パスワードは13文字？8文字？チェックリスト2-⑦⑧の決め方

チェックリスト2-⑦は、二要素認証を入れるまでは英数字をまぜた13文字以上、入れた後は8文字以上のパスワードにしているかを聞く項目です。2-⑧は、同じパスワードを使い回していないかを聞いています。

ガイドライン第7.0版では、パスワードの定期的な変更は不要になりました。記号を入れることも求められていません。

「長くする」「使い回さない」「出荷時のままにしない」の3つを院内のルールにして、業者が管理する機器も同じ基準か確かめれば、記入に必要な材料がそろいます。

2-⑦と2-⑧で聞かれていること

令和8年度版チェックリストの2-⑦と2-⑧は、次の文です。

⑦パスワードは英数字の混在した8桁以上としている。※二要素認証を採用するまでの期間は13桁以上としている ⑧パスワードの使い回しを禁止している。

二要素認証は、パスワードに加えて、ICカードや指紋などもう1つ別の方法で本人を確かめる仕組みです。いまパスワードだけで電子カルテやパソコンにログインしているなら、基準は13文字以上です。

チェックリストでは「桁」、マニュアルの見出しでは「文字」と書かれていますが、意味は同じです。

マニュアルは対象を「医療情報システム全般」としています。パソコンのログインだけでなく、サーバやルータなどのネットワーク機器のパスワードも含まれます。

令和8年度中に「はい」を目指す項目

チェックリストは、令和8年度中にすべての項目で「はい」になるよう取り組むことを求めています。

令和9年度以降に回せると注記があるのは、二要素認証そのものを聞く2-⑪と2-⑫だけです。2-⑦と2-⑧には、そうした注記はありません。

業者の確認用には「対象外」がない

2-⑦と2-⑧は、医療機関が書く「医療機関・薬局確認用」と、業者に書いてもらう「事業者確認用」の両方に載っています。

事業者確認用の多くの項目は「はい・いいえ・対象外」から選びますが、2-⑦と2-⑧は「はい・いいえ」の2択です。保守契約の範囲にかかわらず、業者が扱うパスワードについても答えてもらう形になっています。

13文字と8文字の分かれ目

文字数の根拠は、ガイドライン第7.0版（システム運用編）の14.1.1「利用者の識別・認証」です。

ガイドラインは、二要素認証を入れていることを前提に、パスワードは8桁以上（PINなら4桁以上）としています。PINは、ICカードなど特定の機器で使う4〜8桁の暗証番号のことです。

そのうえで、二要素認証を入れていない場合は13桁以上にするよう書いています。

13文字に設定できないシステムがある場合

古い電子カルテや機器では、パスワードの文字数に上限があることがあります。

ガイドラインは、システムの仕様で13桁以上にできない場合、設定できる最大の文字数にして、次にシステムを入れ替えるときや新しく入れるときに必ず対応するよう求めています。

いまは最大の文字数にしておき、業者と入れ替えの時期を確かめて、2-⑦を「いいえ」にするなら目標日を書いておきます。目標日の書き方はチェックリストの書き方で解説しています。

記号は必須ではない

令和8年度版チェックリストとガイドライン第7.0版が求めているのは「英数字の混在」です。ガイドラインには、大文字と小文字は問わないとも書かれています。

記号を入れてもかまいませんが、要件ではありません。記号を必須にしてパスワードが覚えにくくなり、メモに頼るくらいなら、英数字をまぜて長くする方が要件に沿っています。

定期的な変更はいらない

ガイドライン第7.0版は、二要素認証の有無にかかわらず、パスワードの定期的な変更は不要としています。

以前の研修資料などでは「8文字の場合は定期的に変更」と説明されていたものもあります。院内の規程に「3か月ごとに変更」などと書かれていれば、第7.0版にあわせて見直す対象です。

ただし、漏えいのおそれがあるときは、すぐにパスワードを変えるなどの対応をとるよう、ガイドラインに書かれています。

院内で決めておく5つのルール

マニュアルとガイドラインに書かれていることを、院内のルールに置き換えると次のようになります。

マニュアルは、単純なパスワードを使っていたことで攻撃の被害を受ける例が相次いでいるとしています。

付箋でモニターに貼る管理については、マニュアルに「絶対に避けなければなりません」とはっきり書かれています。

システムの側で決めること

ガイドラインは、人がルールを守るだけでなく、システムの設定でも守るよう求めています。

• 推測されやすいパスワードを設定できないよう、制限をかける
• 決まった回数ログインに失敗したら、しばらくログインできなくする（ロック）
• 業者や院内の担当者でも、職員のパスワードを知ることができない状態にする

