13．医療情報システムの利用者に関する認証等及び権限
企１３章第②条
企 Q－４3 「医療情報システムで利用する認証方法が安全なものとなるよう」
にするために、どのようなリスクを想定すればよいか。
Ａ 利用者の識別・認証に用いられる情報が第三者に漏れがないように以下の
ようなリスクに対処することが想定されます。
・ ID とパスワードが書かれた紙等が貼られていて、第三者が簡単に知るこ
とができてしまう。
・ パスワードが設定されておらず、誰でもシステムにログインできてしまう。
・ 初期設定のパスワードが変更されておらず、利用者以外の者でもシステム
にログインできてしまう。
・ 代行作業等のために ID・パスワードを他人に教えており、システムで保存
される作業履歴から作業者が特定できない。
・ 一つの ID を複数の利用者が使用している。
・ 容易に推測できる、あるいは、文字数の少ないパスワードが設定されてお
り、容易にパスワードが推測できてしまう。
・ 安全性が高くないパスワードを定期的に変更せずに使用しているために、
パスワードが推測される可能性が高くなっている。
・ 認証用の個人識別情報を格納するセキュリティ・デバイス（IC カード、
USB キー等）を他人に貸与する、又は持ち主に無断で借用することによ
り、利用者が特定できない。
・ 退職した職員の ID が有効になったままで、ログインができてしまう。
・ 医療情報部等で、印刷放置されている帳票等から、パスワードが盗まれる。
・ 不正ソフトウェアにより、ID やパスワードが盗まれ、悪用される。

52