医療情報システムの安全管理に関するガイドラインが2026年6月に第7.0版へ改定されました。二要素認証（2つの異なる要素を組み合わせて本人を確認する方式）は第6.0版から引き続き遵守事項とされ、第7.0版では対象・経過措置・パスワード要件が整理されています。電子カルテやレセプトコンピュータを扱う医療機関にとって、次期システム更改の予算・時期に直結するテーマです。
ところが、解説記事によって引用している版が第6.0版だったり第7.0版だったりと分かれ、「義務化」の表現にもばらつきがあります。そのため、結局いつまでに・どのシステムに・何をすればよいのかを正確に押さえにくいのが実情です。
本記事では、第7.0版が二要素認証を「いつまでに・どの範囲に」求めているのかを、ガイドライン本体やサイバーセキュリティ対策チェックリストの記述とあわせて整理します。期限・対象・経過措置・認証方式・パスワード要件まで、院内での報告や予算要求にそのまま使える形で確認できます。
目次
一括ダウンロードする
二要素認証はいつまでに・どの範囲に必要か
はじめに、多くの医療機関がまず知りたい「期限」と「対象」を整理します。第7.0版は、令和9年度（2027年度、令和9年4月1日時点）に稼働していることが想定される医療情報システムを対象に、新規導入やシステム更改のタイミングで二要素認証を採用するよう求めています。対象はクライアント端末とサーバの両方で、技術的な理由で令和9年度までに間に合わない場合には経過措置が用意されています。
この3点（期限・対象・経過措置）を一覧にすると次のとおりです。
| クライアント端末（電子カルテ等のアプリケーション） | サーバ | |
|---|---|---|
| 二要素認証の要否 | 必要（アプリケーションのログイン時に実装する） | 必要（OSのログイン時に実装する。踏み台端末＋二要素認証などの代替措置でも可） |
| 求められる時期 | 令和9年度（令和9年4月1日時点）に稼働が想定されるシステムを、新規導入・更改する際 | クライアント端末と同じ |
| 経過措置 | 技術的な理由等で令和9年度までの対応が困難な場合、令和9年度以降・直近の次期更新までを期限とする | クライアント端末と同じ |
この内容は、第7.0版「システム運用編」の認証・認可に関する安全管理措置の遵守事項に、次のように書かれています。
⑤ 令和9年度（令和9年4月1日時点）時点で稼働していることが想定される医療情報システムを、今後、新規導入又は機器の入替等を伴うシステム更改をするに際しては、二要素認証を採用、又はこれに相当する対応を行うこと。なお技術的な理由等により令和9年度までの対応が困難な場合には、令和9年度以降、直近の次期の医療情報システムの更新までを期限とする。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編｜厚生労働省
- クライアント端末とサーバのいずれも二要素認証の実装を要する。
- クライアント端末では電子カルテ等のアプリケーションのログイン時に二要素認証を実装すること。
- サーバについては OS での二要素認証を実装すること。
ここで押さえておきたいのは、期限の起点が「令和9年度時点で稼働が想定されるシステムを、新規導入・更改するとき」である点です。既存システムをそのまま使い続けている間に突然切り替えを迫られるのではなく、更改や入替の機会に合わせて二要素認証へ移行する、という考え方になっています。
第6.0版から第7.0版で二要素認証はどう変わったか
ここからは、版によって記述が違うという混乱を解消するため、第6.0版と第7.0版の差を確認します。結論から言うと、二要素認証が努力目標から義務へ格上げされた、という理解は正確ではありません。第6.0版の本体ですでに遵守事項として「行うこと」と定められており、第7.0版で実際に変わったのは、対象の明確化・経過措置の明文化・パスワード要件の新設です。
版をまたいだ位置づけの変化を時系列で見ると、次のとおりです。
| 第6.0版 | 第7.0版 | |
|---|---|---|
| 公表時期 | 令和5年（2023年）5月 | 令和8年（2026年）6月 |
| 二要素認証の位置づけ | 遵守事項（「二要素認証を採用するシステムの導入、又はこれに相当する対応を行うこと」） | 遵守事項（同じく「行うこと」。あわせて期限と経過措置を明文化） |
| 対象範囲の明示 | 「医療情報システム」とし、端末とサーバの区別までは明示していない | クライアント端末（アプリログイン）とサーバ（OSログイン）の両方を明記 |
