医療情報システムの安全管理に関するガイドラインが定めるパスワードの桁数・変更・使い回し

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、パスワードの桁数を二要素認証の有無で分けています。二要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめる仕組みです(二段階認証(二要素認証)とは)。使う場合は 8 桁以上、使わない場合は 13 桁以上で、どちらの場合も定期的な変更は不要です。現行版は令和 8 年 6 月の第 7.0 版で、パスワードの決まりは主にシステム運用編 14 章にあります。版と編の構成は医療情報システムの安全管理に関するガイドラインとはにまとめています。

二要素認証の有無で変わる桁数

桁数と文字の種類は、14 章のうち 14.1.1 の考え方の節に書かれています。

二要素認証を採用していることを前提とした場合、パスワードの桁数は 8 桁（PIN であれば 4 桁）以上が求められる。この際、英数字の混在（大文字小文字は問わない）を求める。ただし、二要素認証を採用していない場合には 13 桁以上とすること。

同じ章の決まりと合わせて、二要素認証の有無で並べると次のとおりです。

PIN は、ガイドラインの定義では「特定のデバイスにおける電子証明書等の使用のための 4-8 桁の暗証番号」です。IC カードのように、特定の機器に入った電子証明書を使うときの暗証番号を指します。診療システムのログイン画面で入れるパスワードは、8 桁か 13 桁の側です。

英数字を混ぜる条件は、8 桁の文に続けて書かれています。13 桁の文は「ただし」で桁数だけを置き換える形なので、13 桁の場合も英数字を混ぜると読めます。記号を混ぜることまでは書かれていません。

13 桁に設定できないシステムについても書かれています。仕様上できない場合は設定できる最大の桁数にし、「直近のシステムの更改、新規導入時に必ず対応すること」です。二要素認証も、新規導入や機器の入れ替えを伴う更改のときに採用する決まりです(これに相当する対応でもよい。遵守事項 ⑤)。次の更新で二要素認証に対応すれば、パスワードは 8 桁以上で足りることになります。期限の詳しい読み方は医療機関の二要素認証で求められることと、共有アカウントで起きることにあります。

遵守事項と考え方の節の分かれ方

14 章は、冒頭に【遵守事項】(守るべき決まり)を置き、その後に考え方の節を続けています。パスワードの決まりは両方に分かれていて、桁数と定期的な変更は考え方の節の側です。

桁数は遵守事項ではありませんが、文末は「求められる」「とすること」で、「望ましい」とされた VPN 装置の二要素認証より強い書き方です。なお、令和 8 年 9 月に公表された Q&A には、パスワードの桁数や変更を扱う問いはありません。

定期的な変更が要らなくなった経緯と、変えるべきとき

第 7.0 版の策定の通知(令和 8 年 6 月 29 日)は、パスワードの決まりの改定を要点の 1 つに挙げています。使い回しの禁止とアカウントロック(失敗が続いたらログインできなくする仕組み)を書き加え、「定期的な変更」の要件は削除した、という内容です。削除の理由は「セキュリティ面の強化につながらないとされる」と書かれています。第 6.0 版をもとに院内の規程で定期的な変更を決めている施設は、その条を見直す対象になります。定期的な変更をやめる考え方そのものは、パスワードの定期変更はもう不要かに整理しています。

変更が要らなくなったのは、決まった周期で変えることだけです。遵守事項 ⑥(4) は、漏えいのおそれがある場合に、速やかに変更を含む処置を行うよう求めています。パスワードの失念(忘れること)や、漏えいのおそれなどでシステムの担当者がパスワードを変えるときの手順もあります。担当者は本人確認をして、その方法を台帳に書き、新しいパスワードを本人以外が知り得ない方法で伝えます。付箋に書いて渡す、ほかの人に聞こえる場所で伝える、といった方法は、この条件に合わないと読めます。

使い回しの範囲

遵守事項 ⑥(2) が禁じているのは、異なる医療情報システムの間での使い回しです。電子カルテと医事会計、部門システムで同じパスワードを使っていれば、この決まりに反します。14.1.1 は VPN 装置についても、使い回しや単純なパスワードによる被害が多発していると書いています。8 章の遵守事項 ⑤ も、情報機器(端末やサーバなど)のパスワードを出荷時のものから変え、14 章の要件を満たすよう求めています。機器のパスワードも、使い回さないことを含む 14 章の決まりの対象です。保守用の接続機器と院内のパソコンで同じパスワードを使っていた事案は、管理者パスワードの使い回しでランサムウェアの被害が院内に広がった事案にまとめています。

保守を事業者に全て任せている医療機関の場合

サーバーの保守(セキュリティ更新を含む)を事業者に全て任せている医療機関等は、読む範囲が違います。概説編と保守委託機関編の遵守事項に対応すれば、ガイドラインを遵守しているとみなされます(概説編 3.1.5)。保守委託機関編には桁数の数字はありません。代わりに、事業者が他院と共通のパスワードを使い回して被害に遭った事案に触れています。事業者が設定するパスワードがこのガイドラインに合うことを、契約書に書いて約束してもらう方法を挙げています(3 章の 2「責任分界」の解説)。

複数人で使う ID に当てはめると

遵守事項 ② は、ID とパスワードを本人しか知り得ない状態に保つことを求めています。桁数や変更の決まりは、この状態の ID を前提に書かれていると読めます。1 つの ID を複数人で使っていると、13 桁にしても、辞めた人や勤務を終えた人がパスワードを知ったままになります。その場合は、人が入れ替わるたびに変えて、残る全員に伝え直すことになります。共有の ID とガイドラインの関係は電子カルテ・診療システムの ID を複数人で使うことの問題と現実にまとめています。