13．医療情報システムの利用者に関する認証等及び権限
企１３章第②条
企 Q－44 「医療情報システムで利用する認証方法が安全なものとなるよう」にする
ために、どのようなリスクを想定すればよいか。
Ａ 利用者の識別・認証に用いられる情報が第三者に漏れがないように以下のようなリス
クに対処することが想定されます。
・ ID とパスワードが書かれた紙等が貼られていて、第三者が簡単に知ることができて
しまう。
・ パスワードが設定されておらず、誰でもシステムにログインできてしまう。
・ 初期設定のパスワードが変更されておらず、利用者以外の者でもシステムにログイ
ンできてしまう。
・ 代行作業等のために ID・パスワードを他人に教えており、システムで保存される作
業履歴から作業者が特定できない。
・ 一つの ID を複数の利用者が使用している。
・ 容易に推測できる、あるいは、文字数の少ないパスワードが設定されており、容易に
パスワードが推測できてしまう。
・ 安全性が高くないパスワードを定期的に変更せずに使用しているために、パスワー
ドが推測される可能性が高くなっている。
・ 認証用の個人識別情報を格納するセキュリティ・デバイス（IC カード、USB キー等）
を他人に貸与する、又は持ち主に無断で借用することにより、利用者が特定できない。
・ 退職した職員の ID が有効になったままで、ログインができてしまう。
・ 医療情報部等で、印刷放置されている帳票等から、パスワードが盗まれる。
・ 不正ソフトウェアにより、ID やパスワードが盗まれ、悪用される。

46