BLOG
2026 年 07 月 23 日
二要素認証導入に経過措置？2026 年 6 月公開！「医療情報システムの安全管理に関するガイドライン」のポイント解説
～医療機関における二要素認証のベストプラクティス～
2026 年 6 月に厚生労働省より「医療情報システムの安全管理に関するガイドライン 第 7.0 版」（以降、ガイドライン）が公開されました。
前回のガイドライン改訂から約 2 年半、攻撃者は高額な身代金の支払いが期待できる一部の大企業のみを選別するのではなく、インターネット上に公開された脆弱なシステムを機械的に探索し、検知した組織に対してランサムウェアなどの攻撃を次々と仕掛ける傾向に変わってきました。
このため、セキュリティ対策に制約を抱えることの多い医療機関は標的になる可能性があり、医療情報システムに対するランサムウェア攻撃を含むサイバー攻撃は、後を絶たない状況です。
攻撃者が最初に狙うのがログイン情報であるため、今回は最新版のガイドラインに沿って、医療機関がサイバー攻撃対策として押さえておくべき、二要素認証とパスワード運用の変更点を中心に解説していきます。
二要素認証導入の経過措置
従来のガイドライン同様、最新版においても、2027 年 4 月 1 日に稼働している医療情報システム※は原則的に二要素認証の導入が必要と記載があります。
対応期日が差し迫る中、予算や IT 人材の確保などの理由により、医療機関における二要素認証導入がなかなか進んでいない状況があります。
そのため、最新版のガイドラインでは技術的な理由などにより、2026 年度内の二要素認証導入が困難な場合、2027 年度以降に行われる次期医療情報システム更新のタイミングでの二要素認証を導入することを許容する経過措置が新たに記述されました。
-
※電子カルテやレセプトコンピュータなどを含む診療・医事情報管理システム
既に二要素認証を導入しているから大丈夫！と安心している医療機関もあるかも知れませんが、その二要素認証は本当にガイドラインに準拠していますか？
セキュリティ対策として、必要な " 本当の " 二要素認証とは？
筆者が医療機関関係者と会話をする中で、一部の医療機関では二要素認証について誤った認識で導入が進んでしまっていることを耳にしますが、今回のガイドライン（システム運用編）の「認証・認可に関する安全管理措置」では以下の通り、二要素認証について踏み込んで言及されているのも特徴です。
- クライアント端末とサーバーのいずれも二要素認証の実装を要する。
- クライアント端末では電子カルテなどのアプリケーションのログイン時に二要素認証を実装すること。（OS で一要素、アプリケーションで一要素のような認証は許容しない。）
- サーバーについては OS での二要素認証を実装すること。
（出典）厚生労働省「医療情報システムの安全管理に関するガイドライン 第 7.0 版」
NG パターンおよびアプリケーションのログイン時に同一の認証要素を使った認証を行っている場合、それは二要素認証を導入しているとは言えません※ので、早急に見直しの提案または検討することが必要です。
- ※
- BLOG：多要素認証（MFA）とは？
なお、二要素認証の導入有無により、パスワードの運用ルールが異なっていますので、このあたりについても把握しておく必要があります。
- 二要素認証あり：パスワードは8 桁以上（PIN なら 4 桁以上）
- 二要素認証なし（未導入の場合）：パスワードは13 桁以上
※どちらのパターンも大文字・小文字を問わない英数字を混在
二要素認証導入に際して ID・パスワードの知識情報に、どの認証要素のどの認証方式を追加するか悩む医療機関があるかも知れませんが、ベストプラクティスはガイドラインの中に記述されています。
二要素認証に「クライアント証明書」を採用すると、一石四鳥のメリット？
ガイドラインの中には、所々に「クライアント証明書」による認証の記述があり、後述の 3 件のユースケースでの利用および将来的なガイドライン改訂時にも準拠可能なセキュリティレベルの高い認証方式となっています。
1. インターネット接続時の利用
一般的なインターネット接続で医療情報システムへのアクセスが生じる環境がある場合、クライアント証明書を用いた二要素認証の導入または同等以上の方法を用いて接続する端末を制限する必要性が記述されています。
ここでポイントとなるのが、「接続端末制限の措置」です。
この一文の中で表現したいのは、インターネット接続で医療情報システムにアクセスする場合、医療機関が管理する端末または意図した端末からのみアクセスを許可させることです。
クライアント証明書を用いた認証の場合、クライアント証明書をインストールしている端末からのアクセスのみを許可しているため、クライアント証明書を持っていない端末からのアクセスを拒否することが可能となりますが、逆に生体認証や SMS 認証をインターネット接続で医療情報システムにアクセスする場合の二要素認証として採用していた場合、ガイドライン上における「接続端末制限の措置」の要件を満たさないことになります。
2.VPN接続時の利用
医療機関では CT、MRI、電子カルテ、検体検査システムなど多種多様なシステムがあり、それぞれのベンダーが「遠隔保守のため」として個別に VPN 装置を設置するケースは決して珍しいことではありません。
ガイドライン上ではオープンではないネットワーク（IPsec による VPN 接続など）における二要素認証においても、ワンタイムパスワードなどと合わせてPKI（公開鍵暗号方式）による認証（クライアント証明書）が記述されています。
