パスワードの使い回しを、どこからやめるか

院内のパスワードを全部 一度に変えるのは、現実には止まります。先に手を付ける場所は、法律が名指ししているところです。不正アクセス禁止法 第5条は、業務その他正当な理由による場合を除いて、アクセス制御機能に係る他人の識別符号を、その管理者と利用権者以外の者に提供してはならない、と定めています。使い回しの話は、まずここから始まります。

「渡してはいけない」は、条文に書いてある

この記事で読んだのは、不正アクセス行為の禁止等に関する法律と個人情報の保護に関する法律です。前者の第5条が置いているのは、他人のIDとパスワードを、その管理者でも本人でもない人に渡してはいけない、という定めです。例外として条文が挙げているのは、業務その他 正当な理由による場合です。

罰則も同じ法律の中にあります。第13条は、第5条に違反した者を30万円以下の罰金に処するとしています。第12条第2号は、相手に不正アクセス行為の用に供する目的があることを知って渡した場合について、1年以下の拘禁刑または50万円以下の罰金としています。参考までに、第3条（不正アクセス行為そのものの禁止）に違反した場合は、第11条が3年以下の拘禁刑または100万円以下の罰金としています。

たとえば、レセコンや予約システムのIDを1つだけ作って、みんなで使っている形です。この形が第5条の例外に当たるかどうかは、業務上の正当な理由があるかという条文の言葉に戻って考えることになります。先に確かめるのは「誰が、どのIDを、どこまで渡しているか」です。

管理する側には、別の努力義務がある

同じ法律の第8条は、アクセス管理者に対して、識別符号やこれを確認するために用いる符号を適正に管理するよう努めること、そしてアクセス制御機能の有効性を常に検証し、必要と認めるときは速やかに防御のための措置を講じるよう努めること、を求めています。努めるものとする、という書き方なので、違反に罰則が付く形ではありません。ただ、条文が管理者の側にも仕事を置いていることは読み取れます。

医院で言えば、アクセス管理者にあたるのは院内のシステムを預かる側です。パスワードを配ったあと、有効かどうかを見に行く人がいるか。ここが決まっていない医院は、退職したスタッフのIDがそのまま残ります。

患者の情報を扱う以上、もう1本かかる

個人情報の保護に関する法律 第23条は、個人情報取扱事業者に対し、取り扱う個人データの漏えい・滅失・毀損の防止その他の安全管理のために、必要かつ適切な措置を講じなければならない、としています。第24条は、従業者に個人データを取り扱わせるにあたって、安全管理が図られるよう、その従業者への必要かつ適切な監督を行わなければならない、としています。

どちらも「必要かつ適切な」という書き方で、具体的な手順までは条文に書かれていません。ですから、何をもって必要かつ適切とするかは、医院が自分で決めて説明できる形にしておく話になります。IDの配り方と回収の仕方は、その説明の材料そのものです。

どこからやめるか ── 順番

1. いま院内にあるIDを、紙に書き出す。レセコン、予約システム、メール、ホームページの管理画面、Googleビジネスプロフィール。数えていないものは、直しようがありません
2. そのうち、複数人で1つを使っているものに印をつける。第5条が扱っているのはこの形です。まずここから、人ごとに分けられるかを見ます
3. 患者の情報に触れるものを、上に持ってくる。第23条・第24条がかかるのはここです。順番として先に来ます
4. 退職したスタッフのIDが残っていないかを確かめる。第8条が言う有効性の検証は、止めることまで含めて考えると分かりやすいです
5. 同じ文字列を別のサービスでも使っていないかを見る。1つ漏れたときに、どこまで開いてしまうかが決まる場所です

全部を今日 変える必要はありません。上から2つまで進めれば、いちばん広く開いている扉は閉まります。なお、個別の事案が条文に当たるかどうかの判断は、弁護士や所轄の窓口にご確認ください。この記事は、条文に書いてあることを並べたものです。

参考にした情報源

• デジタル庁 e-Gov法令検索 不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号） ── 第3条／第5条／第8条／第11条／第12条／第13条
• デジタル庁 e-Gov法令検索 個人情報の保護に関する法律（平成十五年法律第五十七号） ── 第23条／第24条

上のリンク先は、デジタル庁が運営する e-Gov法令検索の条文ページです。この記事に書いたことは、そこに表示される条文と一つずつ突き合わせられます。条文は改正で変わります。最終確認は、そのときの原文でお願いします。