他方、「政府機関等の対策基準策定のためのガイドライン（平成 30 年度版）（内閣官
房 内閣サイバーセキュリティセンター（以下「NISC」））」においては、利用者にパスワ
ードの定期的な変更を求めるか否かは、その効果と逆効果を勘案して判断する必要があ
る旨を指摘しています。例えば「オフライン攻撃を許す旧式の認証プロトコルが用いら
れている場合であって、13 文字といった十分に長いパスワードを設定できない旧式の
情報システムを用いている場合には、パスワードの定期的な変更は必要である。この場
合には、オフライン攻撃によってパスワードを復元されるまでにかかる時間を踏まえて、
必要な周期での定期的な変更を求める必要がある」としています。
医療情報を取り扱う医療情報システムの性格や構成を鑑みると、原則として、容易に
類推できないパスワードを使用しつつ、その定期的な変更を行うことが求められる。た
だし、利用するパスワードが 13 文字以上のランダムな設定がなされており、パスワー
ド管理の安全性などが担保されているシステムを用いている場合には、パスワードの定
期的変更は必ずしも求められない（※１）。なお、これらのパスワード変更に関するルー
ルは、ＩＤとパスワードのみによる認証を用いている場合に該当するものです。
なお二要素認証を採用している場合、必ずしもパスワードの定期的な変更は求められ
ない。）。
また、医療情報システムのシステム上の制約等で 13 文字以上の文字列を設定できな
い又は適切な管理を行うことができない環境においては、推定困難なパスワードを、脆
弱にならない形（※２）で定期的に変更させることにより、安全性を担保することができ
ると考えられます。この場合、英数字、記号を混在させた８文字以上の推定困難な文字列
のパスワードでもよいとしております。
しかしながら、ID とパスワードによる認証では、安全性の確保に限度があります。前
述の報告においても、医療情報のような個人情報へのアクセスは二要素以上の認証を組
み合わせる認証方式（二要素認証）とすることが示されています。そのため、できるだけ
早く二要素認証を導入することが求められます。本ガイドラインでは、令和 9 年度時点
で稼働していることが想定される医療情報システムを、今後、導入または更新する場合、
原則として二要素認証を採用することを求めています。導入または更新に際して、対象
となる製品・サービスがベンダ等から提供されていないなどの理由で二要素認証対応が
困難な場合にも、対象となる医療情報システムの利用に供する部屋の入室管理を個人ご
とに特定できるようにする等の措置を講じて、全体として二要素認証に相当する安全性
の確保を行う必要があります。
（※１）例えば、漏えいしたことのある及び推定可能な脆弱なパスワードを設定できな
い技術的な制約を課すことや、設定しようとするパスワードの強度が確認できる
こと等の管理が挙げられています。（実装に関係される方は“Digital Identity
Guidelines か ら Authentication and Lifecycle Management ”（ NIST
Special
Publication
800-63B
）
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.80063b.pdf を参照してください）。
（※２）例えば、以前のパスワードから推定可能なパスワードといった解析のヒントを
与えないような形が想定されます。
99