「90日ごとにパスワードを変更してください」という院内アナウンスを出し続けている医療機関は、まだ多いはずです。そして、その結果として何が起きているかも、担当者は薄々気づいています。Sakura2026! が Sakura2027! になり、変更日を紙に書いてモニターの縁に貼る職員が現れ、「共用端末のパスワードが変わったので教えてください」という電話が情報システム部門に集中する。
パスワードポリシーは、厳しくすれば安全になるものではありません。守れないルールは迂回され、迂回の結果としてかえって危険な運用が生まれます。付箋、口頭での共有、単純なパターンの反復。これらはすべて、ルールと現場の折り合いがついていないことの表れです。
一方で、医療機関には譲れない事情もあります。外来診察室の端末は複数の医師が使い、病棟のナースステーションでは職員が入れ替わり立ち替わり操作します。診療の速度を落とすわけにはいきません。「一人一台・毎回ログイン」が理想だと分かっていても、そのまま適用できない場所があります。
本記事は、この二つの制約——認証を弱くできないことと、現場で運用できること——の間で、どう線を引くかを整理したものです。パスワード単体で完結させようとせず、認証全体の設計として考えるところから始めます。
免責：本記事は一般的な情報提供です。医療情報システムの認証に関する要求事項は、厚生労働省「医療情報システムの安全管理に関するガイドライン」および関係省庁の公表資料が正本です。具体的な設定は、それらと自院のシステム仕様に基づいて判断してください。
パスワードポリシーの前提が変わった
かつての定番は「8文字以上、英大文字・小文字・数字・記号を混在、90日ごとに変更」でした。この方針は長く標準として扱われてきましたが、国際的な推奨は近年明確に変化しています。
米国NISTの電子的認証に関するガイドライン（SP 800-63B）は、利用者に対して定期的なパスワード変更を一律に強制すべきではなく、認証情報の侵害が疑われる場合に変更を求めるという考え方を示しています。また、複数の文字種の混在を機械的に要求するのではなく、長さを確保することと、既知の漏えいパスワードや推測されやすい文字列を拒否することに重点を置く方向を示しています。
考え方の背景は単純です。
- 定期変更を強制すると、利用者は規則的に推測できる変化（末尾の数字を増やす等）を選びやすくなる
- 複雑さの機械的な要求は、記憶しにくく書き留められやすいパスワードを生む
- 現実の被害の多くは、総当たりでの推測よりも、他サービスから漏えいした認証情報の使い回しや、利用者から直接聞き出す手口に起因する
つまり、労力を「変更の頻度」に投じるより、「長さ」「使い回しの排除」「多要素認証」に投じるほうが効果が大きい、という整理です。
ただし注意が必要な点があります。「定期変更をやめる」は単独で成立する判断ではありません。 漏えいの検知手段があること、多要素認証が併用されていること、侵害の疑いがあれば速やかに変更を強制できることが前提です。これらがないまま期限だけ撤廃すると、同じパスワードが何年も使われ続ける状態になります。
医療機関の場合、加えて考慮すべきは診療報酬上の位置づけです。2026年度改定で新設された電子的診療情報連携体制整備加算は、共通要件としてガイドラインへの準拠と専任の医療情報システム安全管理責任者の配置を求めています。認証の設計は、その準拠を説明する材料のひとつになります。改定の全体像は 2026年度診療報酬改定 を、ガイドラインの基礎は 3省2ガイドラインとは を参照してください。
長さ・複雑さ・変更頻度をどう決めるか
方針を決めるにあたって、対象を一律に扱わないことが出発点です。すべてのアカウントに同じルールを課すと、最も厳しい要件が最も弱い運用に引きずられます。
| 区分 | 例 | 推奨する方向 |
|---|---|---|
| 一般職員の個人アカウント | 電子カルテ、部門システム | 長さを優先（目安として12文字以上）。複雑さの機械的要求は緩め、漏えい済み文字列を拒否。定期変更は多要素認証と検知手段がある前提で緩和を検討 |
| 特権アカウント | システム管理者、データベース管理者 | 長さを強く要求。多要素認証を必須。使用のたびに申請・記録。可能なら払い出し方式へ（特権ID管理） |
| 保守ベンダーのアカウント | 遠隔保守での接続 | 個人単位で発行し、多要素認証を必須。契約で管理義務を明記（リモートメンテナンスの安全管理） |
| 共用端末のアカウント | 外来・病棟の共用操作 | 本記事後半で扱う。パスワードだけで解こうとしない |
