# 薬局・介護事業所のシステム(電子薬歴・介護記録・請求ソフト)のアカウント管理

薬局も介護事業者も厚労省の医療情報ガイドラインの対象です。職員ごとの ID、業務に合う権限、辞めた人の ID の停止、使った人の記録が求められます。1 つしか届かない介護の請求用 ID は、知る人と使った記録を事業所で決めます。

更新日: 2026-10-13

薬局と介護事業所のアカウント管理で求められることは、病院や診療所と大きくは変わりません。厚生労働省の「医療情報システムの安全管理に関するガイドライン」第 7.0 版は、対象とする「医療機関等」に薬局と介護事業者を含めています(概説編 2.1)。どの資料にも共通して出てくるのは、職員ごとに ID を分け、職種と業務に合わせて権限を付けることです。辞めた人の ID を消すか止めること、誰が使ったかを残すことも共通しています。違いが出るのは、点検に使う資料と、事業所に 1 つしか発行されない ID の扱いです。ガイドラインの全体は[医療情報システムの安全管理に関するガイドラインとは](/guides/healthcare-access/what-is-medical-information-system-security-guideline)にまとめています。

## 薬局と介護事業所に当てはまる文書

| | 薬局 | 介護事業所 |
| --- | --- | --- |
| 法令の根拠 | 薬機法施行規則 11 条 2 項 1 号 | 個人情報保護法の安全管理措置 |
| 医療情報のガイドライン | 対象 | 対象 |
| 点検に使う資料 | 医療機関・薬局向けのチェックリスト | 介護事業所向けの手引き |
| 点検のしかた | 立入検査で確認される | 手引きのチェックリストで自分で確かめる |

薬局では、薬機法施行規則 11 条 2 項 1 号が、薬局の管理者に、業務に関わる「サイバーセキュリティ」を確保する措置を求めています。この条文は概説編 4.3 も引いています。厚生労働省のサイバーセキュリティ対策チェックリストは、令和 7 年度版まで医療機関用と薬局用に分かれていました。項目が同じなので、令和 8 年度版から 1 本になっています。チェックリストのマニュアルによると、薬機法に基づく立入検査では、薬局がサイバーセキュリティの取組を行っているかを確かめます。令和 8 年度中にすべての項目が「はい」になるよう取り組むことが求められています。

介護事業所には、個人情報保護委員会と厚生労働省の「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」があります。対象は、居宅サービスや介護保険施設などの事業者です。ガイダンスは、技術的安全管理措置(情報システムの側で行う対策)を 6 つ挙げています。そのうちアカウントに関わるのは、アクセス管理(ID やパスワードなどによる認証と、業務に必要な範囲だけを見られる作り)と、アクセスの記録の保存です。認証には二要素認証(パスワードに加えてもう 1 つの方法で本人を確かめる仕組み)が望ましい、と注にあります。医療情報を扱う介護関係事業者がシステムを入れるときは、医療情報のガイドラインによる、ともしています。

令和 8 年 4 月には、厚生労働省の補助事業の検討委員会がまとめた「介護事業所における情報安全管理の手引き」が厚生労働省のサイトに載りました。手引きのチェックリストは、職員から経営者まで事業所で働く全員が使うものです。端末を起動するときに、自分専用の ID とパスワードか生体認証でログインしているかを確かめる項目があります。パスワードを書いたメモや付箋を、人目につく所に置いていないかも確かめます。

## 職員ごとの ID と権限

薬局では、チェックリストの 2-④ が職種と担当業務に応じた権限と、管理者権限を持つ人をはっきりさせることを求めています。2-⑤ は、退職者や使っていない ID の削除か無効化です。項目ごとの確かめ方は[厚労省のサイバーセキュリティ対策チェックリスト(令和 8 年度版)で、アカウントとアクセスの項目をどう確かめるか](/guides/healthcare-access/mhlw-cybersecurity-checklist-accounts)にまとめています。

介護事業所では、手引きの解説書が同じことを求めています。職員ごとに固有のユーザー ID を付けて共有アカウントを避け、権限は職務に必要な範囲に絞り、退職者のアカウントは速やかに無効にします。解説書は「複数人で同じID・パスワードを共有することは避けてください」とも書いています。あわせて、離席時にはログアウトするよう職員に指導し、一定時間(例として 30 分)操作がなければ自動でログアウトする設定を挙げています。ログインしたままの端末を別の職員が使えば、記録には前の人の ID が残ります。