| パスワード要件 | 二要素認証に紐づく規定はなし | 二要素ありは8桁以上（PINは4桁以上）、なしは13桁以上、定期変更は不要などを新設 |
第5.2版から第6.0版への項目移行対応表には、第6.0版で定められた二要素認証の遵守事項が次のように記録されています。語尾が「行うこと」という命令形である点に注目すると、第6.0版の段階ですでに遵守事項だったことが分かります。
令和9年度時点で稼働していることが想定される医療情報システムを、今後、新規導入又は更新に際しては、二要素認証を採用するシステムの導入、又はこれに相当する対応を行うこと。
出典：第5.2版から第6.0版への項目移行対応表｜厚生労働省
「二要素認証を採用することが望ましい」という緩やかな表現は、第5.0版までのものです。令和9年度という期限や「原則として採用することが求められる」という言い回しは、令和3年1月の第5.1版から入りました。版をまたいだ変化をたどると、望ましい（第5.0版まで）から求められる（第5.1版以降）、そして対象の明確化・経過措置・パスワード要件の整備（第7.0版）という順になります。
また、「望ましい」という表現は旧版やQ&Aで用いられたもので、第6.0版の本体の遵守事項は「行うこと」という命令形でした。同じ版でも本体とQ&Aで表現の強さが異なるため、どの文書のどの記述かまで含めて確認すると、版ごとの位置づけを正確に読み取れます。
第7.0版の改定点は、厚生労働省の検討会資料でも、二要素認証の対象を端末とサーバに明確化したこと、対応が困難な医療機関への緩和措置を設けたこと、パスワード要件を見直したことが挙げられています。
出典・参考資料（1件）
対象範囲の線引き：クライアント端末とサーバOS
続いて、自院が対象に当てはまるかを判断するうえで最も間違えやすい「対象範囲」を整理します。第7.0版は、クライアント端末では電子カルテ等のアプリケーションのログイン時に、サーバではOSのログイン時に、それぞれ二要素認証を実装するよう求めています。端末だけ対応すればよいわけではなく、サーバのOSログインも対象に含まれる点が重要です。
注意したいのは、OSで1つ・アプリケーションで1つというように要素を分割する運用は認められないことです。第7.0版の「表14-1 医療情報システムにおける二要素認証の要否」の注記には、次のように書かれています。
認証した情報をアプリケーションの資格情報等と連携し、適切な権限付与が可能な場合は OS やミドルウェアでの二要素認証を許容する。ただし、OS で一要素、アプリケーションで一要素のような認証は許容されない。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編（表14-1）｜厚生労働省
この注記が示すのは、1つのログインの中で2つの要素がそろっている必要があるということです。OS側の認証をアプリケーションの資格情報と連携させ、シングルサインオン（SSO、一度の認証で複数のシステムへアクセスできる仕組み）で引き継ぐ構成であれば、OS側の二要素認証として許容される、という整理です。
サーバOSについては、直接二要素認証を実装する以外に、代替の措置も示されています。たとえば、サーバ群へのアクセスを別ドメインの踏み台端末経由に限定し、その踏み台端末のOSログイン時に二要素認証を実装する方法です。この場合、二要素認証を実装しているものとみなされます。立入検査の際に同等以上の安全性を検査職員へ説明できることが前提とされており、自院の構成に合わせて選べる現実的な選択肢と言えます。
対象がアプリケーションのログインとOSのログインであることは、立入検査で使われるサイバーセキュリティ対策チェックリストにも、次の2項目として反映されています。
出典：令和8年度版 医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（厚生労働省 令和8年6月29日通知）｜茨城県
- ⑪アプリケーションログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。
- ⑫OSログイン時の二要素認証を実装している。または令和9年度以降初回のシステム更改時に実装予定である。
離席時の画面ロックなどの付随要件
二要素認証とあわせて見落としやすいのが、端末から離れるときの対策です。ログイン時に本人確認を強化しても、席を外した隙に第三者が操作できてしまっては意味がありません。第7.0版は、長時間離席する際の自動画面ロックアウトを次のように求めています。
