厚労省ガイドライン(第 7.0 版)が求める認証・アクセス管理を自施設に当てはめる

厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、認証とアクセス管理に求めることを 2 か所にまとめています。システム運用編 14 章と企画管理編 13 章です。前者はシステム運用担当者が行う技術的な対応、後者は企画管理者(安全管理の実務を担う担当者)が作る規程と手順です。施設を点検するときは、この 2 つの章を並べて読みます。版の経緯や編の構成は医療情報システムの安全管理に関するガイドラインとはにまとめています。

遵守事項の読み方

各章は冒頭に【遵守事項】を置き、その後に考え方を書いています。遵守事項は文末が「すること」で、施設が守る決まりです。考え方の節には「望ましい」「求められる」と書かれた項目もあり、こちらは遵守事項ではありません。たとえば VPN 装置(院外から院内につなぐ機器)の二要素認証は「望ましい」で、遵守事項とは強さが違います。

企画管理編の遵守事項には、企画管理者が自分で行うものと、担当者に指示するものがあります。規程の整備、管理権限と ID の一覧化、棚卸しと経営層への報告は、企画管理者自身の役目です。小さな診療所で一人が両方を兼ねていても、下の表はそのまま使えます。規程を決める役目と、システムに設定する役目を分けて読めば足ります。

システム運用編 14 章のうちアカウント管理に関わる遵守事項

表に収めきれない条件が 3 つあります。二要素認証は、技術的な理由などで令和 9 年度までの対応が難しい場合、令和 9 年度以降の直近の次期の更新までが期限です。パスワードは、一定回数ログインに失敗したら一定時間ログインできなくします。担当者が変更したパスワードは、本人以外が知り得ない方法で本人に通知します。

考え方の節によると、認証に使う手段は、医療情報システムにアクセスする全ての職員と関係者に用意します。施設の内部で統一的に管理する必要がある、というのが考え方です(14.1.1)。この前提と共有 ID の関係は電子カルテ・診療システムの ID を複数人で使うことの問題と現実にまとめています。パスワードの桁数は、二要素認証がある場合は 8 桁以上(PIN なら 4 桁以上)、ない場合は 13 桁以上です。いずれの場合も定期的な変更は不要とされています。

二要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめる仕組みです(二段階認証(二要素認証)とは)。対象と期限、共有アカウントで残る限界は医療機関の二要素認証で求められることと、共有アカウントで起きることにまとめています。

企画管理編 13 章のうちアカウント管理に関わる遵守事項

考え方の節は、利用者の種類を整理するよう求めています。内部の職員、自分の情報を見る患者などの外部関係者のほかに、管理権限を持つ ID も想定します。機器やソフトに接続するために「便宜的に利用する ID」も同じように整理し、目的に応じて運用規則を定めます(13.1.1)。利用者の登録時は対面かこれに準じる方法で本人を確かめ、職員が退職したら利用者登録からも削除します(13.1.2)。登録した ID を使うときの本人確認は、二要素認証やこれに準じた方法によること等を要します。

表をどう使うか

2 つの表の「施設で確かめること」を、システムごとに埋めていきます。電子カルテ、医事会計、画像、部門システム、オンライン診療など、患者の情報を扱うシステムが対象です。埋まらない欄が、規程・手順・設定のどれが足りないかを示します。

埋まらない欄のうち、期限があるのは二要素認証です。システムごとの次の更新時期を書き出し、更新の計画に組み込みます。期限のない欄は、ID の台帳から手を付けるのが決め方の一例です。台帳がないと、棚卸しも権限の見直しも外部の利用者の管理も始められないためです。