医療開発サイバーセキュリティの新基準

進化する医療機器サイバーセキュリティ規制の状況

医療機器会社による自社製品のサイバーセキュリティ管理は、長年にわたって規制当局から大きな期待を受けてきました。

US でこれを支援するために、FDA は 2005 年に医療機器のサイバーセキュリティに関する最初のガイダンスとして 既製 (OTS) ソフトウェアを含むネットワーク医療機器のサイバーセキュリティ を発行しました。

これに続いて、2014 年には 医療機器におけるサイバーセキュリティ管理のための市場投入前の提出内容 に関するガイダンスと、医療機器のサイバーセキュリティの市販後管理 に関するガイダンスが発行されました。これらの文書の推奨事項は有用ではありますが、不十分であり、あまり厳密ではないと判断されています。

しかし、2023 US 政府統合歳出法 の成立と、医療機器のサイバーセキュリティ: 品質システムの考慮事項と市販前申請の内容 に関する FDA の 2023 年最新ガイダンスの発行以来、サイバーセキュリティのハードルが引き上げられました。2023 年の市場前ガイダンスは、2018 年と 2022 年に草案形式で更新されていた 2014 年の市場前ガイダンスに代わるものです。

長年にわたり、FDA の市販前ガイダンスは、やや限定された 9 ページの 2014 年の文書から、現在では包括的な 57 ページの 2023 年のガイダンスへと大幅に進化しました。

2023 年の統合歳出法は、医療機器のサイバーセキュリティに関する FDA のガイダンスにおいて、これまであまり正式ではなかった「推奨」アプローチを、同法の可決により法令に基づく要件または法律へと移行させました。

たとえば、法律により、統合歳出法第 3305 条では、申請または提出（例：510(k) 市販前提出）のスポンサー（例：医療機器会社）が次のことを行うよう義務付けています。

1. 調整された脆弱性開示と関連手順を含む、市販後のサイバーセキュリティの脆弱性とエクスプロイトを監視、特定、および対処するための計画を提出すること。
2. プロセスと手順を設計、開発、維持して、デバイスと関連システムがサイバーセキュリティで保護されていることを合理的に保証し、以下に対処するためにデバイスと関連システムに市販後のアップデートとパッチを提供すること。
   • 合理的に正当化された定期的なサイクルにおける、既知の許容できない脆弱性
   • および、制御不能なリスクを引き起こす可能性のある重大な脆弱性（これらに対しては、サイクル外で可能な限り速やかに対処する）
3. 商用、オープンソース、既製（OTS）のソフトウェアコンポーネントを含むソフトウェア部品表を長官に提出すること。および
4. デバイスおよび関連システムがサイバーセキュリティで保護されていることを合理的に保証するために、長官が規制を通じて要求する場合があるその他の要件を遵守すること。

医療機器のサイバーセキュリティ強化に向けた世界的な移行

統合歳出法で特に注目に値するのは、市販後サイバーセキュリティ計画とソフトウェア部品表の要件ですが、これらは歴史的にUSの規制申請においては重視されていませんでした。これらは、医療機器開発の初期段階から多大な労力を必要とします。また、2023年の市販前ガイダンスにより、市販前申請にはペネトレーションテストや脅威モデリング演習の結果を含める必要が生じることになり、これらにも多大な労力とコストがかかります。

サイバーセキュリティに対する期待の高まりは、USだけに限定されるものではありません。ネットワークおよび情報システムのセキュリティに関するEUの2022/2555指令（「NIS2」）は現在、化学物質（API）、医薬品、医療機器を含む医療製品の製造業者に対し、サイバーセキュリティリスク管理措置と報告要件を義務付けています。

USと同様に、オーストラリアの医薬品局による業界向けの2022年医療機器サイバーセキュリティガイダンスは、サイバーセキュリティの管理において製品ライフサイクル全体（TPLC）アプローチを求めています。また、デバイスのリスク管理・評価プロセスの一環として、ペネトレーションテストや脅威モデリングも求めています。

そしてシンガポールは2022年に、医療機器のサイバーセキュリティラベル付けスキーム - CLS-MDを導入する計画を発表しました。ラベル付けスキームは現在、「サンドボックス」または試用期間中です。この制度は、4つのレベルのサイバーセキュリティ規定および評価に従って医療機器が評価されることに基づいています。

医療機器のサイバーセキュリティラベルは、医療機器のセキュリティレベルを示すものとなります。現在は任意ですが、この新しい制度は、医療機器のサイバーセキュリティに対するシンガポール政府の深刻な懸念を示しています。

上記の例に加えて、世界中で医療機器を「サイバー安全」に保つ必要性への意識が高まっており、これには国際医療機器規制当局フォーラムによる世界的な取り組みも含まれます。同フォーラムは、医療機器のサイバーセキュリティの原則と実践、レガシー医療機器 of the-shelf-ots-software のサイバーセキュリティの原則と実践、および医療機器サイバーセキュリティのためのソフトウェア部品表の原則と実践という優れた技術文書を作成しています。

ソフトウェアを搭載した医療機器を開発中またはすでに所有している場合、特にその機器が他の機器やネットワークに電子的に接続できる場合は、サイバーセキュリティを真剣に受け止め、販売中または今後販売予定の地域におけるサイバーセキュリティの要件と期待を十分に理解する必要があります。グローバルなサイバーセキュリティコンプライアンスへの対応に関するサポートが必要な場合は、お気軽に Pure Global までご連絡ください。