別紙2

統合前ガイドラインにおける対策項目一覧と医療情報安全管理ガイドライン6.0版の対応表
対策項目

大項目

小項目

No.

③長時間離席時の対策

③-1

③-2

対策項目で対応できる
内容

離席時及び非利用時には、端末をロックす

区分

リスクシナリオ例

◎

端末から離席している間、正当な利用

る、あるいはログオフして第三者の利用を未

者以外により、当該端末上での不正な

然に防ぐ。

閲覧・操作が行われる。

サービスの運用･保守端末等に、クリアスク

関連する医療情報安全管理ガイドライン要求事項
編

項番

区分

内容
システム運用 １２．物理的安全管理

⑥

編

者以外の者による入力・参照が生じないよう対策を実施すること。

措置​

利用者が医療情報を入力・参照する端末から長時間離席する際など、正当な利用

◎

リーン等の防止策を講じることを運用管理規
程等に定める。
③-3

医療機関等に設置されている医療情報の参照

◎

等が可能な利用者端末等に対するクリアスク
システム運用編

リーン等の情報漏洩防止策について、医療機

１２．物理的安全管理措置

【遵守事項】

関等と合意する。
③-4

端末又はセッションの乗っ取りのリスクを低

⑥

利用者が医療情報を入力・参照する端末から長時間離席する際など、正当な利用者

以外の者による入力・参照が生じないよう対策を実施すること。

◎

減するため、利用者のログオン後に一定の使
用中断時間が経過したセッションを遮断、あ
るいは強制ログオフを行う。
③-5

離席の場合のクローズ処理の具体的な適用に

システム運用 １２．物理的安全管理

⑥

編

者以外の者による入力・参照が生じないよう対策を実施すること。

措置​

利用者が医療情報を入力・参照する端末から長時間離席する際など、正当な利用

◎

ついて、医療機関等と合意する。
④安全なパスワード要

④-1

件の定義

パスワードについては、第三者から容易に推

◎

定されにくい内容を含む品質基準を策定し、

ことで、認証の突破及び不正な閲覧・

すべてのパスワードが品質基準を満たしてい

操作が行われる。

ることを確実とする。

④-2

パスワードポリシーについて、医療機関等と

パスワードには有効期限の設定を行い、定期

企画管理編

◎

合意する。
④-3

パスワードが窃取もしくは推測される

システム運用編

１３．医療情報システムの利用
者に関する認証等及び権限

１４．認証・認可に関する安全
管理措置

【遵守事項】

②

医療情報システムで利用する認証方法が安全なものとなるよう、担当者に対して、

リスク評価に基づいて適切な方法を採用することを指示し、その報告を受けること。

①
【遵守事項】

医療機関等で用いる医療情報システムへのアクセスにおいて、利用者の識別・認証

を行い、利用者認証方法に関する手順等に関して、規則、マニュアル等で文書化するこ
と。

１３．医療情報システ
企画管理編

ムの利用者に関する認
証等及び権限

②

医療情報システムで利用する認証方法が安全なものとなるよう、担当者にリスク

評価に基づいて、適切な方法を採用することを指示し、その報告を受けること。

システム運用 １４．認証・認可に関

②

編

の情報を、本人しか知り得ない状態に保つよう対策を実施すること。

する安全管理措置

◎

的な変更を強制する。ただし、利用者が患者

利用者の識別・認証にユーザIDとパスワードの組み合わせを用いる場合、それら

⑥

パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。

－

類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を

設けること。

等である場合には、他のサービスで利用して
いるパスワードを使わないよう特に促すだけ

－

でなく、サービス提供側から患者等に対して

によること）した状態で、適切な手法で管理・運用すること。

定期的なパスワードの変更を要求しないよう

－

にする。

システム運用 １４．認証・認可に関
編

する安全管理措置

医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換
利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報シ

ステムのシステム運用担当者がパスワードを変更する場合には、利用者の本人確認を
行うとともに、どのような手法で本人確認を行ったのかを台帳に記載（本人確認を
行った書類等のコピーを添付）すること。また、変更したパスワードは、利用者本人
以外が知り得ない方法で通知すること。なお、パスワード漏洩のおそれがある場合に
は、速やかにパスワードの変更を含む適切な処置を講じること。
－

医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定

できないようにすること（設定ファイルにパスワードが記載される等があってはなら
ない）。
④-4

パスワードの世代管理を行い、パスワード変

◎

更に際して、安全性を確保するために必要な
範囲で、過去に設定したパスワードを設定で
きないような運用を行う。

④-5

パスワード発行時には、乱数から生成した仮

◎

の医療情報システム等へのログオン用パス

－

類推されやすいパスワードを使用させないよう、設定可能なパスワードに制限を設

－

的に変更させる等パスワード盗難リスクに対
④-6

パスワードを利用者認証に使用する場合、次に掲げる対策を実施すること。

けること。

ワードを発行し、最初のログオン時点で強制
する対策を実施する
パスワードをシステムに記憶させる自動ログ

⑥

医療情報システム内のパスワードファイルは、パスワードを暗号化（不可逆変換に

よること）した状態で、適切な手法で管理・運用すること。
－

◎

オン機能を利用しないよう利用者に徹底す

システム運用編

る。

１４．認証・認可に関する安全
管理措置

【遵守事項】

利用者のパスワードの失念や、パスワード漏洩のおそれなどにより、医療情報シス

テムのシステム運用担当者がパスワードを変更する場合には、利用者の本人確認を行う
とともに、どのような手法で本人確認を行ったのかを台帳に記載（本人確認を行った書
類等のコピーを添付）すること。また、変更したパスワードは、利用者本人以外が知り
得ない方法で通知すること。なお、パスワード漏洩のおそれがある場合には、速やかに

④-7

利用者がパスワードを登録及び変更する際に

◎

パスワードの変更を含む適切な処置を講じること。

は、予め定めた品質を満たしていることを保

－

証する仕組み、乱数によりパスワードを生成

きないようにすること（設定ファイルにパスワードが平文で記載される等があってはな

するプログラム等の導入、利用者が設定しよ

らない）。

医療情報システムのシステム運用担当者であっても、利用者のパスワードを推定で

うとする品質の低いパスワードを認めないシ
ステムの導入等を行う。
④-8

本人の識別･認証に用いる情報は、本人しか

◎

知り得ない状態に保つよう対策を行う。

22/39