システム運用担当者は、利用者が医療情報を入力・参照する端末から長時間離席する際に、正当な利用者以外の者による入力・参照を防止するため、自動での画面ロックアウト等の対策を実施すること。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編（12.3.2）｜厚生労働省
共有端末が多く、1日に何度もログインし直す医療現場では、ロックの時間設定が業務の負担感を左右します。要件を満たしつつ現場が回る設定にできるかは、認証方式を選ぶ際の判断材料になります。
令和9年度までに間に合わない場合の経過措置
次に、期限までの対応が難しいケースについて確認します。第7.0版は、技術的な理由で令和9年度までに間に合わない場合の経過措置を設けています。間に合わないからといって直ちに違反になるわけではなく、次の更新までの猶予が与えられる仕組みです。
システム運用編の「14.1.1 利用者の識別・認証」には、「令和9年度時点の対応が間に合わない場合には、令和9年度以降、直近のシステムの更改、新規導入までの間を経過措置とする」と書かれています。サーバのOSについても同様に、運用対応等の技術的な理由で間に合わない場合は、直近の更改・新規導入までが経過措置の期限とされています。
ここで押さえておきたいのは、経過措置はあくまで「次の更新まで」の猶予であり、対応しなくてよいという意味ではないことです。古い電子カルテや周辺機器が二要素認証に非対応であっても、更改計画の中で二要素認証に対応したアプリケーションやサービスを選ぶことが求められます。導入時期を先送りするほど、更改計画への組み込みと予算確保を前倒しで進めておく必要があります。
どこまでが「技術的な理由」に当たるかは、既存システムの対応可否や更改時期によってケースごとに異なり、原文に具体例までは示されていません。自院の状況が経過措置に該当するか判断に迷う場合は、所管の保健所や都道府県の担当窓口に確認しておくと確実です。
要件を満たす認証方式・満たさない認証方式
ここからは、実際にどの認証方式なら二要素認証の要件を満たすのかを整理します。まず前提となる二要素認証の考え方を確認し、次に具体的な方式ごとに満たす・満たさないを見ていきます。
二要素認証の基本（知識・所持・生体のうち2要素）
二要素認証とは、本人確認の手がかりを「知識情報（本人だけが知っていること。パスワードやPIN）」「所持情報（本人だけが持っているもの。ICカードやスマートフォン、物理キー）」「生体情報（本人固有の身体的特徴。指紋や顔）」の3種類に分け、このうち異なる2種類を組み合わせて確認する方式です。
厚生労働省は、この考え方を次のように説明しています。下記はガイドラインの改定時（第5.1版の新旧対照表）に示された説明ですが、要素の組み合わせ方や二段階認証との違いという基本の考え方は現行の運用にも通じます。
IC カード等のセキュリティ・デバイス＋パスワードやバイオメトリクス＋IC カード、ID・パスワード＋バイオメトリクスのように 2 つの独立した要素を用いて行う方式（二要素認証）／入場時・端末利用時を含め二要素以上（記憶・生体計測・物理媒体のいずれか 2 つ以上）の認証がなされていれば、二要素認証と同等に相当すると考えてよい／二段階認証を選択するだけでは二要素認証の要求を満たさないと考えるべきである。
出典：医療情報システムの安全管理に関するガイドライン改定素案 新旧対照表（第5.0版から第5.1版）｜厚生労働省
ポイントは、同じ種類の要素を2回使っても二要素にはならないことです。パスワードと秘密の質問はどちらも知識情報なので、重ねても1要素のままです。パスワードを入れた後にSMSで届くコードを入力する二段階認証も、何を組み合わせているかによって二要素になる場合とならない場合があり、重ねる手順の数ではなく、異なる2種類の要素がそろっているかで判断します。
方式ごとに二要素を満たすか・満たさないか
上の考え方をもとに、医療現場で検討されることの多い認証方式を、二要素認証の要件を満たすかどうかで整理すると次のようになります。
| ICカード（所持）＋指紋・顔などの生体認証（生体） | FIDO2／パスキー対応の物理セキュリティキー（所持）＋PIN（知識）または内蔵の生体認証（生体） | クライアント証明書を格納した端末（所持）＋パスワードやPIN（知識） | スマートフォンのワンタイムパスワード（OTP）やプッシュ通知（所持）＋パスワード（知識） | パスワード（知識）＋秘密の質問（知識） | |
