医療情報システムの安全管理に関するガイドライン第7.0版で求められる端末の二要素認証とは？

本記事は、厚労省から発表された「医療情報システムの安全管理に関するガイドライン」（以下、ガイドライン）改定や立入検査基準の強化に伴い、「具体的に何をすれば適合できるのか」「現場の負担や改修コストを抑えながら対策を進めるにはどうすべきか」という課題をお持ちの医療機関関係者様（経営層・システム管理者・現場の皆様）に向けた解説記事です。

昨今、医療機関を標的としたランサムウェア等のサイバー攻撃が増大し、診療停止や個人情報漏洩といった重大な被害が相次いでいます。これを受け、ガイドラインの改定および医療法第25条に基づく立入検査基準の大幅な強化が行われました。

医療関係者の皆様は、これらのガイドライン改定への対応に苦慮されている部分もあるのではないかと思います。我々YubiOnの製品を導入する事で、これらのガイドライン内で求められている要件をクリアできる部分もありますので、今回はその情報を共有できればと思います。

今回の改定で、何が義務付けられたのか

YubiOnでは、端末・アクセスの安全管理に特化した製品を提供しています。今回のガイドライン改定および立入検査において、端末・アクセスの安全管理では何が義務付けられたのでしょうか。ここでは、2つの重要ポイントがあります。

1. 二要素認証の義務化スケジュール

サーバ（立入検査チェックリスト項目 2-⑫）： サーバOSログイン時の二要素認証が原則必須化（※令和9年度以降の初回更改時までに実装）。
端末（立入検査チェックリスト項目 2-⑪）： 電子カルテ等のアプリケーションログイン時の二要素認証が原則必須化（※令和9年度以降の初回更改時までに実装）。
過渡期の暫定措置（立入検査チェックリスト項目 2-⑦）： 二要素認証が未導入の期間における、パスワードの「英数字混在13桁以上」での運用・設定。

※ガイドライン（システム運用編表14-1「医療情報システムにおける二要素認証の要否」注釈）の重要ポイント：
端末の二要素認証はアプリ側での実装が原則ですが、「OSログイン時の二要素認証情報をアプリケーションの資格情報等と連携（SSO等）できる場合」は、OS側での二要素認証も許容されます。アプリ自体の改修が困難な場合、Windows（OS）ログインを二要素化して水際で防ぐアプローチが非常に有効です。

2. 離席時の画面ロックアウト（物理アクセス制御）

医師や看護師が端末から離れる際、第三者によるカルテの覗き見や不正操作を防ぐため、「画面ロックアウト（スクリーンロック）」の実施がガイドライン上で義務付けられています（システム運用編 12.3.2）。

このように、大きく分けて「認証の二要素化」と「離席時の画面ロックアウト」に対応することが重要になります。

どうすれば、基準を満たす事ができるのか

では、義務付けられた「認証の二要素化」と「離席時の画面ロックアウト」について、どのように対応していけばいいでしょうか。
ここでは、対応を以下の3つのステップで進めていく事を提案します。

対象端末・アカウントの棚卸し:
電子カルテや医療情報システムを操作するすべてのWindows PC端末・サーバをリストアップし（立入検査チェックリスト項目 2-①）、退職者アカウントの削除や管理者権限の最小化を行います（項目 2-④、2-⑤）。
閉域網で動作する二要素認証方式（パスキー等）の選定・導入:
インターネット非接続の環境（閉域網）でも動作し、現場の医療従事者がスムーズに利用できる認証方式（FIDO2セキュリティキー／パスキーなど）を選定・導入します。
運用管理規程の改定と離席ロックの運用徹底:
端末の二要素認証手順および物理キーの抜き差し等による自動画面ロック運用を管理規程に明記し（立入検査チェックリスト項目 4-①）、現場へ周知します。

上記の3ステップ（特に『閉域網での二要素認証・パスキー導入』と『物理キーによる離席ロック』）を既存のPC環境を大幅に変更せずに実現する選択肢の一つが、Windows PC向け二要素認証ソリューション「YubiOn」です。

YubiOnが医療機関のガイドライン対応に選ばれる4つの理由

オフライン・閉域網（電子カルテ網）での「パスキー運用」に完全対応（Standalone版）
医療情報システムはセキュリティ確保のためインターネットから切り離された環境で運用されるのが一般的です。
「YubiOn FIDO Logon Standalone」なら、インターネット接続がない完全閉域網環境でもパスキー（FIDO2）による二要素認証の運用が可能です。外部認証サーバーの構築・維持コストもかかりません。
「YubiKeyをタッチするだけ」で高速・強固なログイン
文字数の多い複雑なパスワードを毎回タイピングする必要はありません。物理セキュリティキー（YubiKeyなど）をPCに挿してタッチするだけ（または指紋などの生体認証）で数秒でログインが完了します。
フィッシング耐性のある強固なパスキー認証（FIDO2）により、セキュリティを高めつつ、医師や看護師の「パスワード入力ストレス」を劇的に軽減します。
キーの抜き差しに連動した「離席時自動ロック」
診察室や受付、病棟などでPCを離れる際、挿してあるYubiKeyを抜くだけで瞬時にPC画面をロックします。
患者様の個人情報や電子カルテの覗き見・不正操作を防ぎ、ガイドラインで求められる「物理的なアクセス制御（システム運用編 12.3.2）」を自然な業務フローの中で実践できます。
既存システム変更不要・手軽な端末後付け導入
既存のPC環境（Windowsログイン）にソフトウェアをインストールし、キーを登録するだけで利用を開始できます。ネットワーク構成の大幅な見直しやサーバー増設が不要なため、導入のハードルや初期コストを最小限に抑えられます。

まとめ：セキュリティ強化と現場の利便性を両立

医療ガイドラインへの適合は急務ですが、現場の医療従事者に負担を強いる運用は長続きしません。

YubiOnであれば、「ガイドライン要件のクリア（強固な二要素認証・離席ロック）」「電子カルテ網などの閉域網環境での動作」「現場の利便性向上」をすべて同時に実現できます。

「自社の環境で導入できるか確認したい」「まずは評価版で試してみたい」という医療機関様・販売店様は、ぜひお気軽にお問い合わせください。