# 厚労省のサイバーセキュリティ対策チェックリスト(令和 8 年度版)で、アカウントとアクセスの項目をどう確かめるか

区分 2 の 7 項目(権限、不要なアカウント、パスワード 2 項目、二要素認証 2 項目、アクセスの記録)です。台帳を在籍者の一覧と照らし、記録を確かめた跡を残し、事業者が「対象外」とした項目は院内の担当を決めます。

更新日: 2026-10-13

厚生労働省の「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和 8 年度版)は 4 つの区分に分かれています。アカウントとログインに関わるのは、区分 2 の 14 項目のうち 7 項目です。どれも「はい・いいえ」で答え、確認した日を書きます。おもに使うのは、利用者 ID の台帳、アクセスの記録、事業者が書いた事業者確認用です。

## チェックリストの位置づけ

チェックリストは、厚労省の[医療情報システムの安全管理に関するガイドライン](/guides/healthcare-access/what-is-medical-information-system-security-guideline)のうち、医療機関等がまず取り組む事項をまとめたものです。令和 8 年度版で医療機関用と薬局用が 1 つになりました。医療機関・薬局が書く「医療機関・薬局確認用」と、システムを提供する事業者が書く「事業者確認用」があり、両方にある項目は同じ番号です。

チェックリストの冒頭には「立入検査時、本チェックリストを確認します」とあり、すべての項目に確認日と回答が書かれているかを見られます。「いいえ」の項目には令和 8 年度中の目標日を書き、年度中にすべてが「はい」になるよう取り組むことが求められています。検査で何を見られるかは[医療法に基づく立入検査で、サイバーセキュリティについて確認されること](/guides/healthcare-access/medical-onsite-inspection-cybersecurity)にあります。

## アカウントとログインに関わる 7 項目

表の「項目の要点」は、チェックリストの文言を短くしたものです。

| 番号 | 項目の要点 | 確かめるときに見る物 | 事業者確認用の答え |
| --- | --- | --- | --- |
| 2-④ | 職種・担当業務と情報の種類ごとの権限。管理者権限を持つ人の明確化 | 利用者 ID の台帳の権限の欄 | はい・いいえ・対象外 |
| 2-⑤ | 退職者や使っていないアカウントの削除・無効化 | 台帳と在籍者の一覧 | はい・いいえ・対象外 |
| 2-⑦ | 英数字を混ぜた 8 桁以上(二要素認証を入れるまでは 13 桁以上) | システムのパスワードの設定 | はい・いいえ |
| 2-⑧ | パスワードの使い回しの禁止 | 機器・サービスごとのパスワードの決め方 | はい・いいえ |
| 2-⑪ | 端末で業務ソフトにログインするときの二要素認証 | ログインの方法と更新の計画 | はい・いいえ |
| 2-⑫ | サーバー(電子カルテなどを動かすコンピューター)の OS へのログインの二要素認証 | 事業者の回答と更新の計画 | はい・いいえ |
| 2-⑬ | アクセスの記録の管理 | 記録そのものと、確かめた跡 | はい・いいえ・対象外 |

「対象外」を選べるのは、医療機関の側で行っていることもある項目です。厚労省の検討会資料は不要なアカウントの削除を例に、事業者が答え方に迷い、医療機関が「事業者が守っている」と思い込むおそれがあったと説明しています。

## 権限と不要なアカウント(2-④・2-⑤)

2-④は、職種や担当業務と情報の種類に応じて、誰がどこまで使えるかを決めているかを問います。注記では、管理者権限(設定の変更やソフトの導入ができる強い権限)を持つ人をはっきりさせることも求めています。マニュアルによると、管理者権限を最低限の人に絞るのは、攻撃を受けたときに被害が院内に広がるのを防ぐためです。

マニュアルは、利用者に付けた ID を台帳で一覧にすることを「望ましい」としています。台帳に書く項目の例は、所属部署、氏名、ユーザ ID、権限です。2-⑤は、2-④で整理した利用者と権限の一覧(台帳があればそれ)をもとに、退職者や長く使われていない ID が残っていないかを確かめ、削除か無効化をする項目です。

確かめ方の一例は、台帳の氏名を人事の在籍者の一覧と突き合わせ、在籍していない人の ID を拾い出すことです。システムで最後にログインした日が分かれば、長く使われていない ID も拾えます。台帳か、システムの利用者一覧を書き出したものがないと、2-④にも 2-⑤にも根拠を示しにくくなります。

