【2026年度は対応の分岐点】令和9年度（2027年度）に訪れる“更改の波”──医療情報ガイドライン6.0が求める「二要素認証」と「保守回線対策」
2026/02/16
医療機関を対象とするサイバー攻撃は年々複雑化し、事業停止や診療の一時中断につながる事例も確認されています。
こうした背景を踏まえ、厚生労働省は2024年3月に「医療情報システムの安全管理に関するガイドライン（第6.0版）」を公表しました。
そして、このガイドライン（2024年版）では、2027年度（令和9年度）に向けた明確な方向性が示されています。
出典：厚生労働省 医療DX推進本部事務局『第6.0版 Q&A』より
「令和９年度時点で稼働していることが想定される医療情報システムを、今後新規に導入又は更新する場合には、原則として二要素認証を採用することが望ましい。」
この文言が示す意味は、
2027年度以降新規導入・更新される医療システムでは、原則として二要素認証を実装することが求められるということ。
法的義務ではありませんが、今後のセキュリティ標準（デファクトスタンダード）として広く定着する可能性が高く、
ベンダーや医療機関にとって2026年度中の方針決定が実質的な対応の分岐点となります。
特に、電子カルテや部門システムの多くが2025〜2027年度に更新サイクルを迎えるため、
「更改の波」が業界全体に訪れる時期でもあります。
つまり2026年度は、“どの段階で二要素認証に移行するか”を現実的に決める年と言えます。
1. まず着手すべき3つの準備
- ①対象システムの棚卸し（電子カルテ、部門システム、VPN / VDI、クラウド、保守回線等）
- ②認証方針の策定（二要素認証をどこで実現するか：各システム／統合認証／物理入室等の併用）
- ③保守アクセス統制（外部保守の権限・ログ・接続手順を「ルール」と「仕組み」で整える）
この3点を明確化することで、製品選定ではなく「ガイドライン要件に基づいた整備計画」として検討を進めやすくなります。
2. ガイドライン6.0版の位置づけと実務影響
ガイドライン6.0版は法令ではありませんが、医療法施行規則に基づく「安全管理措置」の詳細指針として位置付けられています。
自治体の立入検査や指導の場面ではチェックリスト確認が行われるケースもあり、
形式上は任意であっても、実務的には「説明できる体制」を整えておくことが求められます。
3. 二要素認証と保守アクセス、つまずきやすい2つの論点
(1) 二要素認証の実現方法を明確に
ガイドラインは、利用者認証の強化策として二要素認証の採用を推奨しています。
ただし、導入が難しい場合は入室管理や複合的な対策による「相当の安全性確保」も認められています。
つまり、「すべての電子カルテで機能追加が必要」と誤解せず、段階的に設計することが現実的です。
(2) 外部保守（リモートメンテナンス）の統制
保守アクセスを契約条件だけに依存することは推奨されません。
運用編では、権限管理・ログ取得・接続経路の制御などを医療機関側で確認・統制することを求めています。
「誰が・いつ・どこから・何をしたか」を後から説明できる状態が前提となります。
4. 実装例：GMOトラスト・ログインでの運用支援
※ガイドライン適合を直接保証するものではありません。
- ●SSO（シングルサインオン）でログイン管理を一元化
- ●MFA（二要素認証）を横串で適用し、入口での認証を強化
- ●アクセスログを集中管理し、監査時の証跡提出を容易に
- ●退職・委託先アカウントの適正管理を支援
これにより、現場の利便性を保ちながら「説明可能な統制体制」を段階的に構築できます。
5. よくある質問
Q1. 二要素認証はいつまでに対応が必要ですか？
A. 厚労省のQ&Aでは、令和9年度時点で稼働している医療情報システムのうち、新規導入・更新されるものは原則として二要素認証の採用が望ましいとされています。実務上は、2026年度中に方針と計画を確定させることが現実的です。
Q2. 古い機器や電子カルテが非対応の場合は？
A. 更改計画での組み込みを推奨しますが、近い時期に改修が難しい場合は入室管理等の複合対策で相当の安全性を確保できます。
Q3. 保守回線の管理はベンダに任せても問題ありませんか？
A. いいえ。最終的な責任は医療機関側にあります。 ベンダに任せきりはせずに 医療機関が最終責任者として、ベンダが行う保守アクセスを常に監査・確認できる統制体制を保つことが求められます。
まとめ：2027年の「更改の波」に備えるための一年
2027年度は、厚労省ガイドライン第6.0版が示す新たな安全管理基準が、医療機関とベンダ双方の“共通前提”となる年です。
2026年度は、「どのシステムを、どの方法で強化するか」を方針として明文化し、
二要素認証・アクセス統制・ログ整備といった基盤対応を計画に落とし込む時期にあたります。