ることを前提とした場合、パスワードの桁数は 8 桁（PIN であれば 4 桁）以上が求められる。この際、英数字の
混在（大文字小文字は問わない）を求める。ただし、二要素認証を採用していない場合には 13 桁以上とする
こと。システムの仕様上、13 桁以上の設定ができない場合には、設定可能な最大桁数を設定し、直近のシステ
ムの更改、新規導入時に必ず対応すること。
➢

いずれの場合においても、パスワードの定期的な変更は不要とする。

➢

PIN の定義としては、「特定のデバイスにおける電子証明書等の使用のための 4-8 桁の暗証番号」とする。

➢

また、VPN 装置においてもパスワードの使い回しや、単純なパスワードの利用によりサイバー攻撃被害が多発して
いる。VPN 装置においても記憶認証のみに依存するのではなく、二要素認証等を導入することが望ましい。
１４．１．２ 外部のアプリケーションとの連携における認証・認可

➢

クラウドサービスの普及から、医療機関でも外部のアプリケーションを連携して用いる場面が増えている。この時、ア
プリケーション間でデータが引き渡されることが想定される。昨今、システム間連携のインターフェイスとして、Web 技
術のうち、REST API（Representational State Transfer Application Programming Interface）が
活用されている。REST API は Web の技術を用いてサーバにアクセスして情報をやりとりする手順であるが、イン
ターネット上で公開されることにより、IoT 機器やアプリケーションサーバ等も含め、広くシステム間での情報連携の
促進が期待できる。一方で、このような API がサイバー攻撃の起点となる可能性を踏まえ、セキュリティ上の対応
策が求められる。

➢

システム運用担当者は、API 連携のセキュリティ確保のため、外部からの攻撃や意図せぬアクセスを防止する措置
を講じること。ネットワークセキュリティの確保や、API 連携により利用するユーザ・アプリケーションやデバイスの範囲
の限定、責任分界とアクセスポリシーやログ管理を明確にした上での認証・認可の実装などが想定される。

１４．２ アクセス権限の管理
➢

医療情報システムの利用に際しては、情報の種別、重要性と利用形態に応じて情報の区分管理を行い、その情
報区分ごと、組織における利用者や利用者グループ（業務単位等）ごとに利用権限を規定する必要がある。ま
た付与する権限は必要最小限とすることが重要である。医療情報システムに、参照、更新、実行、追加等のよう
にきめ細かな権限の設定が可能なシステムを採用し、適切に活用すれば、さらにリスクを低減できる。

➢

アクセス権限の見直しは、人事異動等による利用者の担当業務の変更等に合わせて適宜更新する必要がある。
システム運用担当者は、組織の規程等と照合して、アクセス権限の設定を行う必要がある。

➢

医療情報システムによっては、利用者がアプリケーション等を利用する際に、端末の OS の管理者権限を要するも
のがある。利用者に対する過度の権限付与を避けるため、このようなアプリケーション等の選定は避けること。

➢

クラウドサービスを利用する場合、利用するサービスによっては、医療機関等の規程に基づいて定めたシステム上の
設定（ポリシー）が、デフォルトの設定となる等、自動的に意図しない内容に変更されてしまうことがある。これによ
り、アクセス権限等が変更され、医療情報が意図しない相手先に送信されるなどのリスクが想定される。

➢

このような状況を防ぐため、システム運用担当者は、意図せぬ設定の変更を検知できるよう措置を講じること。特
に自動的に検知し、運用に反映できることが重要である。

➢

利用するクラウドサービスの事業者から必要な情報を収集し、これらに対応できる措置を講じること。

１４．３ 電子カルテデータの確定
➢

法的に保存義務のある文書等を電子的に保存するためには、日常の診療や監査等において、電子化した文書

- 38 -