電子薬歴や介護記録ソフトで権限をどこまで細かく分けられるかは、製品ごとに違います。薬局では、チェックリストの 2-③ が、事業者から医療情報セキュリティ開示書(MDS/SDS。製品のセキュリティ機能を決まった書式で示した書類)を出してもらうことを求めています。権限をどこまで分けられるかは、この書類と事業者への問い合わせで確かめるのが一例です。

薬局では、電子処方箋の電子署名も職員ごとの ID とかかわります。厚生労働省の資料は、調剤結果への電子署名は薬剤師本人が行う必要があると答えています。リモート署名は、1 日 1 回の本人認証で署名できる方式です。署名する人が端末を移ったときのために、院内で一人ずつを見分ける識別子(職員 ID など)と認証の結果をひも付けておく必要がある、と資料は答えています。この設定はシステム事業者が行います。薬剤師を一人ずつ見分ける ID が院内になければ、このひも付けはできないと読めます。

## 事業所に 1 つしか発行されない ID

介護保険の請求に使う電子請求受付システムの ID とパスワードは、国民健康保険団体連合会(国保連)から事業所に届きます。届くのは「電子請求登録結果に関するお知らせ」という書類です。国民健康保険中央会の手順書によると、この ID とパスワードは、ほかの国の仕組みを使い始めるときにも要ります。介護情報基盤(介護に関する情報を 1 つに集める国の仕組み)のポータル、ケアプランデータ連携システム、LIFE(科学的介護情報システム)です。

パスワードを忘れたときは、登録した「セキュリティ用メールアドレス」に、30 分だけ使える使い捨てのパスワードが届きます。手順書には、職員ごとに ID を出す手順はありません。そのため、パスワードを知っている人、このメールを受け取れる人、使った人と日時を、事業所が決めて残すことになります。手順書は、請求を代理人に任せていて事業所が ID を把握していない場合も想定しています。事業所が自分の ID を把握していなければ、誰がパスワードを知っているかも分かりません。

薬局が保険請求に使うオンライン請求システムの ID の扱いは[医事業務・レセプト業務を委託するときのアカウント](/guides/healthcare-access/outsourcing-medical-billing-accounts)に書いています。

## 入職・退職のときに決めること

人の出入りでは、ID を作る、止める、記録で確かめる、の 3 つの手順を決めます。ガイダンスは、監督する従業者に派遣労働者も含めているので、職員ごとに ID を分ける対象には派遣の人も入ると読めます。

1 つの ID を全員で使っていると、辞めた人だけを止められません。ID を消せば残る全員も入れなくなり、パスワードを変えれば全員に伝え直すことになるためです。解説書の事例集には、訪問看護ステーションで全員が同じ ID と単純なパスワードを使い、退職した元職員が自宅から利用者の情報を見ていた例があります。

記録について、薬局のチェックリストは 2-⑬「アクセスログを管理している」を置いています。マニュアルは、少なくともログイン時刻、アクセス時間、操作内容が分かる記録を求めています。共有の ID では、記録に残る利用者が一人の職員に結びつかないので、誰の操作かを記録だけでは確かめられません。医療機関の記録の考え方は[医療機関のアクセスの記録(監査ログ)は何をどこまで残す必要があるか](/guides/healthcare-access/medical-audit-log-retention)にまとめています。


## よくある質問

**薬局も医療情報ガイドラインの対象ですか**

はい。第 7.0 版の概説編は、対象とする医療機関等に薬局を含めています。薬機法施行規則 11 条 2 項 1 号も、薬局の管理者にサイバーセキュリティを確保する措置を求めています。

**介護事業所も医療情報ガイドラインを守るのですか**

概説編は介護事業者も対象に含めています。個人情報保護委員会と厚労省のガイダンスは、医療情報を扱う介護関係事業者がシステムを入れるときは、このガイドラインによるとしています。

**介護事業所にもチェックリストはありますか**

厚労省のサイトに載った「介護事業所における情報安全管理の手引き」にあります。端末を起動するとき自分専用の ID とパスワードか生体認証でログインしているか、などを職員と管理者が確かめます。

**介護の請求用 ID は職員ごとに分けられますか**

国保中央会の手順書では、電子請求受付システムの ID とパスワードは国保連から事業所に届きます。職員ごとに発行する手順は書かれていないので、誰が使うかは事業所が決めて残します。

