医療情報技師能力検定試験 病院情報システムの導入と運用 練習問題 第16問: ある病院が電子カルテシステムの更改にあわせて二要素認証を導入する。医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月）のシステム運用編が示す

「クライアント端末では電子カルテ等のアプリケーションのログイン時に、サーバではOSのログイン時に実装する」が適切です。医療情報システムの安全管理に関するガイドライン第7.0版（令和8年6月）システム運用編の14章の遵守事項は、クライアント端末とサーバのいずれも二要素認証の実装を要するとし、表14-1でクライアント端末はアプリケーション、サーバはOSを「要」としています。

どちらか一方で足りるという考え方はこれと食い違います。表の注では、認証した情報をアプリケーションの資格情報等と連携して適切な権限付与ができる場合は端末のOSやミドルウェアでの二要素認証も許容されるので、「アプリケーションでの実装は認められない」は逆です。

また同じ注は「OSで一要素、アプリケーションで一要素のような認証は許容されない」としています。サーバはアプリケーションを介さずにデータベースへアクセスできるため、OSのログイン時に実施するのが合理的とされています。