|---|---|---|---|---|---|
| 二要素認証の要件 | 満たす | 満たす | 満たす | 満たす | 満たさない |
| 補足 | 異なる2種類の要素を使う。ICカードをかざして指紋で確認する運用など | FIDO2はパスワードに代わる認証規格。鍵本体とPINや生体で2要素になる | 端末の証明書で所持を、パスワードで知識を確認する | スマートフォンを業務利用できる環境で選ばれやすい | どちらも知識情報のため、重ねても1要素のまま |
※上記は二要素認証の要件に照らした一般的な整理です。個別の製品が要件を満たすかは各サービスの仕様をご確認ください。
この二要素認証の要否そのものは、院内ネットワークか、仮想専用線（VPN）経由か、インターネット接続か、無線LANかといった接続形態によって変わりません。クライアント端末のアプリログインとサーバのOSログインに二要素認証が必要、という要件はどの接続形態でも共通です。
接続形態によって変わるのは、二要素認証に「加えて」求められるネットワークの安全管理措置のほうです。たとえば、インターネットを経由してシステムへ接続する場合には、接続してくる端末を限定する措置が求められます。第7.0版「システム運用編」の第13章には、次のように書かれています。
オープンなネットワークにおいて、IPsec による VPN 等を利用せずプロトコルを限定した TLS 接続をする場合（HTTPS、FTPS 等）、TLS のプロトコルバージョンを TLS1.3 以上に限定した上で、クライアント証明書を利用した TLS クライアント認証（mutual-TLS）、または、これと同等以上の安全性を有する、端末の識別・認証による接続端末制限の措置をすること。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編（13 ネットワークに関する安全管理措置）｜厚生労働省
同じ第13章では、VPNを使う場合は専用線やIP-VPN、IPsec方式などに限ること、無線LANを使う場合は利用者を適切に制限することなども求めています。整理すると、二要素認証は接続形態を問わず一律で必要であり、接続形態ごとにネットワーク側の要件が上乗せされる、という二層構造で捉えると分かりやすくなります。クライアント証明書は、この接続端末制限と端末側の認証の両面で活用されることが多い方式です。
クライアント証明書を自院で発行・運用する際の提供形態（クラウド型・マネージドPKIなど）や料金、選び方は、以下の記事で詳しく整理しています。
また、生体認証を使う場合は、誤認識や認証できないときの代替手段を用意することがQ&Aで求められています。指紋や顔は変化したり読み取れなかったりすることがあるため、別の認証手段を併せて準備しておく運用が前提になります。
出典・参考資料（1件）
二要素認証の有無で変わるパスワード要件
第7.0版では、二要素認証とあわせてパスワードの要件も見直されました。二要素認証を採用しているかどうかで、求められるパスワードの桁数が変わります。自院が経過措置の期間にあるかどうかで基準が変わるため、現状に合わせた確認が必要です。
| 二要素認証を採用している場合 | 二要素認証を採用していない場合 | |
|---|---|---|
| パスワードの桁数 | 8桁以上（PINの場合は4桁以上）。英数字の混在を求める | 13桁以上（設定できない場合は最大桁数とし、次期更改時に必ず対応） |
| 定期変更 | 不要 | 不要 |
| その他 | 異なるシステムでの使い回しの禁止、一定回数失敗した場合のログイン試行停止（アカウントロック） | 二要素認証を採用している場合と同じ |
桁数と定期変更についての原文は、次のとおりです。従来求められていたパスワードの定期的な変更が不要になった点は、現場の運用負担を考えるうえで押さえておきたい変更です。
二要素認証を採用していることを前提とした場合、パスワードの桁数は 8 桁（PIN であれば 4 桁）以上が求められる。この際、英数字の混在（大文字小文字は問わない）を求める。ただし、二要素認証を採用していない場合には 13 桁以上とすること。（中略）いずれの場合においても、パスワードの定期的な変更は不要とする。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 システム運用編（14.1.1 利用者の識別・認証）｜厚生労働省
