なお二要素認証を採用している場合、必ずしもパスワードの定期的な変更は
求められない。
）。
また、医療情報システムのシステム上の制約等で 13 文字以上の文字列を設
定できない又は適切な管理を行うことができない環境においては、推定困難な
パスワードを、脆弱にならない形（※２）で定期的に変更させることにより、
安全性を担保することができると考えられます。この場合、英数字、記号を混
在させた８文字以上の推定困難な文字列のパスワードでもよいとしておりま
す。
しかしながら、ID とパスワードによる認証では、安全性の確保に限度があ
ります。前述の報告においても、医療情報のような個人情報へのアクセスは二
要素以上の認証を組み合わせる認証方式（二要素認証）とすることが示されて
います。そのため、できるだけ早く二要素認証を導入することが求められます。
本ガイドラインでは、令和 9 年度時点で稼働していることが想定される医療
情報システムを、今後、導入または更新する場合、原則として二要素認証を採
用することを求めています。導入または更新に際して、対象となる製品・サー
ビスがベンダ等から提供されていないなどの理由で二要素認証対応が困難な
場合にも、対象となる医療情報システムの利用に供する部屋の入室管理を個人
ごとに特定できるようにする等の措置を講じて、全体として二要素認証に相当
する安全性の確保を行う必要があります。
（※１）例えば、漏えいしたことのある及び推定可能な脆弱なパスワードを設
定できない技術的な制約を課すことや、設定しようとするパスワードの
強度が確認できること等の管理が挙げられています。（実装に関係され
る 方 は “ Digital Identity Guidelines か ら Authentication and
Lifecycle Management”（NIST Special Publication 800-63B）
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.S
P.800-63b.pdf を参照してください）。
（※２）例えば、以前のパスワードから推定可能なパスワードといった解析の
ヒントを与えないような形が想定されます。

104