## パスワード(2-⑦・2-⑧)

2-⑦は、パスワードを英数字を混ぜた 8 桁以上にしているかを問います。二要素認証を入れるまでは 13 桁以上です。検討会資料によると、記号を混ぜることと定期的に変えることは、令和 8 年度版で条件から外れました。桁数の考え方は[ガイドラインが定めるパスワードの桁数・変更・使い回し](/guides/healthcare-access/password-rules-in-medical-guideline)の記事にあります。

2-⑧はパスワードの使い回しの禁止です。マニュアルは、事業者が契約先の医療機関すべてに同じパスワードを使い、攻撃を受けた事案があったと書いています。サーバーのパスワードを事業者が管理しているなら、条件を満たしているかを事業者確認用で確かめます。

## 二要素認証(2-⑪・2-⑫)

二要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめる仕組みです([二段階認証(二要素認証)とは](/guides/shared-accounts/what-is-two-step-verification))。2-⑫の OS は、サーバーを動かす基本のソフトです。どちらも、すでに導入しているか、令和 9 年度以降の最初のシステム更新で導入する予定なら「はい」に当たります。

サーバーは、決まった端末を経由しないと入れないようにし、その端末のログインに二要素認証を入れるなどの条件を満たせば、二要素認証を入れたとみなせます。医療機器への二要素認証は、第 7.0 版への改定で見送られ、必須とはされていません。ただしマニュアルは、今後は求められる方向だとして、二要素認証に対応した医療機器を選ぶよう勧めています。

システムごとに次の更新時期と、製品が二要素認証に対応しているかを書き出しておくと、2-⑪・2-⑫に答えやすくなります。みなしの条件の全体と、共有アカウントでの扱いは[医療機関の二要素認証で求められることと、共有アカウントで起きること](/guides/healthcare-access/two-factor-authentication-with-shared-accounts)にあります。

## アクセスの記録(2-⑬)

2-⑬はサーバーに残るアクセスの記録です。マニュアルは、少なくとも利用者のログイン時刻、アクセス時間、操作内容が分かるように記録するよう求めています。その記録は、企画管理者(安全管理の実務を担う担当者)が定期的に確かめます。記録を見られる人を限り、消したり書き換えたりされないようにすることも補足にあります。

記録が残っているだけでは、定期的に確かめていることは示せません。確かめた日と担当者を書き残しておくのが決め方の一例です。何をどこまで残すかは[医療機関のアクセスの記録(監査ログ)](/guides/healthcare-access/medical-audit-log-retention)の記事にあります。

## 事業者確認用との突き合わせ

医療機関は、システムを提供する事業者ごとに事業者確認用を送り、回収します。事業者が「対象外」に丸を付けた項目は、医療機関の側が責任を負います。たとえば 2-⑤が「対象外」なら、退職者のアカウントを消すのは院内の仕事です。回収した事業者確認用を医療機関・薬局確認用の同じ番号と並べ、「対象外」の項目を院内の誰が行うかを決めます。

運用や保守の契約がなく製品を買っただけのシステムは、事業者確認用が要らない代わりに、セキュリティ更新などの責任を医療機関が負います。

## 規程に書くこと(4-①)

区分 4 は、区分 1〜3 のすべての項目について、具体的なやり方を運用管理規程などに定めているかを問います。マニュアルが挙げるアカウントの例文は、次のとおりです。

> システム管理者は不正な利用の防止及び発見に向け、情報システムの利用者ごとに適切なアクセス権限を付与したアカウントを登録し、定期的に操作ログを確認する。

例文の「操作ログ」は、誰が何をしたかの記録のことです。立入検査では、規程類も現物を確かめられます。

## 1 つの ID を複数人で使っているとき

チェックリストとマニュアルは、1 つの ID を複数人で使う場合について何も書いていません。ただ、7 項目はどれも、ID が 1 人に結びついていれば答えやすい作りです。1 つの ID には 1 組の権限しか付かないので、2-④の権限は、いちばん広い権限が要る人に合わせることになります。辞めた人が出ても、残る人が使い続けるので、その ID は 2-⑤で消す対象になりません。2-⑬の記録には ID は残っても、誰が使ったかは残りません。

