株式会社イーコンプライアンス

サイバーテロは国境を越えて実行されます。医療機器企業は、サイバーセキュリティを確保した設計開発を確実に実施し、医療現場に提供することが求められます。一体どのようなリスクマネジメントを実施し、どのような手順書や記録を作成する必要があるのでしょうか。
　2023年4月1日から、サイバーセキュリティ対策が基本要件基準の第12条 「プログラムを用いた医療機器に対する配慮」に追記されました。これにより、プログラムを使用した医療機器を製造販売する企業はサイバーセキュリティ対策が必須となりました。またサイバーセキュリティ対策は、IEC 81001-5-1:2021（JIS T 81001-5-1：2023）「ヘルスソフトウェアおよびヘルスITシステムの安全、有効性およびセキュリティ」－第5-1部：セキュリティ－製品ライフサイクルにおけるアクティビティに準拠することとされました。
　IEC 81001-5-1:2021はどのような規格でしょうか。IEC 81001-5-1は、IEC 62304やISO 14971などと同様、プロセス規格です。対象となる医療機器企業は、本規格に従った手順書の作成が求められます。IEC 81001-5-1は、IEC 62443-4-1「産業用自動制御システムの製品ライフサイクルのセキュリティ要求事項」への適合をサポートするために必要な、ヘルスソフトウェアの開発および保守のライフサイクルの要求事項を規定しています。また、ヘルスソフトウェアのサイバーセキュリティを強化するために、ライフサイクルにおいて実行するアクティビティをIEC 62304の順序で記載しています。つまり、IEC 62304対応手順書に、IEC 81001-5-1が要求するアクティビティを追加しなければなりません。
　一方で、IMDRFが発行した「Principles and Practices for Medical Device Cybersecurity」（医療機器サイバーセキュリティの原則及び実践。以下「IMDRFガイダンス」という。）は追補が出されました。本邦において、その内容に基づき「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」が発出されました。これにより、Software Bill of Materials（SBOM）の取扱い、レガシー医療機器の取扱い、脆弱性の修正、インシデントの対応等が具体的に示されました。
　ネットワークを介して医療機器がサイバー攻撃を受けるリスクや、当該医療機器が接続された医療機関等のネットワークを介して他の医療機器やコンピュータ等もサイバー攻撃を受け、障害が引き起こされる可能性もあり得るでしょう。医療機器がサイバー攻撃を受けた場合のリスクには下記のものが考えられます。

1. 検査装置・診断装置：検査の中断や誤った診断に至る可能性
2. 治療に用いられる装置：治療の中断等の事象の発生の可能性
3. 放射線治療の線量等の計算プログラム：過量照射や不十分な量の照射が発生する可能性

　サイバーセキュリティ対応は複雑で難解です。
　本セミナーでは、医療機器におけるサイバーセキュリティ確保のための手順書例（サイバーセキュリティ手引書（第2版）対応版）を配布し、要点を分かりやすく解説します。