## 参考資料

- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版(令和 8 年 6 月)」掲載ページ](https://www.mhlw.go.jp/stf/shingi/0000516275_00006.html)
- [厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版 概説編」](https://www.mhlw.go.jp/content/10808000/001716290.pdf)
- [厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト」(令和 8 年度版)](https://www.mhlw.go.jp/content/10808000/001716185.pdf)
- [厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル〜医療機関・薬局・事業者向け〜」(令和 8 年度版)](https://www.mhlw.go.jp/content/10808000/001716186.pdf)
- [個人情報保護委員会・厚生労働省「医療・介護関係事業者における個人情報の適切な取扱いのためのガイダンス」(令和 8 年 4 月一部改正)](https://www.ppc.go.jp/files/pdf/260401_iryoukaigo_guidance.pdf)
- [厚生労働省掲載「介護事業所における情報安全管理の手引き」(令和 8 年 4 月、令和 7 年度老人保健事業推進費等補助金 調査事業)](https://www.mhlw.go.jp/content/12306000/001719620.pdf)
- [厚生労働省掲載「介護事業所における情報安全管理の手引き(解説書)」(令和 8 年 3 月)](https://www.mhlw.go.jp/content/12306000/001719621.pdf)
- [国民健康保険中央会「介護事業所のみなさまへ セットアップ手順書 電子請求受付システムユーザID・パスワード編」(令和 8 年 1 月版、厚生労働省掲載)](https://www.mhlw.go.jp/content/12301000/tebiki_besshi_03.pdf_safe.pdf)
- [厚生労働省「電子処方箋における電子署名について【医療機関・薬局の方々へ】」(令和 8 年 8 月 1.4 版)](https://www.mhlw.go.jp/content/11120000/001242673.pdf)

## Junify の場合

**人手で続けると** 職種ごとにアカウントを分け、応援や交代のたびに発行と停止を行い、誰がいつどの情報を見たかを、ガイドラインの求める期間だけ残し続けることになります。

**Junify なら** 職員ごとに ID を作れず、事業所で 1 つの ID をブラウザーで使うサービスでは、人が入れ替わるたびに、パスワードを知っている人を決め直して記録します。Junify では導入時にパスワードを変えて Junify だけが持ち、職員はそれぞれのスマホで本人確認を済ませて使います。誰が・いつ使ったかは一人ずつ残り、辞めた職員は割り当て(使ってよいアカウントの指定)を外すと入れなくなります。

Junify は、パスワードを渡さずに社内外の担当者へ仕事を任せるためのアクセス管理サービスです。担当者はスマホで本人認証し、カードをクリックするだけで必要なアカウントにログインできます。パスワードは開示されず、誰がいつどのアカウントを使ったかは個人単位で記録されます。

- [登録不要の体験デモを見る](https://www.junify.jp/bpo/try?scenario=healthcare)
- [30 分デモを予約する](https://www.junify.jp/bpo/demo)

## 同じテーマの記事

- [予約・問診・オンライン診療などのクラウドサービスで、アカウント管理の責任はどこで分かれるか](/guides/healthcare-access/clinic-saas-responsibility-split): 基本の形は、サービス側の仕組みと安全対策は事業者、誰に ID を出していつ止めるかは医療機関です。厚労省のガイドライン第 7.0 版は、この分かれ目を事業者と文書で取り決め、開示書(MDS/SDS)で確かめるよう求めています。
- [医療機関がサイバー攻撃を受けたとき、アカウントについて最初に行うこと](/guides/healthcare-access/medical-cyber-incident-account-response): 初動は保守会社への連絡、ネットワークの遮断と攻撃者が残した裏口の無効化、記録の保全です。侵害された可能性のある機器の ID とパスワードの無効化は、ガイドラインでは復旧の際の方策です。非常時用のアカウントは正常に戻った後に使えなくします。
- [オンライン資格確認の端末で使うアカウントとパスワードの管理](/guides/healthcare-access/online-eligibility-verification-terminal): 資格確認端末には Windows のログイン、電子証明書、システムのアカウントがあり、顔認証付きカードリーダーにもアカウントがあります。システムのアカウントは職員一人ずつ作って退職時に止め、管理用の ID は持つ人と保管場所を決めます。