生体計測・物理媒体のいずれか 2 つ以上）の認証がなされている場合には、二要
素認証に相当すると考えてよい。
１４．１．２ 外部のアプリケーションとの連携における認証・認可

➢

クラウドサービスなどの普及から、医療機関でも外部のアプリケーションを連携して用いる場面等が多くなってきて増
えている。院内のシステムと外部アプリケーションを連携して用いる場合や、複数のクラウドサービスを連携して用い
る場合には、この時、アプリケーション間でデータがの引き渡されることが想定されるしなどを行う必要が生じる。昨
今 、 シ ス テ ム 間 連 携 の イ ン タ フ ェ ー ス と し て 、Web 技 術 の う ち 、 連 携 の し や す さ か ら 、REST API
（Representational State Transfer Application Programming Interface）が活用されている。
REST API は Web の技術を用いてサーバにアクセスして情報をやりとりする手順であるが、インターネット上で公
開されることにより、IoT 機器や ASP アプリケーションサーバ等も含め、広くシステム間での情報連携の促進が期
待できる。一方で、このような API がサイバー攻撃の起点となる可能性を踏まえ、セキュリティ上の対応策が求めら
れる。
- 46 -