こうした設定は院内では確かめにくいため、業者に聞くのが確実です。

1人1つのIDにしておく

パスワードを長くしても、職員みんなで同じIDとパスワードを共有していては、誰が使ったのか分かりません。

IDを1人1つにして、職種ごとに権限を分ける考え方は、アクセス権限と管理者権限の決め方で解説しています。

使い回しが起きやすい場所

2-⑧の使い回しは、職員が自分のパスワードを複数のサービスで使うことだけではありません。

マニュアルは、パスワードの使い回しは漏えいのリスクを高め、一度漏れると被害が広がるため、複数の機器や外部のサービスで同じパスワードを設定しないことが必要だとしています。

マニュアルが危険な例として挙げているのは、次の2つです。

• 院内のサーバやネットワーク機器に、同じパスワードを使っている
• 業者が、契約している複数の医療機関に、同じパスワードを使って管理している

マニュアルには、業者が顧客のすべての医療機関で同じパスワードを使い回していて、サイバー攻撃を受けた事案が報告されていると書かれています。そのため、事業者確認用のチェックリストで、業者に使い回しをしていないことを宣言してもらう形になっています。

VPN装置とリモート保守

ガイドラインは、VPN装置でもパスワードの使い回しや単純なパスワードによって攻撃の被害が多発しているとしています。パスワードだけに頼らず、二要素認証などを入れることが望ましいとも書かれています。

リモート保守の入口になる機器の確かめ方は、リモートメンテナンスとVPNの確認方法で解説しています。

職員の個人のパスワード

IPA（情報処理推進機構）も、一般の利用者に向けて、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにすることを勧めています。

院内のパスワードを、職員が個人で使っているネット通販やSNSと同じにしないよう、入職時に伝えておくと安心です。

業者に頼むこと

サーバやルータ、VPN装置のパスワードは、業者が設定・管理していることがほとんどです。

マニュアルも、業者が管理している場合は、事業者確認用のチェックリストで、業者の設定がガイドラインの要件を満たしているか確かめるよう求めています。契約している業者ごとに、次のように頼めばそのまま使えます。

いつもお世話になっております。厚生労働省のサイバーセキュリティ対策チェックリスト2-⑦・2-⑧に対応するため、パスワードの設定を確認しています。 貴社が納品・保守している当院の電子カルテ・パソコン・サーバ・ルータ・VPN装置について、ログインに使うパスワードが英数字をまぜた13文字以上（二要素認証がある場合は8文字以上）になっているかを教えていただけますでしょうか。 あわせて、出荷時のパスワードが残っている機器がないか、当院の機器どうしや他の医療機関と同じパスワードを使っていないか、ログインに何度も失敗したときにロックがかかる設定になっているかも確認させてください。 13文字以上に設定できない機器があれば、設定できる最大の文字数と、対応できる時期（入れ替えの予定）をお知らせください。

返事は、事業者確認用のチェックリストに「はい・いいえ」で書いてもらうと、立入検査の前に見直すときも楽になります。

規程に書いておく

厚生労働省の研修資料では、OSやソフト、ネットワーク機器のパスワードの基本ルールを規程に定めておくことが勧められています。

運用管理規程に、上の5つのルール（長さ・推測されにくさ・出荷時のまま使わない・使い回さない・貼らない）を書いておけば、職員への説明にもそのまま使えます。規程の作り方は運用管理規程の作り方にまとめています。

二要素認証を入れる時期と、それまでの間の考え方は、二要素認証はいつまでに必要かで解説しています。

今日やること

1. 院内のパソコンと電子カルテのパスワードが13文字以上かを、事務長か担当者が確かめる。付箋で貼っているものがあれば外す
2. 業者に上の依頼文を送り、サーバ・ルータ・VPN装置の長さ、出荷時のまま残っていないか、使い回しがないかを聞く
3. 規程に「3か月ごとに変更」などの古い決まりがあれば、第7.0版にあわせて「13文字以上・使い回し禁止・定期変更は不要」に見直す