HIPAA準拠パスワードの生成

HIPAAパスワード要件

医療保険の相互運用性と説明責任に関する法律（HIPAA）のセキュリティルールは、対象事業者およびビジネスアソシエイトに電子保護医療情報（ePHI）を保護するための技術的セーフガードの実装を要求しています。HIPAAは正確なパスワード仕様を規定していませんが、強力なパスワード慣行を示唆する制御を義務付けています。

関連するHIPAAセキュリティルールセクション

164.312(d) — 個人またはエンティティの認証

組織はePHIへのアクセスを求める人物が本人であることを確認する手順を実装する必要があります。強力なパスワードは基本的な認証メカニズムです。

164.312(a)(2)(i) — 一意のユーザー識別

各ユーザーは一意の識別子を持つ必要があります。パスワードの共有はHIPAA違反です。

164.312(a)(2)(iii) — 自動ログオフ

システムは非アクティブ期間後にセッションを終了する必要があります。

164.312(a)(1) — アクセス制御

認証メカニズムを通じて、許可されたユーザーのみがePHIにアクセスすべきです。

HIPAA パスワードの業界ベストプラクティス

HIPAAは正確な要件を指定していないため、組織は業界のコンセンサスとOCR執行措置に基づく以下のガイドラインに従います：

パラメータ	推奨値
最小長さ	12-16文字
文字タイプ	大文字小文字混合 + 数字 + 記号
ローテーション	60-90日ごと
履歴	過去6-12パスワード
ロックアウト	3-5回の試行失敗後
MFA	リモートアクセスに必須

医療機関でのパスワードポリシー

医療機関は独自の課題に直面します：

• 共有ワークステーション — 複数の臨床医が同じコンピューターを使用
• 緊急アクセス — 「Break the glass」手順は文書化されたオーバーライドメカニズムが必要
• EHRシステム — 電子カルテシステムには独自の認証要件がある場合
• モバイルデバイス — ポイントオブケアで使用されるタブレットやスマートフォン

HIPAA準拠パスワードの生成

長さ：    16文字
大文字：  必須
小文字：  必須
数字：    必須
記号：    必須
除外：    あいまいな文字（0/O、1/l/I）

文書化要件

HIPAAはパスワードポリシーが文書化され、従業員がパスワードセキュリティについてトレーニングを受けることを要求しています。パスワードポリシーは組織の書面によるセキュリティポリシーおよび手順の一部でなければなりません。