オンライン資格確認の端末で使うアカウントとパスワードの管理

オンライン資格確認の端末(資格確認端末)には、性質の違う ID とパスワードが重なっています。Windows のログイン、電子証明書、オンライン資格確認等システムのアカウントです。システムのアカウントは職員ごとに作れるので、受付で 1 つの ID を使い回す必要はありません。

資格確認端末にある ID とパスワード

資格確認端末は、マイナンバーカードなどで患者の保険の資格を確かめるために置くパソコンです。厚生労働省の「資格確認端末において満たすべき要件」は、推奨する Windows の版と、Microsoft Edge で使う前提を示しています。この端末で管理するものは 3 つあります。

1 つ目は Windows のアカウントです。手順は、医療機関等向け総合ポータルサイト(オンライン資格確認の手続きや資料をまとめた公式サイト)のセットアップ手順書(資格確認端末編)にあります。手順書は、「OqsComApp」という名前のアカウントを Windows に加え、管理者の権限にするよう示しています。パスワードは任意で、医療情報システムの安全管理に関するガイドラインや施設のセキュリティの決まりに従って設定するよう注記があります。

2 つ目は電子証明書(その端末が資格確認端末として準備されたものだと示すためのデータ)です。取り込むときに証明書のパスワードを入れ、「このキーをエクスポート可能にする」にはチェックをしない設定が手順書に書かれています。別のパソコンへ持ち出せない形で入れるということです。

3 つ目がオンライン資格確認等システムのアカウントで、ユーザ ID とパスワードで入ります。このほか端末の外に、総合ポータルサイトのログインがあります。ポータルにログインできる人は、システムの最上位のアカウント(マスタアカウント)のユーザ ID を確かめられます。

システムのアカウントの種類

操作マニュアル(管理者編)は、アカウントを 8 種類に分けています。人が使うものと、機器やシステムの連携に使うものがあります。WebAPI は、電子カルテなどがシステムにつなぐための口のことです。

作る単位は手順書によります。手順書は、一般アカウントと医療情報閲覧アカウントを「個人ごとに」作るとしています。受付の全員が 1 つの一般アカウントで入る運用は、この作り方から外れます。ユーザ ID と権限の種類は登録後に変えられず、権限を変えるときは新しく登録し直します。

職員が入るとき、辞めるとき

入るときは、管理アカウントの「アカウント管理(登録)」で、権限の種類、ユーザ ID、氏名、利用開始年月日を入れて作ります。登録すると初期パスワードが表示され、マニュアルはそれを依頼した人に伝えるよう書いています。初期パスワードは、30 日以内にログインしないと使えなくなります。

パスワードを忘れた職員には、管理アカウントで初期化して渡し直します。厚労省のガイドライン第 7.0 版(システム運用編 14 章)は、運用担当者が利用者のパスワードを変えるときの手順を遵守事項にしています。本人確認をし、その方法を台帳に書き、本人以外が知り得ない方法で知らせることです。口頭で伝えるだけでは記録が残りません。

辞めるときは、更新の画面で利用終了年月日を入れるか、無効にするか、削除します。削除したユーザ ID は、同じものを登録し直せません。同じ 14 章は、ID を台帳で管理し、定期的に棚卸し(何があるか一覧にすること)をして不要なものを削除するよう求めています。止め方と、職員の一覧と突き合わせる時期を決めておきます。

管理用の ID を誰が持つか

管理アカウントは、システムの導入時に必ず作られています。分からなくなったときの戻り方は、ポータルの資料が示しています。マスタアカウントでログインすれば、管理アカウントのユーザ ID を確かめてパスワードを初期化できます。マスタアカウントのパスワードは、マスタアカウントリセット用アカウントで初期化します。リセット用のパスワードは、利用申請のときに決めた 4 桁の「秘密の番号」です。

この順番を逆から見ると、マスタアカウントを持つ人は管理アカウントを、管理アカウントを持つ人はすべての職員のアカウントを初期化できます。さらに、ポータルにログインできて秘密の番号を知っている人は、マスタアカウントのパスワードを初期化できます。セットアップ手順書は、マスタアカウントとリセット用アカウントを「大切に保管してください」としています。厚労省は、院内規程の雛形として「安全対策の規程例」を示しています。規程例では院長がシステム管理者を務めます(別の人も指名できます)。システム管理者は、送信機器の設定の変更や更新を行う管理者の権限などの運用について、最終的な責任を負います。決め方の一例は、マスタアカウントと管理アカウントを持つ人と保管場所を決めておき、その人が辞めたらパスワードを初期化して持ち主を替えることです。ポータルのログインと秘密の番号も、誰が知っているかを同じように決めておきます。

端末そのものの扱い

規程例は、端末の扱いについても項目を挙げています。

• 業務に必要なソフト以外が入っていないことを点検する
• USB メモリーなどの接続を制限する
• のぞき見を防ぐフィルターを付ける
• 許可なく部屋の外へ持ち出さない

利用者には、ID とパスワードを本人しか知り得ない状態に保つことを求めています。

1 台を複数の職員で使う場合に、職員ごとに Windows のアカウントを作って切り替える方法も、手順書に載っています。OqsComApp のパスワードは端末の定時の再起動の設定にも入れるので、変えるときは入れ直す場所を導入した業者に確かめます。

パスワードの決まりをどれに合わせるか

規程例は、二要素認証を使っていない場合、パスワードを「最長でも 2 か月以内に」変えるとしています。規程例と並んで示されているセキュリティのガイドライン(令和 6 年 1 月一部改正)は、第 7.0 版より前の第 6.0 版を挙げています。第 7.0 版(システム運用編 14.1.1)は、二要素認証があれば 8 桁以上、なければ 13 桁以上とし、どちらの場合も定期的な変更は不要としています。13 桁以上を設定できないシステムでは、設定できる最大の桁数にします。

厚労省の「セキュリティに関するガイドライン」は、オンライン資格確認やオンライン請求のシステムを対象にしています。これらも医療情報を扱うので、医療情報システムの安全管理に関するガイドラインに沿って運用すべきだ、という立場です。最新版を参照するようにも求めています。規程例は雛形なので、パスワードの項目は第 7.0 版に合わせて書き換えると読めます。ただし規程例を写して院内規程を作った施設では、書き換えるまでは 2 か月の条が自院の決まりです。書き換えるときは桁数の条件もあわせて直します。桁数の決め方は医療情報システムの安全管理に関するガイドラインが定めるパスワードの桁数・変更・使い回しにまとめています。