# 医療情報システムの安全管理に関するガイドラインが定めるパスワードの桁数・変更・使い回し

現行の第 7.0 版では、二要素認証を使うならパスワードは 8 桁以上で英数字を混ぜ、使わないなら 13 桁以上です。定期的な変更はどちらも不要で、システム間で使い回さないことは遵守事項です。

更新日: 2026-10-13

厚生労働省の「医療情報システムの安全管理に関するガイドライン」は、パスワードの桁数を二要素認証の有無で分けています。二要素認証は、パスワードに加えてもう 1 つの方法で本人を確かめる仕組みです([二段階認証(二要素認証)とは](/guides/shared-accounts/what-is-two-step-verification))。使う場合は 8 桁以上、使わない場合は 13 桁以上で、どちらの場合も定期的な変更は不要です。現行版は令和 8 年 6 月の第 7.0 版で、パスワードの決まりは主にシステム運用編 14 章にあります。版と編の構成は[医療情報システムの安全管理に関するガイドラインとは](/guides/healthcare-access/what-is-medical-information-system-security-guideline)にまとめています。

## 二要素認証の有無で変わる桁数

桁数と文字の種類は、14 章のうち 14.1.1 の考え方の節に書かれています。

> 二要素認証を採用していることを前提とした場合、パスワードの桁数は 8 桁（PIN であれば 4 桁）以上が求められる。この際、英数字の混在（大文字小文字は問わない）を求める。ただし、二要素認証を採用していない場合には 13 桁以上とすること。

同じ章の決まりと合わせて、二要素認証の有無で並べると次のとおりです。

| 項目 | 二要素認証を使う場合 | 使わない場合 |
| --- | --- | --- |
| 桁数 | 8 桁以上(PIN なら 4 桁以上) | 13 桁以上 |
| 文字の種類 | 英数字を混ぜる(大文字小文字は問わない) | 同じと読める |
| 定期的な変更 | 不要 | 不要 |
| システム間の使い回し | しない | しない |
| ログインの失敗が続いたとき | 一定時間ログインできなくする | 同じ |

PIN は、ガイドラインの定義では「特定のデバイスにおける電子証明書等の使用のための 4-8 桁の暗証番号」です。IC カードのように、特定の機器に入った電子証明書を使うときの暗証番号を指します。診療システムのログイン画面で入れるパスワードは、8 桁か 13 桁の側です。

英数字を混ぜる条件は、8 桁の文に続けて書かれています。13 桁の文は「ただし」で桁数だけを置き換える形なので、13 桁の場合も英数字を混ぜると読めます。記号を混ぜることまでは書かれていません。

13 桁に設定できないシステムについても書かれています。仕様上できない場合は設定できる最大の桁数にし、「直近のシステムの更改、新規導入時に必ず対応すること」です。二要素認証も、新規導入や機器の入れ替えを伴う更改のときに採用する決まりです(これに相当する対応でもよい。遵守事項 ⑤)。次の更新で二要素認証に対応すれば、パスワードは 8 桁以上で足りることになります。期限の詳しい読み方は[医療機関の二要素認証で求められることと、共有アカウントで起きること](/guides/healthcare-access/two-factor-authentication-with-shared-accounts)にあります。

## 遵守事項と考え方の節の分かれ方

14 章は、冒頭に【遵守事項】(守るべき決まり)を置き、その後に考え方の節を続けています。パスワードの決まりは両方に分かれていて、桁数と定期的な変更は考え方の節の側です。

| 決まり | 書かれている場所 | 書き方 |
| --- | --- | --- |
| 類推されやすい(推測されやすい)パスワードを設定できないよう制限する | 遵守事項 ⑥(1) | 設けること |
| 異なるシステムの間で使い回さない | 遵守事項 ⑥(2) | 行わないこと |
| パスワードを元に戻せない形で保存する | 遵守事項 ⑥(3) | 管理・運用すること |
| システムの担当者にも利用者のパスワードを推定できないようにする | 遵守事項 ⑥(5) | ようにすること |
| 一定回数失敗したら一定時間ログインできなくする | 遵守事項 ⑥(6) | 講じること |
| 二要素認証ありなら 8 桁以上で英数字を混ぜる | 14.1.1 | 求められる |
| 二要素認証なしなら 13 桁以上 | 14.1.1 | とすること |
| 定期的な変更 | 14.1.1 | 不要とする |
| VPN 装置(院外から院内につなぐ機器)にも二要素認証などを入れる | 14.1.1 | 望ましい |