こうした ID は、台帳に「複数人で使用」と書き、誰がパスワードを知っているかと、人が辞めたときにパスワードを変える手順を規程に書いておくのが決め方の一例です。共有の ID がなぜ残るかは[電子カルテ・診療システムの ID を複数人で使うことの問題と現実](/guides/healthcare-access/sharing-ehr-accounts-among-staff)にあります。


## よくある質問

**いま使うチェックリストはどの版ですか**

令和 8 年度版(令和 8 年 6 月)です。医療機関用と薬局用が 1 つになりました。厚労省のガイドライン第 7.0 版の掲載ページに、PDF、マニュアル、Excel 版が置かれています。

**二要素認証がまだでも「はい」にできますか**

2-⑪と 2-⑫は、令和 9 年度以降の最初のシステム更新で導入する予定であれば「はい」に当たります。システムごとの更新時期と、製品が対応しているかを一覧にしておくと答えやすくなります。

**利用者 ID の台帳は必ず作るものですか**

マニュアルは「望ましい」としており、立入検査で現物を見る書類には挙がっていません。ただ、権限(2-④)と不要なアカウント(2-⑤)を確かめる材料になります。

**事業者が「対象外」と答えた項目はどうなりますか**

その項目は医療機関の側が責任を負います。院内で誰が行うかを決め、医療機関・薬局確認用の同じ番号で「はい」にできるようにします。

**共有の ID は台帳にどう書きますか**

チェックリストとマニュアルには定めがありません。決め方の一例は、台帳に「複数人で使用」と書き、誰がパスワードを知っているかと、人が辞めたときに変える手順を規程に書いておくことです。

## 参考資料

- [厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和 8 年 6 月)](https://www.mhlw.go.jp/content/10808000/001716185.pdf)
- [厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル ～医療機関・薬局・事業者向け～」(令和 8 年 6 月)](https://www.mhlw.go.jp/content/10808000/001716186.pdf)
- [厚生労働省 医政局 医療情報担当参事官室「令和 8 年度版 医療機関等におけるサイバーセキュリティ対策チェックリストについて(案)」(健康・医療・介護情報利活用検討会 医療等情報利活用ワーキンググループ 第 32 回 資料 6、令和 8 年 5 月 29 日)](https://www.mhlw.go.jp/content/10808000/001705950.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版(令和 8 年 6 月)」掲載ページ(チェックリスト・マニュアル・Excel 版の掲載先)](https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html)

## Junify の場合

**人手で続けると** 職種ごとにアカウントを分け、応援や交代のたびに発行と停止を行い、誰がいつどの情報を見たかを、ガイドラインの求める期間だけ残し続けることになります。

**Junify なら** 2-⑤ の点検で、共有の ID だけは退職者が出ても消せず、そのたびにパスワードを変えて残る人に伝え直すことになります。ブラウザーで開く診療システムなら、導入時にパスワードを変えて Junify だけが持つので、辞めた人はその人の割り当て(使ってよいアカウントの指定)を外すだけで入れなくなります。スタッフは自分のスマホで本人確認をしてから入り、誰が・いつ入ったかが一人ずつ残ります。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=healthcare)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるか](/guides/healthcare-access/clinic-saas-responsibility-split): 基本の形は、サービス側の仕組みと安全対策は事業者、誰に ID を出していつ止めるかは医療機関です。厚労省のガイドライン第 7.0 版は、この分かれ目を事業者と文書で取り決め、開示書(MDS/SDS)で確かめるよう求めています。
- [医療機関がサイバー攻撃を受けたとき、アカウントについて最初に行うこと](/guides/healthcare-access/medical-cyber-incident-account-response): 初動は保守会社への連絡、ネットワークの遮断と攻撃者が残した裏口の無効化、記録の保全です。侵害された可能性のある機器の ID とパスワードの無効化は、ガイドラインでは復旧の際の方策です。非常時用のアカウントは正常に戻った後に使えなくします。
- [オンライン資格確認の端末で使うアカウントとパスワードの管理](/guides/healthcare-access/online-eligibility-verification-terminal): 資格確認端末には Windows のログイン、電子証明書、システムのアカウントがあり、顔認証付きカードリーダーにもアカウントがあります。システムのアカウントは職員一人ずつ作って退職時に止め、管理用の ID は持つ人と保管場所を決めます。