１４．認証・認可に関する安全管理措置

[Ⅰ～Ⅳ]

【遵守事項】
①

医療機関等で用いる医療情報システムへのアクセスにおいて、利用者の識別・認証を行い、

利用者認証方法に関する手順等に関して、規則、マニュアル等で文書化すること。
②

利用者の識別・認証にユーザ ID とパスワードの組み合わせを用いる場合、それらの情報を、

本人しか知り得ない状態に保つよう対策を実施すること。
③

利用者の識別・認証に IC カード等のセキュリティ・デバイスを用いる場合、IC カードの破損

等、セキュリティ・デバイスが利用できないときを想定し、緊急時の代替手段による一時的な
アクセスルールを用意すること。
④

アクセス管理に関する規程に基づいてアクセス権限を付与する場合、権限の実態が反映でき

るよう、システム運用担当者に対して、利用者が所属する部署等からの申請などを踏まえて権
限を付与し、その結果について申請部署の管理者からの確認を得る等の手順を作成するよう指
示すること。
⑤

利用者認証にパスワードを用いる場合には、令和９年度時点で稼働していることが想定され

る医療情報システムを、今後、新規導入又は更新するに際しては、二要素認証を採用するシス
テムの導入、又はこれに相当する対応を行うこと。
⑥

パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。

－

類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を設けるこ

と。
－

医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換によるこ

と）した状態で、適切な手法で管理・運用すること。
－

利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報システムの

システム運用担当者がパスワードを変更する場合には、利用者の本人確認を行うとともに、
どのような手法で本人確認を行ったのかを台帳に記載（本人確認を行った書類等のコピーを
添付）すること。また、変更したパスワードは、利用者本人以外が知り得ない方法で通知す
ること。なお、パスワード漏洩のおそれがある場合には、速やかにパスワードの変更を含む
適切な処置を講じること。
－

医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定できない

ようにすること（設定ファイルにパスワードが平文で記載される等があってはならない）
。
⑦

医療情報システムにおいて用いる ID について、台帳管理等を行うほか、定期的に棚卸を行

い、不要なものは適宜削除すること等を含む手順を作成すること。
⑧

電子カルテシステムにおける記録の確定手順の確立と、識別情報の記録について、以下の機

能があることを確認すること。
－ 電子カルテシステム等で PC 等の汎用入力端末により記録が作成される場合
a

診療録等の作成・保存を行おうとする場合、確定された情報を登録できる仕組みをシス
テムに備えること。その際、登録する情報に、入力者及び確定者の氏名等の識別情報、
信頼できる時刻源を用いた作成日時を含めること。

b 「記録の確定」を行うに当たり、内容を十分に確認できるようにすること。
c 「記録の確定」は、確定を実施できる権限を持った確定者に実施させること。

- 41 -