桁数は遵守事項ではありませんが、文末は「求められる」「とすること」で、「望ましい」とされた VPN 装置の二要素認証より強い書き方です。なお、令和 8 年 9 月に公表された Q&A には、パスワードの桁数や変更を扱う問いはありません。

## 定期的な変更が要らなくなった経緯と、変えるべきとき

第 7.0 版の策定の通知(令和 8 年 6 月 29 日)は、パスワードの決まりの改定を要点の 1 つに挙げています。使い回しの禁止とアカウントロック(失敗が続いたらログインできなくする仕組み)を書き加え、「定期的な変更」の要件は削除した、という内容です。削除の理由は「セキュリティ面の強化につながらないとされる」と書かれています。第 6.0 版をもとに院内の規程で定期的な変更を決めている施設は、その条を見直す対象になります。定期的な変更をやめる考え方そのものは、[パスワードの定期変更はもう不要か](/guides/shared-accounts/periodic-password-change)に整理しています。

変更が要らなくなったのは、決まった周期で変えることだけです。遵守事項 ⑥(4) は、漏えいのおそれがある場合に、速やかに変更を含む処置を行うよう求めています。パスワードの失念(忘れること)や、漏えいのおそれなどでシステムの担当者がパスワードを変えるときの手順もあります。担当者は本人確認をして、その方法を台帳に書き、新しいパスワードを本人以外が知り得ない方法で伝えます。付箋に書いて渡す、ほかの人に聞こえる場所で伝える、といった方法は、この条件に合わないと読めます。

## 使い回しの範囲

遵守事項 ⑥(2) が禁じているのは、異なる医療情報システムの間での使い回しです。電子カルテと医事会計、部門システムで同じパスワードを使っていれば、この決まりに反します。14.1.1 は VPN 装置についても、使い回しや単純なパスワードによる被害が多発していると書いています。8 章の遵守事項 ⑤ も、情報機器(端末やサーバなど)のパスワードを出荷時のものから変え、14 章の要件を満たすよう求めています。機器のパスワードも、使い回さないことを含む 14 章の決まりの対象です。保守用の接続機器と院内のパソコンで同じパスワードを使っていた事案は、[管理者パスワードの使い回しでランサムウェアの被害が院内に広がった事案](/guides/incidents/reused-admin-password-ransomware)にまとめています。

## 保守を事業者に全て任せている医療機関の場合

サーバーの保守(セキュリティ更新を含む)を事業者に全て任せている医療機関等は、読む範囲が違います。概説編と保守委託機関編の遵守事項に対応すれば、ガイドラインを遵守しているとみなされます(概説編 3.1.5)。保守委託機関編には桁数の数字はありません。代わりに、事業者が他院と共通のパスワードを使い回して被害に遭った事案に触れています。事業者が設定するパスワードがこのガイドラインに合うことを、契約書に書いて約束してもらう方法を挙げています(3 章の 2「責任分界」の解説)。

## 複数人で使う ID に当てはめると

遵守事項 ② は、ID とパスワードを本人しか知り得ない状態に保つことを求めています。桁数や変更の決まりは、この状態の ID を前提に書かれていると読めます。1 つの ID を複数人で使っていると、13 桁にしても、辞めた人や勤務を終えた人がパスワードを知ったままになります。その場合は、人が入れ替わるたびに変えて、残る全員に伝え直すことになります。共有の ID とガイドラインの関係は[電子カルテ・診療システムの ID を複数人で使うことの問題と現実](/guides/healthcare-access/sharing-ehr-accounts-among-staff)にまとめています。