| 機器・サービス間の認証 | システム間連携、医療機器 | 人が覚える必要がない。長くランダムな値とし、変更手順を文書化 |
そのうえで、各要素の考え方を整理します。
長さ——最も費用対効果が高い要素です。複雑さの要求より長さのほうが記憶しやすく、かつ強度に寄与します。「意味のある単語を複数つないだ長い文字列（パスフレーズ）」を許容する設計にすると、職員が受け入れやすくなります。
複雑さ——文字種の混在を機械的に強制する効果は限定的です。ただし、システム側の制約でそもそも長さを確保できない場合（古い部門システムに多い）は、複雑さで補うほかありません。システムごとに設定可能な上限・下限を先に調べることが必要です。
変更頻度——一律の定期変更をやめる場合、代わりに次を用意します。
- 漏えいした認証情報の検知手段（後述）
- 侵害の疑いが生じたときに、即時に強制変更できる手順
- 多要素認証の適用（多要素認証の導入）
- 退職・異動時のアカウント処理手順
これらが揃っていない段階では、定期変更を残しつつ期間を延ばす（例：90日→180日または1年）という中間的な着地も現実的です。理想形に一足飛びに行こうとして何も変えられないより、段階を踏むほうが結果が出ます。
アカウントロック——連続した認証失敗への対応も設計に含めます。ただし医療機関では、ロックが診療の妨げになる場面があります。ロックする閾値と、解除の手順・担当・所要時間をセットで決めてください。「夜間にロックされたが解除できる人がいない」は実際に起きます。
使い回しと漏えい認証情報をどう検知するか
現実の侵害で効いてくるのは、パスワードの複雑さよりも使い回しです。職員が院内システムと個人のサービスで同じパスワードを使っていれば、外部サービスの漏えいが院内に波及し得ます。
医療機関が取り得る手段は次のとおりです。
| 手段 | 内容 | 導入のしやすさ |
|---|---|---|
| 漏えいパスワードの拒否 | 既知の漏えいリストに含まれる文字列を、設定時に拒否する | システム側が対応していれば設定のみ。対応可否はベンダー確認が必要 |
| 辞書・推測されやすい文字列の拒否 | 病院名、診療科名、password 等を拒否 | 禁止語リストを自院で用意して登録 |
| 同一パスワードの再利用禁止 | 過去に使った値への戻しを禁止 | 多くのシステムが標準機能として持つ |
| 職員への周知 | 院内システムのパスワードを外部サービスと共用しない旨を教育に含める | 費用はかからないが、継続が必要（職員教育・訓練の設計） |
| 多要素認証 | 使い回しが起きても、単独では認証を通させない | 最も効果が確実。共用端末での運用設計が論点 |
注意していただきたいのは、「職員に外部サービスの利用状況を申告させる」形にしないことです。実効性がないうえ、正直な申告を得られません。技術的に拒否できるところは技術で対応し、残りは教育と多要素認証で受けるのが現実的な配分です。
また、パスワード管理ツールの扱いを方針として決めておくと現場が助かります。職員が付箋に書くのを禁じるだけでは、行き場がありません。院として認めるツールを示すか、少なくとも「どこに書いてよいか」の基準を示すほうが、実態は改善します。
医療現場の共用端末という現実
ここが医療機関のパスワードポリシーで最も難しい部分です。
外来診察室、病棟のナースステーション、処置室、検査室。これらの端末は複数の職員が短時間で入れ替わりながら使います。緊急時に「ログイン画面でパスワードを打ち直す」ことが安全上の問題になる場面すらあります。結果として、共用アカウントでログインしっぱなしにする運用が生まれます。
共用アカウントの問題は明確です。
- 誰が操作したかが記録に残らない。不正閲覧が起きても特定できない（電子カルテのアクセスログ点検）
- パスワードが職員間で共有され、退職者が知っている状態が続く
- 変更すると全員に周知が必要になるため、事実上変更できなくなる
一方で、「共用をやめて一人一台にする」は多くの医療機関で費用的にも運用的にも即座には実現しません。ではどうするか。パスワードの強度で解こうとせず、認証方式そのものを変える方向で考えます。
| 代替手段 | 内容 | 留意点 |
|---|---|---|
| ICカード・職員証による認証 | カードをかざして本人を識別。端末は共用のまま、利用者は個人単位で記録される | カードの貸し借り防止を運用で担保する必要がある |
| 生体認証 | 指紋・静脈等。手袋の着用状況など診療科ごとの適性を確認 | 導入端末の制約。代替手段の用意が必要 |