■講座のポイント
　サイバーテロは国境を越えて実行されます。医療機器企業は、サイバーセキュリティを確保した設計開発を確実に実施し、医療現場に提供することが求められます。一体どのようなリスクマネジメントを実施し、どのような手順書や記録を作成する必要があるのでしょうか。
　2023年4月1日から、サイバーセキュリティ対策が基本要件基準の第12条 「プログラムを用いた医療機器に対する配慮」に追記されました。これにより、プログラムを使用した医療機器を製造販売する企業はサイバーセキュリティ対策が必須となりました。またサイバーセキュリティ対策は、IEC 81001-5-1:2021（JIS T 81001-5-1：2023）「ヘルスソフトウェアおよびヘルスITシステムの安全、有効性およびセキュリティ」－第5-1部：セキュリティ－製品ライフサイクルにおけるアクティビティに準拠することとされました。
　IEC 81001-5-1:2021はどのような規格でしょうか。IEC 81001-5-1は、IEC 62304やISO 14971などと同様、プロセス規格です。対象となる医療機器企業は、本規格に従った手順書の作成が求められます。IEC 81001-5-1は、IEC 62443-4-1「産業用自動制御システムの製品ライフサイクルのセキュリティ要求事項」への適合をサポートするために必要な、ヘルスソフトウェアの開発および保守のライフサイクルの要求事項を規定しています。また、ヘルスソフトウェアのサイバーセキュリティを強化するために、ライフサイクルにおいて実行するアクティビティをIEC 62304の順序で記載しています。つまり、IEC 62304対応手順書に、IEC 81001-5-1が要求するアクティビティを追加しなければなりません。
　一方で、IMDRFが発行した「Principles and Practices for Medical Device Cybersecurity」（医療機器サイバーセキュリティの原則及び実践。以下「IMDRFガイダンス」という。）は追補が出されました。本邦において、その内容に基づき「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」が発出されました。これにより、Software Bill of Materials（SBOM）の取扱い、レガシー医療機器の取扱い、脆弱性の修正、インシデントの対応等が具体的に示されました。
　ネットワークを介して医療機器がサイバー攻撃を受けるリスクや、当該医療機器が接続された医療機関等のネットワークを介して他の医療機器やコンピュータ等もサイバー攻撃を受け、障害が引き起こされる可能性もあり得るでしょう。医療機器がサイバー攻撃を受けた場合のリスクには下記のものが考えられます。

1. 検査装置・診断装置：検査の中断や誤った診断に至る可能性
2. 治療に用いられる装置：治療の中断等の事象の発生の可能性
3. 放射線治療の線量等の計算プログラム：過量照射や不十分な量の照射が発生する可能性

　サイバーセキュリティ対応は複雑で難解です。
　本セミナーでは、医療機器におけるサイバーセキュリティ確保のための手順書例（サイバーセキュリティ手引書（第2版）対応版）を配布し、要点を分かりやすく解説します。

医療機器の基本要件基準第12条「プログラムを用いた医療機器に対する配慮」に第3項が追加され、サイバーセキュリティ対応が必須となりました。この規定は2023年4月1日から適用され、2024年3月31日までに対応が必要です。
サイバーセキュリティ対策として、IEC 81001-5-1:2021（JIS T 81001-5-1：2023）に準拠することが求められます。これは製品ライフサイクル全体での活動を規定しており、ソフトウェア開発プロセスにはIEC 62304、リスクマネジメントにはISO 14971も適用します。
本セミナーでは、サイバーセキュリティ対応の基本を分かりやすく解説します。

IoT機器の進歩に伴い、医療機器がネットワークと接続される機会が増えています。そのため、サイバーセキュリティは重要です。2023年4月1日から「プログラムを用いた医療機器への配慮」としてサイバーセキュリティ対策が基本要件基準に追加されました。対応にはIEC 81001-5-1:2021（JIS T 81001-5-1：2023）に準拠する必要があります。また、日本では「医療機器のサイバーセキュリティ導入に関する手引書（第2版）」が公開されています。医療機器がサイバー攻撃を受けるリスクがあります。

１． 検査装置・診断装置：検査の中断や誤った診断に至る可能性
２． 治療に用いられる装置：治療の中断等の事象の発生の可能性
３． 放射線治療の線量等の計算プログラム：過量照射や不十分な量の照射が発生する可能性

サイバーセキュリティ対応は複雑です。このセミナーでは『医療機器のサイバーセキュリティ手引書（第2版）』の要点を説明します。外部からの不正侵入リスクが増え、医療機器や関連コンピュータがサイバー攻撃を受ける可能性があります。医療機器がサイバー攻撃を受けた場合のリスクには以下があります。

１． 検査装置・診断装置：検査の中断や誤った診断に至る可能性
２． 治療に用いられる装置：治療の中断等の事象の発生の可能性
３． 放射線治療の線量等の計算プログラム：過量照射や不十分な量の照射が発生する可能性

医療機器企業はサイバーセキュリティを考慮した設計が必要です。IMDRF は 2020 年にガイドラインを公開し、日本では 2023 年導入予定です。厚労省も 2021 年に手引書を発表しました。このセミナーでは、リスクマネジメントと手順書の例を解説します。