「令和9年度から電子カルテに二要素認証が義務になる」と聞いて、何を、いつまでに変えればよいか迷っている医療機関は多いと思います。令和8年6月の「医療情報システムの安全管理に関するガイドライン」第7.0版で、対象と期限の考え方が明確になりました。
結論から言うと、令和9年4月1日に全システムが一斉に切り替わる、という決まりではありません。令和9年度時点で稼働しているシステムを新規導入・更改するときに二要素認証を採用すること、間に合わない場合は令和9年度以降の直近の更新までが期限です。本記事では、電子カルテ（端末）、サーバ、VPNに分けて、原文にもとづき整理します。
本記事は2026年11月5日時点で厚生労働省が公表している資料にもとづく一般的な解説です。自院のシステムが要件を満たすかは、事業者への確認と最新のガイドラインでご判断ください。
ガイドラインの原文
システム運用編の遵守事項には、次のように書かれています。
令和９年度（令和 9 年 4 月 1 日時点）時点で稼働していることが想定される医療情報システムを、今後、新規導入又は機器の入替等を伴うシステム更改をするに際しては、二要素認証を採用、又はこれに相当する対応を行うこと。なお技術的な理由等により令和９年度までの対応が困難な場合には、令和９年度以降、直近の次期の医療情報システムの更新までを期限とする。
続けて、「クライアント端末とサーバのいずれも二要素認証の実装を要する」「クライアント端末では電子カルテ等のアプリケーションのログイン時に二要素認証を実装すること」「サーバについては OS での二要素認証を実装すること」と定めています。
なお、チェックリストマニュアルによると、この考え方は令和3年1月の第5.1版以降すべての版で示されてきました。第7.0版では、通知のとおり「クライアント端末及びサーバにおいて対応することを明確化」し、令和9年4月1日時点で対応が難しい医療機関等には次期システム改修での対応を許容する緩和措置が設けられました。
対象の整理（表14-1）
| アプリケーション | ミドルウェア | OS | |
|---|---|---|---|
| クライアント端末 | 要※ | ― | ― |
| サーバ | ― | ― | 要 |
※ ガイドラインの注記：認証した情報をアプリケーションの資格情報等と連携し、適切な権限付与が可能な場合は、OSやミドルウェアでの二要素認証も許容されます。ただし「OSで一要素、アプリケーションで一要素」のような認証は許容されません。
二要素認証の例として、チェックリストマニュアルは「パスワード＋指紋認証」「ICカード＋パスワード」「ICカード＋指紋認証」を挙げています。
電子カルテ（クライアント端末）
対象は、電子カルテ等のアプリケーションにログインするときの認証です。
ガイドラインは、提供する事業者が技術的に対応していないために二要素認証を実装できないケースも想定しています。そのため、令和9年度までにシステムを更新する場合は、二要素認証に対応したアプリケーションやサービスを選ぶことが求められています。間に合わない場合は、令和9年度以降の直近の更改・新規導入までが経過措置です。
院内でやること：
- 使っている電子カルテが二要素認証に対応しているか、事業者に確認する
- 次の更改・リプレースの時期を確認し、選定の要件に二要素認証を入れる（電子カルテ更新時のセキュリティ要件）
- 二要素認証を使うまでの間、パスワードは13桁以上にする（チェックリスト2-⑦）
医療機器への二要素認証は、第7.0版では改変が見送られました。チェックリストマニュアルは、マニュアル公開時点では医療機器への実装・実装予定を必須とはしないとしつつ、二要素認証を採用している医療機器を積極的に選ぶことを推奨しています（ネットワーク接続医療機器のセキュリティ）。
サーバ
対象は、医療情報を格納するサーバのOSにログインするときの認証です。ガイドラインは、サーバではアプリケーションを介さずにデータベースにアクセスできるため、OSでの二要素認証が合理的だと説明しています。
「みなし措置」
サーバOSの二要素認証は、院内のネットワークやシステムの大規模な作り直しが必要になる場合があります。そのため、次の①②のいずれか、またはそれと同等以上の措置があれば、二要素認証を実装できているものとみなされます。