あわせて、異なる医療情報システムで同じパスワードを使い回さないこと、一定回数ログインに失敗した場合に一定時間ログインできないようにすること（いわゆるアカウントロック）も求められています。これらは立入検査のチェックリストでも、パスワードは英数字混在8桁以上（二要素認証採用までの期間は13桁以上）とすること、使い回しを禁止していることとして確認項目になっています。
未対応だと何が起きるか（立入検査と説明責任）
ここでは、対応が間に合わなかった場合に何が問われるのかを確認します。気になるのは、未対応だと罰則があるのか、法的な義務なのか行政指導なのか、という点でしょう。第7.0版のQ&Aは、この点を明確に説明しています。
本ガイドライン自体に独立した罰則はありません。ただし、本ガイドラインに反する状態は、e-文書法、個人情報保護法、医療法その他の関係法令上の義務を満たしていないと評価される可能性があります。（中略）また、医療法 25 条第1項の規定に基づく立入検査要綱において、「必要な措置」については本ガイドラインやサイバーセキュリティ対策チェックリストを参照することとされているため、立入検査の中で本ガイドラインに基づいた指摘を受ける可能性があります。
出典：医療情報システムの安全管理に関するガイドライン 第7.0版 Q&A（Q3）｜厚生労働省
整理すると、ガイドライン自体に独立した罰則はありません。一方で、医療法25条第1項に基づく立入検査では、サイバーセキュリティ対策チェックリストが参照され、その中で指摘を受ける可能性があります。チェックリストには「立入検査時、本チェックリストを確認します。令和8年度中にすべての項目で『はい』にマルが付くよう取り組んでください」と明記されています。
仮に二要素認証そのものが間に合っていなくても、「令和9年度以降初回のシステム更改時に実装予定である」と答えられれば、チェックリスト上は対応の方向にあると示せます。サーバOSのように代替措置を取る場合には、立入検査の際に同等以上の安全性を検査職員へ説明できることが前提になります。問われるのは、未対応かどうかの一点ではなく、更改計画や代替措置を含めて相当の安全性を確保する体制を説明できるかどうかです。
自院環境別の打ち手（共有端末・個人端末・閉域網）
ここまでで、期限・対象・経過措置・認証方式・パスワード要件を確認しました。最後に、これらの要件を自院の環境でどう満たすかという視点で、現実的な打ち手を整理します。医療現場では、スタッフが共同で使う共有端末、個人に割り当てた端末、外部とつながらない閉域網など、環境ごとに適した方式が変わります。
スタッフが入れ替わり使う共有端末では、スマートフォンを全員に支給できないことが多く、ICカードや物理セキュリティキーのように「かざす・挿す」だけで本人を確認できる方式が運用に向きます。
個人端末が中心の環境では、スマートフォンアプリや内蔵の生体認証を組み合わせるパスワードレス認証が選びやすい選択肢です。閉域網やサーバ側では、SSOで認証を引き継ぐID基盤や、踏み台端末を使った代替措置も現実的な打ち手になります。
また、クラウド型の電子カルテを使う診療所など小規模な医療機関では、サーバのOSログインへの対応がサービス提供事業者の範囲に含まれることが多く、自院で用意するのは端末側（アプリケーションログイン）の二要素認証が中心になる場合があります。自院のシステムがオンプレミスかクラウドかで、対応すべき範囲が変わる点も確認しておきましょう。
費用の概算は、クラウド型のID基盤や物理キーのサブスクリプションであれば「ユーザー単価×職員数」が目安になります。具体的には、後述するクラウド型のID基盤で1ユーザーあたり月額400〜600円程度、物理キーのサブスクリプションや継続認証は契約構成に応じた個別見積もりが中心です（各サービスの詳細は次節で示します）。これに加えて、サーバ側のOSログイン対応や踏み台端末の構築には実装・運用のコストが別途かかる点も見込んでおくと、予算要求の精度が上がります。
一括ダウンロードする
以下では、医療情報システムの二要素認証に活用できる代表的なサービスを比較します。認証方式や保護対象、提供形態の違いを確認したうえで、各サービスの特徴を見ていきます。
取り上げる3サービスは、医療現場でよくある環境ごとの代表例です。入れ替わりの多い共有端末には物理セキュリティキー、個人端末が中心ならクラウド型のID基盤やスマートフォンを使うパスワードレス認証、というように、自院の環境に近いものから見ていくと選びやすくなります。
