シス１４章第⑥条
シＱ－５0

「類推されやすいパスワードを使用させないよう、設定可能なパ
スワードに制限を設けること」とあるが、類推を防ぐために定期的
な変更を求めることは有効か。
また、令和 9 年度時点で稼働していることが想定される医療情報
システムを、今後、導入または更新する場合、原則として二要素認証
を採用する趣旨は何か。

Ａ

医療情報システムにおいては、医療情報を預かる医療従事者による職務上
の安全確保という観点から、推定困難なパスワードを設定することが求めら
れます。
パスワードの要件による安全性については、日々研究が進められています。
近年では、定期的な変更を行うことで利用者が推定可能なパスワードを設定す
ることで、むしろ脆弱になってしまうという報告もあります。
米国国立標準技術研究所（以下、「NIST」）から 2017 年 6 月に公表され
た「SP 800-63-3（Digital Identity Guidelines（デジタルアイデンティに
関するガイドライン））第 3 版」においては、パスワードの定期的な変更を強
制することにより、「類推されやすいパスワードを使用しない」という要件を
満たさないことになるリスクが指摘されています。他方、「政府機関等の対策
基準策定のためのガイドライン（平成 30 年度版）
（内閣官房 内閣サイバーセ
キュリティセンター（以下「NISC」））」においては、利用者にパスワードの定
期的な変更を求めるか否かは、その効果と逆効果を勘案して判断する必要があ
る旨を指摘しています。例えば「オフライン攻撃を許す旧式の認証プロトコル
が用いられている場合であって、13 文字といった十分に長いパスワードを設
定できない旧式の情報システムを用いている場合には、パスワードの定期的な
変更は必要である。この場合には、オフライン攻撃によってパスワードを復元
されるまでにかかる時間を踏まえて、必要な周期での定期的な変更を求める必
要がある」としています。
医療情報を取り扱う医療情報システムの性格や構成を鑑みると、原則として、
容易に類推できないパスワードを使用しつつ、その定期的な変更を行うことが
求められる。ただし、利用するパスワードが 13 文字以上のランダムな設定が
なされており、パスワード管理の安全性などが担保されているシステムを用い
ている場合には、パスワードの定期的変更は必ずしも求められない（※１）
。
なお、これらのパスワード変更に関するルールは、ＩＤとパスワードのみによ
る認証を用いている場合に該当するものです。

103