① 次の2つを満たすもの
- サーバ群へのアクセスを、別ドメインに置いた踏み台端末からのRDPやSSH等による接続だけに限定する
- 踏み台端末のOSログイン時に二要素認証を実装する
② 次の3つを満たすもの
- サーバ群へのアクセスを、別ドメインに置いた踏み台端末からのRDP、SSH等による接続に限定する
- 踏み台端末にEDR機能を備え、運用上想定されない振る舞いを検知できるようにする（EDR製品でなくても、Windows標準機能等で振る舞い検知ができればよい）
- 院外からの接続はVPNを経由し、踏み台端末へのRDP、SSH等による接続に限定する
どちらの場合も、次の3つが前提です。満たさない場合は十分な措置とはみなされません。
- 外部から踏み台端末にログインするユーザに管理者権限を与えない
- 十分なOSのセキュリティアップデート
- サーバ群と踏み台端末で共通のパスワードを使わない
「同等以上の措置」とは、例えば医療法に基づく立入検査の際に、同等であることを検査職員に説明できることなどが想定されています。
また、マニュアルは、セキュリティデバイスの破損などに備えて、緊急時の代替手段（バイパス）を用意し、使ったときに管理できる体制を整えておくことが重要としています。
VPN
VPN装置は、表14-1の「二要素認証が必須」の対象には入っていません。ただしガイドラインは、VPN装置でもパスワードの使い回しや単純なパスワードによる被害が多発しているとして、記憶による認証だけに頼らず、二要素認証等を導入することが望ましいとしています。
あわせて、次の点も押さえておきます。
- リモートメンテナンスでは、OSの二要素認証、特権IDの厳格な管理（管理者共通アカウントの禁止等）、アクセス経路の制限、RDPやVNCを直接インターネットに公開しないこと等が「実施すべき事項」として示されています
- チェックリストでは、リモート保守を使っている機器の有無を事業者に確認すること（2-②）と、接続元制限（2-⑭）が求められています
保守用VPNを含む外部接続点の棚卸しは、VPN機器の脆弱性対策で手順を解説しています。
チェックリストでの書き方
令和8年度のチェックリストでは、次の2項目が該当します。
- 2-⑪ アプリケーションログイン時の二要素認証を実装している。または令和９年度以降初回のシステム更改時に実装予定である。
- 2-⑫ OSログイン時の二要素認証を実装している。または令和９年度以降初回のシステム更改時に実装予定である。
まだ実装していなくても、令和9年度以降の初回の更改時に実装する予定であれば「はい」を付けられる書き方です。予定を裏付けるために、事業者との打ち合わせ記録や更改計画を残しておくと安心です。チェックリスト全体は令和8年度サイバーセキュリティ対策チェックリスト全項目解説、導入時の運用上の工夫は多要素認証の導入で解説しています。
ポテックのご支援
ポテックは、医療機関・ヘルスケア企業向けに3省2ガイドライン対応やリスクアセスメント、ISMS（ISO 27001）認証取得を支援しています。二要素認証の対象となるシステムの洗い出しや、更改計画の整理については、お問い合わせからご相談ください。
参考資料
- 厚生労働省「医療情報システムの安全管理に関するガイドライン 第7.0版（システム運用編）」（14．⑤、14.1.1、表14-1） https://www.mhlw.go.jp/content/10808000/001716295.pdf
- 厚生労働省「医療情報システムの安全管理に関するガイドライン第7.0版の策定について」（令和8年6月29日） https://www.mhlw.go.jp/content/10808000/001716656.pdf
- 厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリスト（令和８年６月）」 https://www.mhlw.go.jp/content/10808000/001716185.pdf
- 厚生労働省「医療機関・薬局におけるサイバーセキュリティ対策チェックリストマニュアル（令和８年６月）」 https://www.mhlw.go.jp/content/10808000/001716186.pdf