アクセス権限と管理者権限の決め方｜チェックリスト2-④の記入例

チェックリスト2-④は、職種ごとに電子カルテなどで見られる範囲を分け、管理者権限を持つ人を最低限に絞っているかを聞く項目です。

職種ごとの権限が設定されていて、管理者権限を持つ人が誰か分かる状態になっていれば、「はい」に近づきます。

設定そのものは業者が行うことが多いので、院内で「誰に何をさせるか」を決め、業者に確かめてもらうのが近道です。

2-④で聞かれていること

令和8年度版チェックリストの2-④は、次の文です。

利用者の職種・担当業務別の情報区分毎のアクセス利用権限を設定している。※管理者権限対象者の明確化を行っている

言い換えると、聞かれているのは2つです。

• 職種や担当ごとに、使える範囲を分けているか（アクセス権限＝誰が、どの情報を、見る・書く・直すことができるか）
• 管理者権限を持つ人を絞り、誰なのかをはっきりさせているか

ここでいう対象は、電子カルテやレセコンのソフトだけではありません。マニュアルは2章の対象を、サーバ・端末・ネットワーク機器を含む「医療情報システム全般」としています。

管理者権限を絞る理由

マニュアルは、管理者権限を与えるアカウントは最低限のユーザに付与することを徹底するよう求めています。

理由として挙げられているのは、攻撃を受けたときに院内の別のパソコンへ被害が広がるのを防ぐためです。

マニュアルには、すべてのユーザに管理者権限があったために、ウイルス対策ソフトを止められるなどして被害が大きくなった事例が多いとも書かれています。

業者側の確認用にもある項目

2-④は、医療機関が書く「医療機関・薬局確認用」と、業者に書いてもらう「事業者確認用」の両方に載っている項目です。

事業者確認用では「はい・いいえ・対象外」から選びます。「対象外」は保守契約の範囲外という意味で、その場合は医療機関の側が責任を持つことになります。

まず「3つの箱」に分けて整理する

権限の話は、言葉が多くて分かりにくくなりがちです。院内のIDを、次の3つに分けて考えると整理しやすくなります。

左の箱が2-④の「管理者権限対象者の明確化」、真ん中が「職種・担当業務別の権限」、右が2-⑤の「不要なアカウントの削除」に当たります。

管理者権限を持つ人を決める

管理者権限は、パソコンやシステムの設定を変える、ソフトを入れる、IDを作ったり消したりできる強い権限です。

ガイドライン第7.0版（企画管理編）は、管理権限の種類とそのID、使ってよい人を管理して一覧にするよう求めています。

診療所なら、院長が決めた担当者1〜2人と、保守をする業者の担当者に絞るのが現実的です。

業者の管理者IDは「担当者ごと」に

ガイドライン（システム運用編）は、保守のときに、製品の出荷時に設定されている管理者ID（Administratorなど）を使わず、保守担当者ごとのIDを設けることで、誰が保守したか分かるようにすることも求めています。

ガイドラインのQ&Aでも、保守要員のアカウントは個人アカウント・最小権限で管理し、離職や担当替えのときにすぐ消せる体制にするよう示されています。

日々の業務は標準ユーザーで

厚生労働省の研修資料（MIST）は、管理者権限が設定されたユーザーで通常業務を行う設計のシステムは推奨されないとしていて、医療システムに多い問題だと注意しています。

受付や診察室のパソコンには、設定を変えられない「標準ユーザー」でログインするのが基本です。

同じ研修で取り上げられた岡山県精神科医療センターの事案の資料でも、攻撃の流れの図の中に「ユーザーに管理者権限付与」「すべてのPCで管理者パスワードが共通」が挙げられています。

職種ごとの権限の決め方

ガイドラインは、利用権限を医療従事者の資格や院内の権限規程に応じて決めるよう求めています。

権限の種類として挙げられているのは、「参照のみ」「作成できる」「更新できる」などです。システムで細かく分けられるなら、それを使うほどリスクを下げられるとされています。