## よくある質問

**パスワードは何桁以上にすればよいですか**

二要素認証を使う場合は 8 桁以上(IC カードなどの暗証番号なら 4 桁以上)で、英数字を混ぜます。大文字と小文字の区別は問いません。二要素認証を使わない場合は 13 桁以上です。

**パスワードの定期的な変更は必要ですか**

第 7.0 版は、二要素認証の有無にかかわらず不要としています。漏えいのおそれがあるときに、速やかに変更を含む処置を行うことは遵守事項です。

**13 桁に設定できないシステムはどうしますか**

設定できる最大の桁数にしたうえで、次のシステムの更改(システムの入れ替え)か新規導入のときに必ず対応する、とされています。

**桁数の決まりは遵守事項ですか**

いいえ。遵守事項は、類推されやすい(推測されやすい)パスワードの制限や使い回しの禁止などです。8 桁・13 桁の数字は 14.1.1 の考え方の節にあり、文末は「求められる」「とすること」です。

**令和 8 年の改定で何が変わりましたか**

第 7.0 版(令和 8 年 6 月)で、使い回しの禁止と、失敗が続いたらログインできなくする仕組みが書き加えられ、「定期的な変更」の要件は削除されました。

## 参考資料

- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版(令和 8 年 6 月)」掲載ページ](https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 システム運用編」](https://www.mhlw.go.jp/content/10808000/001716295.pdf)
- [厚生労働省「『医療情報システムの安全管理に関するガイドライン第 7.0 版』の策定について」(令和 8 年 6 月 29 日)](https://www.mhlw.go.jp/content/10808000/001716656.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン第 7.0 版の概要及び主な改定内容」](https://www.mhlw.go.jp/content/10808000/001102596.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 概説編」](https://www.mhlw.go.jp/content/10808000/001716290.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 保守委託機関編」](https://www.mhlw.go.jp/content/10808000/001716297.pdf)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン Q&A」(令和 8 年 9 月)](https://www.mhlw.go.jp/content/10808000/001752355.pdf)

## Junify の場合

**人手で続けると** 職種ごとにアカウントを分け、応援や交代のたびに発行と停止を行い、誰がいつどの情報を見たかを、ガイドラインの求める期間だけ残し続けることになります。

**Junify なら** 診療システムの ID を複数人で使っていると、人が辞めるたびに長いパスワードを作り直し、残る全員に伝え直すことになります。Junify では、導入時にパスワードを変えて管理者が登録し、スタッフは自分のスマホで本人確認をしてクリックするだけでログインします。辞めた人が出ても、管理者がその人の割り当てを外すだけです。スタッフが 13 桁のパスワードを覚えることもありません。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=healthcare)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [私物端末(BYOD)から診療システムを使うときの安全管理](/guides/healthcare-access/byod-for-clinical-systems): 厚労省のガイドラインは私物端末の利用を禁じていませんが、許可の条件・利用範囲・管理方法などを規程に書いて台帳で管理し、院内の端末と同等の対策を手順にすることを求めます。管理されていない端末での利用は許可してはならないとしています。
- [医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるか](/guides/healthcare-access/medical-audit-log-retention): 遵守事項は、ログイン時刻・アクセス時間・操作した医療情報が分かる記録を残して定期的に確かめ、改ざんを防ぎ、時刻を正確に保つことです。年数の定めは厚労省のガイドラインになく、2 省ガイドラインが法定保存年限以上を原則にしています。
- [厚労省ガイドライン(第 7.0 版)が求める認証・アクセス管理を自施設に当てはめる](/guides/healthcare-access/mhlw-guideline-authentication-and-access-control): 求められるのは、利用者ごとの識別・認証、ID とパスワードを本人しか知り得ない状態に保つこと、申請に基づく権限付与、二要素認証、ID の台帳と棚卸しです。遵守事項ごとに、施設で確かめる点を表にします。