ICカード認証は、電子カルテベンダーが提供する基盤や職員証（HPKI＝職員証などに用いる医療分野の公開鍵基盤）と連携して実装されることが多い方式です。ここでは、汎用的に導入できるID基盤・物理セキュリティキー・パスワードレス認証を取り上げます。
| サービス名 | CloudGate UNO | YubiKey as a Service | DZ Security® |
|---|---|---|---|
| 提供形態 | クラウド型のID基盤（IDaaS）。SSO・多要素認証・アクセス制限・ID管理を1つの管理画面に統合 | 物理セキュリティキー（YubiKey）のサブスクリプション。導入支援・予備キー・サポートが付帯 | アプリ組込み用のSDK／APIと、PC向けパスワードレス製品「DZ Pass」（クラウド／オンプレの別は非公開） |
| 主な認証方式 | FIDO2／パスキー、生体認証（Windows Hello・Touch ID／Face ID）、ワンタイムパスワード、認証アプリ | FIDO2／WebAuthn、FIDO U2F、スマートカード（PIV）、OATHワンタイムパスワード | 顔・声などの生体情報とふるまい情報を組み合わせた継続認証（バックグラウンド認証®） |
| 二要素認証の構成例 | 物理セキュリティキーやパスキー（所持）＋PIN・生体（知識・生体） クライアント証明書を入れた端末（所持）＋パスワード（知識） | 鍵本体（所持）＋PIN（知識）または内蔵の生体認証（生体） | スマートフォン（所持）＋顔・声（生体） ※利用中ずっと確認し続ける継続認証方式。ガイドライン要件への適合可否は個別にご確認ください |
| 保護できる主なログイン経路 | クラウドサービスや業務アプリのログイン（SSO）。SSOでOS側の認証とアプリの資格情報を連携する構成にも対応し、デバイス証明書で接続端末も制限できる | SaaSのログインに加え、Windows端末やオンプレミス環境のログイン（マルチプロトコルのアドバンスドティア） | 「DZ Pass」によるPC（Windows）へのパスワードレス自動ログイン |
| 料金の目安 | 月額400〜600円／ユーザー（税抜） | 要問い合わせ（最低200ユーザー、3年または5年契約） | 要問い合わせ（独自インタビューでは年間1ライセンス約1,200円が目安） |
| 無料トライアル | 30日間 | 記載なし（導入前に実機検証） | 記載なし |
| 詳細情報 | 公式資料を見る | 公式資料を見る | オンライン相談を予約 |
ここで取り上げたのは医療現場で使いやすい代表的な3サービスです。認証方式や料金を含めて多要素認証システム全般を横断で比較したい場合は、以下の記事で主要17サービスを整理しています。
1. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、SSO・多要素認証・パスキー（FIDO2）によるパスワードレス認証・アクセス制限・ID管理を1つの管理画面にまとめた、国産のクラウド型ID基盤です。株式会社インターナショナルシステムリサーチが自社開発し、医療・ヘルスケアを含む幅広い業種に導入されています。
認証方式は、FIDO2／パスキー対応の物理セキュリティキー、Windows HelloやTouch ID・Face IDといった内蔵の生体認証、ワンタイムパスワード、専用の認証アプリに対応します。
パスキーによるパスワードレス認証は全プランで無制限に利用できます。電子カルテなどアプリケーションのログインに二要素認証やパスワードレス認証を付与し、デバイス証明書で接続してくる端末を制限する、という使い方に向いています。
料金は、Standard Plusが月額400円（税込440円）、Enterprise Plusが月額500円（税込550円）、Smart Packが月額600円（税込660円）の1ユーザーあたり単価で、30日間の無料トライアルを用意しています（いずれも公式料金ページ、2026年11月時点）。
SSOでOS側の認証とアプリケーションの資格情報を連携させる構成を検討している医療機関に向いています。
2. YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
スマートフォンを全員に支給できない現場で検討されるのが、物理セキュリティキーを使う方式です。YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を、法人向けにサブスクリプション形式で提供するサービスです。買い切りではなく、導入支援や継続サポート、予備キーの提供までを含めて利用できます。