厚生労働省の資料に、職種ごとの決まった表はありません。診療所での考え方の例を表にすると、次のようになります。

実際にどこまで分けられるかは、使っている電子カルテやレセコンによって違います。表は院内で話し合うたたき台として使い、業者に「この分け方ができるか」を聞きます。

記録の確定は、権限を持つ人だけ

ガイドライン（システム運用編）は、電子カルテの「記録の確定」を、確定できる権限を持った利用者に限るよう求めています。

医師の指示で事務スタッフが入力する場合（代行入力）は、誰の代行を、いつ、誰がしたかを記録し、できるだけ早く医師が内容を確かめて確定することになっています。

1つのIDをみんなで使っている場合

受付のパソコンを、共通のIDで全員が使っている場合の考え方です。

研修資料では、同じIDを再利用・共用することは適切ではなく、できるかぎりIDは個人に結びつけるよう示されています。ガイドラインも、IDとパスワードは本人しか知らない状態に保つよう求めています。

すぐに分けられない場合は、2-④を「いいえ」にして目標日を書けば構いません。次のシステム更新までに1人1IDにする計画を、業者と相談しておきます。

利用者ID台帳を作る

マニュアルは、利用者に付与したIDを台帳で一覧にすることが「望ましい」としています。必須ではありませんが、作っておくと2-④と2-⑤の確認がそのままできます。

マニュアルに載っている台帳の例は、次の列です。

マニュアルの例では、システム管理の1行だけが「Admin」、ほかはすべて「User」になっています。管理者権限の人がひと目で分かることが、この台帳のいちばんの役割です。

OSのIDも忘れずに

研修資料では、電子カルテなどのソフトのIDだけでなく、パソコンそのもの（OS）にログインするIDも確認の対象とするよう求めています。

ソフトのIDとOSのIDは別物です。台帳では、ソフト用とパソコン用を分けて書いておくと混同しません。

研修資料の例でも、パソコンのOSは「Administrator＝システム管理者」と「一般利用者＝標準ユーザー」に分けて整理されています。

自動ログイン用のIDにも注意

研修資料は、自動ログイン用のIDや管理者のIDは、誰とどこまで共有されているかに注意して確認するよう求めています。

電源を入れるとそのまま使えるパソコンがあれば、どのIDで動いているかを業者に聞いて、台帳に書いておきます。

機器の一覧（2-①）を作っている場合は、同じExcelファイルの別シートにすると管理しやすくなります。作り方は機器台帳の作り方で解説しています。

業者に頼むこと

権限の設定や、どのIDに管理者権限があるかは、業者に聞くのが早く確実です。電子カルテ・レセコンなど、契約している会社ごとに次のように頼めば、そのまま使えます。

いつもお世話になっております。厚生労働省のサイバーセキュリティ対策チェックリスト2-④に対応するため、利用者IDと権限を整理しています。 貴社が納品・保守している当院のシステムとパソコンについて、登録されているID・権限（管理者か一般か）・職種ごとに設定できる権限の種類の一覧をいただけますでしょうか。 あわせて、日常の業務を管理者権限のないIDで行えるか、貴社の保守用IDが担当者ごとに分かれているかも教えてください。

届いた一覧に、もう辞めた職員のIDや、昔の業者のIDが残っていることがあります。それは2-⑤（不要なアカウントの削除）で止めるか消す対象です。

研修資料では、記録を残すために削除ではなく無効化で対応する場合があることも示されています。

決めたあとの見直し

ガイドラインは、アクセス権限を人事異動などで担当業務が変わったときに合わせて見直すよう求めています。

あわせて、IDの棚卸し（台帳と実際の登録を照らし合わせ、不要なIDを消すこと）を定期的に行い、結果を経営層に報告して承認を得ることになっています。

運用管理規程（4-①）には、IDの登録・変更・停止の手順と、管理者権限を持つ人の決め方を書いておきます。研修資料の規程のひな形にも、この2つが入っています。書き方は運用管理規程の作り方で解説しています。

ほかの項目の書き方は、チェックリストの書き方にまとめています。

今日やること

1. 管理者権限を持つ人を決める。院長が担当者を1〜2人選び、名前を書き出す
2. 電子カルテ・レセコンの業者に、上の依頼文でIDと権限の一覧を頼む
3. 受付などで共通のIDを使っていないかを確かめ、使っていれば業者に1人1IDにできるか相談する