厚労省のサイバーセキュリティ対策チェックリスト(令和 8 年度版)で、アカウントとアクセスの項目をどう確かめるか

厚生労働省の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和 8 年度版)は 4 つの区分に分かれています。アカウントとログインに関わるのは、区分 2 の 14 項目のうち 7 項目です。どれも「はい・いいえ」で答え、確認した日を書きます。おもに使うのは、利用者 ID の台帳、アクセスの記録、事業者が書いた事業者確認用です。

チェックリストの位置づけ

チェックリストは、厚労省の医療情報システムの安全管理に関するガイドラインのうち、医療機関等がまず取り組む事項をまとめたものです。令和 8 年度版で医療機関用と薬局用が 1 つになりました。医療機関・薬局が書く「医療機関・薬局確認用」と、システムを提供する事業者が書く「事業者確認用」があり、両方にある項目は同じ番号です。

チェックリストの冒頭には「立入検査時、本チェックリストを確認します」とあり、すべての項目に確認日と回答が書かれているかを見られます。「いいえ」の項目には令和 8 年度中の目標日を書き、年度中にすべてが「はい」になるよう取り組むことが求められています。検査で何を見られるかは医療法に基づく立入検査で、サイバーセキュリティについて確認されることにあります。

アカウントとログインに関わる 7 項目

表の「項目の要点」は、チェックリストの文言を短くしたものです。

「対象外」を選べるのは、医療機関の側で行っていることもある項目です。厚労省の検討会資料は不要なアカウントの削除を例に、事業者が答え方に迷い、医療機関が「事業者が守っている」と思い込むおそれがあったと説明しています。

権限と不要なアカウント(2-④・2-⑤)

2-④は、職種や担当業務と情報の種類に応じて、誰がどこまで使えるかを決めているかを問います。注記では、管理者権限(設定の変更やソフトの導入ができる強い権限)を持つ人をはっきりさせることも求めています。マニュアルによると、管理者権限を最低限の人に絞るのは、攻撃を受けたときに被害が院内に広がるのを防ぐためです。

マニュアルは、利用者に付けた ID を台帳で一覧にすることを「望ましい」としています。台帳に書く項目の例は、所属部署、氏名、ユーザ ID、権限です。2-⑤は、2-④で整理した利用者と権限の一覧(台帳があればそれ)をもとに、退職者や長く使われていない ID が残っていないかを確かめ、削除か無効化をする項目です。

確かめ方の一例は、台帳の氏名を人事の在籍者の一覧と突き合わせ、在籍していない人の ID を拾い出すことです。システムで最後にログインした日が分かれば、長く使われていない ID も拾えます。台帳か、システムの利用者一覧を書き出したものがないと、2-④にも 2-⑤にも根拠を示しにくくなります。

パスワード(2-⑦・2-⑧)

2-⑦は、パスワードを英数字を混ぜた 8 桁以上にしているかを問います。二要素認証を入れるまでは 13 桁以上です。検討会資料によると、記号を混ぜることと定期的に変えることは、令和 8 年度版で条件から外れました。桁数の考え方はガイドラインが定めるパスワードの桁数・変更・使い回しの記事にあります。

2-⑧はパスワードの使い回しの禁止です。マニュアルは、事業者が契約先の医療機関すべてに同じパスワードを使い、攻撃を受けた事案があったと書いています。サーバーのパスワードを事業者が管理しているなら、条件を満たしているかを事業者確認用で確かめます。

二要素認証(2-⑪・2-⑫)

二要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめる仕組みです(二段階認証(二要素認証)とは)。2-⑫の OS は、サーバーを動かす基本のソフトです。どちらも、すでに導入しているか、令和 9 年度以降の最初のシステム更新で導入する予定なら「はい」に当たります。

サーバーは、決まった端末を経由しないと入れないようにし、その端末のログインに二要素認証を入れるなどの条件を満たせば、二要素認証を入れたとみなせます。医療機器への二要素認証は、第 7.0 版への改定で見送られ、必須とはされていません。ただしマニュアルは、今後は求められる方向だとして、二要素認証に対応した医療機器を選ぶよう勧めています。

システムごとに次の更新時期と、製品が二要素認証に対応しているかを書き出しておくと、2-⑪・2-⑫に答えやすくなります。みなしの条件の全体と、共有アカウントでの扱いは医療機関の二要素認証で求められることと、共有アカウントで起きることにあります。

アクセスの記録(2-⑬)

2-⑬はサーバーに残るアクセスの記録です。マニュアルは、少なくとも利用者のログイン時刻、アクセス時間、操作内容が分かるように記録するよう求めています。その記録は、企画管理者(安全管理の実務を担う担当者)が定期的に確かめます。記録を見られる人を限り、消したり書き換えたりされないようにすることも補足にあります。

記録が残っているだけでは、定期的に確かめていることは示せません。確かめた日と担当者を書き残しておくのが決め方の一例です。何をどこまで残すかは医療機関のアクセスの記録(監査ログ)の記事にあります。

事業者確認用との突き合わせ

医療機関は、システムを提供する事業者ごとに事業者確認用を送り、回収します。事業者が「対象外」に丸を付けた項目は、医療機関の側が責任を負います。たとえば 2-⑤が「対象外」なら、退職者のアカウントを消すのは院内の仕事です。回収した事業者確認用を医療機関・薬局確認用の同じ番号と並べ、「対象外」の項目を院内の誰が行うかを決めます。

運用や保守の契約がなく製品を買っただけのシステムは、事業者確認用が要らない代わりに、セキュリティ更新などの責任を医療機関が負います。

規程に書くこと(4-①)

区分 4 は、区分 1〜3 のすべての項目について、具体的なやり方を運用管理規程などに定めているかを問います。マニュアルが挙げるアカウントの例文は、次のとおりです。

システム管理者は不正な利用の防止及び発見に向け、情報システムの利用者ごとに適切なアクセス権限を付与したアカウントを登録し、定期的に操作ログを確認する。

例文の「操作ログ」は、誰が何をしたかの記録のことです。立入検査では、規程類も現物を確かめられます。

1 つの ID を複数人で使っているとき

チェックリストとマニュアルは、1 つの ID を複数人で使う場合について何も書いていません。ただ、7 項目はどれも、ID が 1 人に結びついていれば答えやすい作りです。1 つの ID には 1 組の権限しか付かないので、2-④の権限は、いちばん広い権限が要る人に合わせることになります。辞めた人が出ても、残る人が使い続けるので、その ID は 2-⑤で消す対象になりません。2-⑬の記録には ID は残っても、誰が使ったかは残りません。

こうした ID は、台帳に「複数人で使用」と書き、誰がパスワードを知っているかと、人が辞めたときにパスワードを変える手順を規程に書いておくのが決め方の一例です。共有の ID がなぜ残るかは電子カルテ・診療システムの ID を複数人で使うことの問題と現実にあります。