対応する認証規格は、FIDO2／WebAuthn、FIDO U2F、スマートカード（PIV）、OATHのワンタイムパスワードなど多岐にわたります。鍵本体とPINや生体認証を組み合わせることで、所持情報と知識・生体情報による二要素認証を構成できます。
鍵を挿す・かざすだけで認証でき、水や泥に強い堅牢さを持つため、スマートフォンを使いにくい共有端末や現場での利用に向いています。オンプレミス環境やWindows端末の認証には、マルチプロトコルに対応したアドバンスドのティアが選ばれています。
契約は最低200ユーザーから、期間は3年または5年で、料金は構成に応じた個別見積もりです。毎年契約数の25%分の予備キーが提供されるため、紛失や増員にも対応しやすい仕組みです。
介護施設向けの医療ITサービスでは、スマートフォン認証で30〜40秒かかっていたログインを10秒未満に短縮した事例も公表されています。CloudGate UNOと組み合わせて、全社的な多要素認証を展開する使い方も想定されています。
多要素認証を前提とするガイドラインは、医療以外の分野にも広がっています。これは業界全体で多要素認証が当たり前になりつつある一般的な流れで、医療ガイドライン固有の性格（独立した罰則はなく、立入検査で参照される）とは別の動きとして捉えておくと混同を避けられます。
YubiKey as a Serviceを提供する株式会社インターナショナルシステムリサーチの内田氏は、こうした業界全体の動向について独自インタビューで次のように話しています。
経済産業省のセキュリティ対策評価制度や、自治体がマイナンバーを扱うガバメントクラウドにアクセスする際の要件など、ガイドラインで多要素認証が強く求められる流れが広がっています。MicrosoftもSalesforceも多要素認証が前提になってきています。そうした中で、行政や医療など、各種ガイドラインで多要素認証が義務化されつつある業界に注力します。
3. DZ Security®（株式会社AnchorZ）
株式会社AnchorZが提供するDZ Security®は、「バックグラウンド認証®」という継続認証を中核に据えた本人認証プラットフォームです。スマートフォンのカメラや各種センサーを使い、顔・声や端末の使い方の癖などを端末内に蓄積し、利用している間ずっと本人であることを確認し続ける方式を採用しています。
このうちPC向けのパスワードレス製品「DZ Pass」は、スマートフォン（所持情報）で確認した本人を、PCがBluetoothや無線LAN経由で認識して自動ログインする仕組みです。顔・声といった生体情報と、スマートフォンという所持情報を組み合わせて、Windows PCをパスワードレスで利用できます。認証データは端末内に保存し、認証サーバーを使わない設計が特徴です。
方式としては、スマートフォン（所持情報）と顔・声（生体情報）という異なる2種類の要素を組み合わせており、二要素認証の考え方には沿っています。ただし、利用中ずっと本人を確認し続ける継続認証が、ガイドライン上の二要素認証としてどう評価されるかについては確立した公式見解がなく、導入時には個別に確認しておく必要があります。
料金は公式サイトには記載がなく、個別見積もりとなります（独自インタビューでは、1ライセンスあたり年間1,200円程度が目安と説明されています）。SSOや一括管理は有料オプションです。
ある地方銀行では、シンクライアント環境の5,000ライセンスを置き換えた事例が公表されています。スマートフォンを所持情報、顔・声を生体情報として、PCのパスワードレス化を進めたい医療機関にとって、選択肢の1つになります。
二要素認証ガイドラインに関するよくある質問（FAQ）
Q. 二要素認証とは何ですか？
A. 二要素認証とは、本人確認の要素を「知識情報（パスワードやPIN）」「所持情報（ICカードやスマートフォン）」「生体情報（指紋や顔）」の3種類に分け、このうち異なる2種類を組み合わせて本人を確認する方式です。
パスワードと秘密の質問のように同じ種類の要素を重ねても1要素のままで、二要素にはなりません。重ねる手順の数ではなく、異なる2種類の要素がそろっているかで判断します。
Q. 医療情報システムの二要素認証はいつまでに対応が必要ですか？