3.無線 LAN 接続時の利用
医療機関が業務で利用する無線 LAN 環境は、誰でもアクセスして良いものではありません。ガイドラインの中でも「電子証明書、IP アドレス、MAC アドレス等によるアクセス制限」と記述があるため、無線 LAN に接続させる「接続端末制限の措置」が必要となります。
4. 将来的なフィッシング耐性のある認証方式の導入
ガイドライン（企画管理編）において、医療情報システムの利用者に関する認証として、フィッシング耐性を有する認証に関する記述として「行政手続等での本人確認におけるデジタルアイデンティティの取扱いに関するガイドライン」が参考情報として追加されました。
| 当人認証 保証レベル |
保証レベルの位置づけ |
|---|---|
| レベル 3 | 当人認証に関するリスクの影響度が「高位」となる対象手続が該当する保証レベル。 多要素認証を必須とし、さらにフィッシング耐性をもつ認証手法を全ての利用者が利用することを必須とすることで、厳格な耐性を確保する。 |
| レベル 2 | 当人認証に関するリスクの影響度が「中位」となる対象手続が該当する保証レベル。 多要素認証を必須とし、さらにフィッシング耐性をもつ認証手法を希望する利用者が選択的に利用できるようにすることで、標準的な耐性を確保する。 |
| レベル 1 | 当人認証に関するリスクの影響度が「低位」となる対象手続が該当する保証レベル。 単要素認証により、簡易的な耐性を確保する。 |
-
※ デジタル社会推進会議幹事会「決定行政手続等での本人確認におけるデジタルアイデンティティの取扱いに関するガイドライン」
昨今では、フィッシング攻撃などにより二要素認証を突破する不正アクセス事件を受けて、国から発出されるガイドラインや監督指針ではフィッシング耐性の有する認証方式の採用を義務付ける指針※が徐々に増えています。
医療情報システムの安全管理に関するガイドラインにおいても、将来的にフィッシング耐性の有する認証方式が追加される可能性が高く、フィッシング攻撃対策として、今の内からフィッシング耐性のある認証方式であるクライアント証明書の利用を推奨します。
なお、クライアント証明書を利用した認証を導入する場合、認証局を構築して秘密鍵をセキュアに管理したり、失効情報を提供するサーバーを用意したりする運用を医療機関や PKI の知見が少ないシステムベンダーで対応するのは非常にハードルが高いため、実績豊富なクライアント証明書サービスを利用することを推奨します。
ただし、クライアント証明書サービスを選定する場合の注意点もあります。
クライアント証明書サービス選定時の注意点
ガイドライン（企画管理編）には、「保存された情報を格納する情報機器等が、国内法の適用及び執行の及ぶ範囲にあることを確実にすること。」と記載があります。
医療データはこの国内法の対象となりますが、医療データへアクセスするために必要となるクライアント証明書についても、ガイドラインにおける国内法の対象に十分なり得ると考えます。
そのため、クライアント証明書サービスを選定する際には、「認証局が国外で運用されていないか？」などの確認を行うことも必要です。
用途に合わせて選択可能な当社クライアント証明書サービス
サイバートラストでは、お客様の用途に合わせた複数のクライアント証明書サービスを提供しています。どちらのサービスも国内の自社データセンターにて認証局の運用を長年続けており、企業、自治体、学校、医療機関など業界を問わず利用されている国内で実績のあるクライアント証明書サービスです。
【サイバートラスト デバイス ID】
多くの一般企業や教育機関、医療機関などに採用されており、 端末識別情報（MAC アドレス、IMEI、UDID、シリアル番号、Wi-Fi Mac など）を遠隔で確認した上で管理者が許可した端末にのみ証明書を配付することが可能なデバイス向け証明書サービス
【サイバートラスト パーソナル ID】
独立行政法人医薬品医療機器総合機構（以下、PMDA）の申請電子データシステム※（通称：ゲートウェイシステム）へのアクセス時における認証や、一般企業などでも採用されており、管理者が許可した利用者にのみ証明書を配付することが可能なユーザ向け証明書サービス
どちらのクライアント証明書サービスも、クライアント証明書がインストールされていない端末からのアクセスを制御することが可能となっており、初期費用なし、10 ライセンスからご利用可能で、WEB 申し込みから 10 営業日以内の短期間で導入可能です。
また、 無償で 1 ヶ月間、10 台までの機器で評価いただけるトライアルキット をご提供しております。「使用感を実際に体験してみたい」、「既存の環境で運用できるか検証したい」などのご要望に、是非ともトライアルを通じて当社クライアント証明書サービスをお試しください。
本記事に関連するリンク
- サイバートラスト 医療 DX ソリューション
- なぜ医療機関が狙われる？相次ぐ医療機関へのサイバー攻撃！攻撃傾向と必要な対策とは？
- 医師の 2024 年問題！～スマートフォンを活用した医療現場における業務効率化とは？～
- つるぎ町立半田病院「サイバートラスト デバイス ID」導入事例
この記事の著者
2012 年サイバートラスト入社。電子認証局の技術によるトラストサービス商材の技術サポート、品質保証に従事し、2022 年より iTrust リモート署名サービスのプロダクトマネージャーを担当。2024 年より、同じくトラストサービス商材であるサイバートラスト デバイス ID において、ビジネスアナリストとして市場分析、パートナーアライアンス締結、リード創出に関わる。