| 端末ロックと短時間の再認証 | 一定時間で画面ロックし、簡易な再認証で復帰する | ロック時間は診療の流れに合わせて部署ごとに調整 |
| 職種・部署単位のアカウント分離 | 完全な個人識別が難しい場合でも、範囲を絞ることで説明可能性を上げる | 暫定策。個人識別への移行計画とセットで |
| シングルサインオン | 一度の認証で複数システムへ。打鍵回数を減らし、強い認証を許容しやすくする | 対応システムの範囲を事前確認 |
設計の順序としては、「個人を識別できること」を先に確保し、そのうえで打鍵の負担を下げるのが筋です。個人識別を諦めたまま利便性だけを上げると、ログが意味をなさなくなります。
現実的な進め方としては、リスクの高い場所から順に対応するのが定石です。全職員の情報を参照できる端末、特権的な操作ができる端末、人の出入りが多く目が届きにくい場所の端末。ここから個人識別を導入し、それ以外は段階的に移行します。端末そのものの管理は 端末管理｜持ち出しPC・タブレット、ネットワーク側の分離は ネットワーク分離と資産管理 を参照してください。
ポリシーを文書にする
決めたことは文書にします。文書化の目的は、審査や監査のためだけではありません。担当者が替わっても同じ運用が続くこと、そして例外を認めた理由を後から説明できることにあります。
パスワードポリシーに記載すべき項目は次のとおりです。
| 項目 | 記載する内容 |
|---|---|
| 適用範囲 | 対象となるシステム・アカウント区分 |
| 要件 | 区分ごとの長さ・複雑さ・変更頻度・履歴の再利用禁止 |
| 発行と廃止 | 採用・異動・退職時の手順と担当。ベンダーアカウントの取り扱い |
| 初期パスワード | 発行方法、初回ログイン時の変更強制 |
| ロックと解除 | 失敗回数の閾値、解除の担当と手順、夜間休日の取り扱い |
| 禁止事項 | 共有、書き留めの条件、外部サービスとの使い回し |
| 共用端末 | 認められる運用形態と、個人識別の確保方法 |
| 例外 | 要件を満たせないシステムの一覧、代替措置、見直し時期 |
| 点検 | 誰が、どの頻度で、何を確認するか |
「例外」の欄を必ず設けてください。 古い部門システムや医療機器の中には、長いパスワードを設定できないものがあります。この事実を隠すのではなく、一覧にして代替措置（ネットワーク分離、アクセス元の限定、ログ監視の強化）を書いておくほうが、管理としては健全です。更新時に是正する対象としても残ります。調達段階で要件化しておく方法は 医療情報システムの調達要件にセキュリティを入れる にまとめています。
そして、ポリシーは配るだけでは伝わりません。 何を守ってほしいのか、なぜそうするのかを、職種別に短く説明する機会を設けてください。「定期変更をやめた」ことも、理由を説明しないと「セキュリティが緩くなった」と受け取られます。
まとめ
パスワードポリシーを見直すときの要点は次のとおりです。
- 国際的な推奨は、定期変更の一律強制から、長さの確保・漏えい文字列の拒否・多要素認証へ移っている
- ただし定期変更の撤廃は単独では成立しない。検知手段・強制変更手順・多要素認証が前提。揃わないうちは期間延長という中間解を取る
- アカウントを区分ごとに扱う。一般職員・特権・保守ベンダー・機器間・共用端末で要件を変える
- 実被害に効くのは複雑さより使い回しの排除。技術で拒否できる部分は技術で、残りは教育と多要素認証で受ける
- 共用端末はパスワードで解かない。ICカードや生体認証で個人を識別し、そのうえで打鍵の負担を下げる
- 文書には例外の一覧と代替措置を必ず書く。守れないルールを書いたままにしない
パスワードポリシーの見直しは、認証方式・端末構成・部署ごとの業務フローが絡むため、方針だけを決めても現場で止まりがちです。自院の状況に合わせた線引きが難しい場合は、お問い合わせ からご相談ください。電子カルテの運用実態を踏まえて、どこから着手するかの整理をお手伝いします。
参考・出典
- 医療情報システムの安全管理に関するガイドライン｜厚生労働省
- 医療情報システムの安全管理に関するガイドライン 第6.0版（本文）｜厚生労働省
- NIST SP 800-63B Digital Identity Guidelines: Authentication and Lifecycle Management
- 情報処理推進機構（IPA）
- 令和8年度診療報酬改定について｜厚生労働省
※認証に関する推奨事項は改定により変わります。具体的な要件は各ガイドラインの最新版と、利用中のシステムの仕様をご確認ください。