A. 医療情報システムの二要素認証は、医療情報システムの安全管理に関するガイドライン第7.0版により、令和9年度（令和9年4月1日時点）に稼働が想定されるシステムを新規導入・更改する際に採用することが求められます。
既存システムを使い続けている間に突然切り替えを迫られるのではなく、更改や機器入替の機会に合わせて移行する、という考え方です。技術的な理由で令和9年度までに間に合わない場合には、次期更新までの経過措置が設けられています。
Q. 二要素認証の対象はクライアント端末だけですか、サーバOSも含まれますか？
A. 二要素認証の対象は、クライアント端末（電子カルテ等のアプリケーションのログイン）とサーバ（OSのログイン）の両方です。端末だけ対応すればよいわけではありません。
ただし「OSで1要素・アプリケーションで1要素」のように要素を分割する運用は認められず、1つのログインの中で異なる2要素がそろっている必要があります。サーバについては、直接実装するほか、別ドメインの踏み台端末のOSログインに二要素認証を実装するなどの代替措置も認められています。
この要否は院内ネットワークかVPN経由かインターネット接続かといった接続形態によって変わらず、どの接続形態でも共通です。
Q. 古い電子カルテや機器が二要素認証に非対応で、令和9年度までに間に合わない場合はどうなりますか？
A. 技術的な理由で令和9年度までの対応が困難な場合は、令和9年度以降・直近の次期システム更新（更改・新規導入）までが経過措置の期限となります。間に合わないからといって直ちに違反になるわけではありませんが、対応しなくてよいという意味でもありません。
古い機器が非対応であっても、更改計画の中で二要素認証に対応したアプリケーションやサービスを選ぶことが求められるため、導入を先送りするほど、更改計画への組み込みと予算確保を前倒しで進めておく必要があります。
Q. 医療情報システムのガイドラインで二要素認証は必須ですか？未対応に罰則はありますか？
A. 二要素認証は第6.0版の時点から「行うこと」と定められた遵守事項で、第7.0版でも引き続き求められますが、ガイドライン自体に独立した罰則はありません。
ただし、医療法25条第1項に基づく立入検査では、サイバーセキュリティ対策チェックリストが参照され、その中で指摘を受ける可能性があります。「望ましい」という努力目標から第7.0版で義務へ格上げされたという理解は正確ではなく、第7.0版で新しくなったのは対象の明確化・経過措置の明文化・パスワード要件の新設です。
Q. 共有端末が多い医療現場ではどの二要素認証の方式が向いていますか？
A. スタッフが入れ替わり使う共有端末では、ICカードや物理セキュリティキーのように「かざす・挿す」だけで本人を確認できる方式が運用に向いています。スマートフォンを全員に支給しにくい現場でも導入しやすく、1日に何度もログインし直す負担を抑えられます。
あわせて、長時間離席する際の自動画面ロックアウトも第7.0版で求められているため、要件を満たしつつ現場が回るロック時間に設定できるかも方式選びの判断材料になります。
個人端末が中心の環境ではスマートフォンアプリや内蔵の生体認証を使うパスワードレス認証、サーバ側や閉域網ではSSOで認証を引き継ぐID基盤や踏み台端末を使った代替措置も選択肢になります。
まとめ
医療情報システムの安全管理に関するガイドライン第7.0版は、令和9年度（2027年度）に稼働が想定されるシステムを新規導入・更改する際に、クライアント端末のアプリケーションログインとサーバのOSログインの両方へ二要素認証を実装するよう求めています。間に合わない場合は、次の更改までの経過措置が用意されています。
第6.0版からの変化は「望ましいから義務へ」という言い回しの格上げではなく、対象の明確化・経過措置の明文化・パスワード要件の新設です。認証方式は、ICカードと生体、物理キーとPIN、証明書とパスワードなど、異なる2種類の要素を組み合わせれば要件を満たします。自院の共有端末・個人端末・閉域網といった環境に合わせて、現実的に運用できる方式を選ぶことが、更改計画を前に進める近道になります。
一括ダウンロードする
医療の二要素認証に対応するサービスの資料を一括チェック
MCB FinTechカタログでは、医療情報システムの二要素認証に活用できる多要素認証サービスの最新資料を無料で一括請求できます。対応する認証方式や保護対象、提供形態を比べながら、自院の環境に合う打ち手を検討できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
