HSAが医療機器サイバーセキュリティのベストプラクティスGL-10を発行

シンガポール保健科学庁（HSA）は、GL-10-R1、​Best Practices Guide for Medical Device Cybersecurity​を発行しました。改訂履歴には、​2026年8月17日​付で発効した初版として記録されています。HSAの医療機器ガイダンス一覧では、同ファイルに「GL-10-R1 … (2026 Aug) PUB」とラベル付けされています。2026年8月14日付のパブリックコンサルテーション回答通知によると、HSAは一般からの意見を取り入れ、確定版ガイドを当該一覧に公開したとされています。

GL-10の法的地位は、まず確認すべき重要な事項です。セクション2には、「本ドキュメントは規制ガイダンスを構成するものではなく、市販前申請または登録に関する規制要件や期待事項を設定するものではありません」と明記されています。これは、コネクテッドデバイスの製品全ライフサイクル（TPLC）にわたるサイバーセキュリティを管理するための実践的な助言です。新たなサイバーセキュリティ法令ではなく、登録チェックリストでもなく、HSAの個別のソフトウェア規制ガイドラインに代わるものでもありません。

適用範囲：対象組織と対象機器

本ガイドは、専門家使用限定（PUO）か非PUOかを問わず、シンガポール市場に上市される​すべてのコネクテッド​一般医療機器およびIVDに適用されます。シンガポールで新たに供給される機器だけでなく、すでに設置され使用中の機器も対象となります。

想定読者は、製造業者、製品登録者、輸入業者、現地委任代理人、および医療提供者です。製造業者関連の推奨事項は開発（Development）段階から始まります。本ガイドに記載されている医療提供者の責任は、サポート（Support）段階から始まり、限定サポート（Limited Support）およびサポート終了（End of Support: EOS）まで継続します。

GL-10は、コネクテッドデバイスの新たなクラスを作成したり、SMDR登録カテゴリーを変更したりするものではありません。本記事では、GL-10自体に記載されている内容のみを取り扱います。

GL-10におけるTPLCモデル

GL-10では、サイバーセキュリティ業務を​開発（Development）​、​サポート（Support）​、​限定サポート（Limited Support）​、​サポート終了（End of Support）​の4つの段階に整理しています。限定サポートは、耐用期間終了（EOL）とサポート終了（EOS）の間に位置づけられます。HSAの定義において、EOLは製造業者が規定の使用可能期間を超えて製品を販売しなくなり、サポートが縮小される可能性があることを意味し、EOSは製造業者がサービスサポート活動を終了したことを意味します。

EOSにおける運用の移管には慎重な条件が付されています。製造業者によって適切にサポートされたサイバーセキュリティライフサイクルを伴ってシンガポール市場に過去上市された機器については、EOS後の継続使用に伴うリスクを管理する運用責任が医療提供者に移行します。この移管は：

• 既知の安全リスクの伝達、適切な安全措置への支援、および適用される規制報告を含む、製造業者、製品登録者、輸入業者、または現地委任代理人の継続的な義務を免除するものでは​ありません​。また、
• EOSより前に製造業者のライフサイクル責任を医療提供者へ転嫁する根拠として解釈すべきでは​ありません​。

GL-10では、機器の複雑さや重要度によって時期が異なる場合があるとの留意事項を付けつつ、サポートから限定サポートへの移行をEOSの約2〜3年前に開始することを推奨しています。このタイムラインはガイド内の推奨事項であり、法定制限期間ではありません。

GL-10が開発段階において推奨する事項

開発段階において、HSAの推奨事項は、セキュリティ設計、リスクマネジメント、試験、ユーザー向け情報、市販後計画、およびソフトウェア部品表（SBOM）を中心に構成されています。

​セキュア・バイ・デザイン（Secure by Design）およびセキュア・バイ・デフォルト（Secure by Default）。​セキュア・バイ・デザインとは、最初からアーキテクチャにセキュリティを組み込むことを意味します。セキュア・バイ・デフォルトとは、ユーザーが設定を変更しなくても機器ができる限り安全な状態に構成されていることを意味します。

​リスクマネジメント。​本ガイドでは、コンセプト策定からEOLに至るまで、サイバーセキュリティをライフサイクルリスクマネジメントの対象範囲として扱っています。意図的なサイバー攻撃の確率を推定することが困難な場合、共通脆弱性評価システム（CVSS）のアプローチを含め、既知の脆弱性の悪用可能性を評価することを推奨しています。リスクコントロールの優先順位はISO 14971に従い、設計による本質的安全設計、次いで保護措置、最後に安全のための情報提供となります。

​ユーザー向け情報。​開発段階におけるユーザー向け情報の推奨事項には、サイバーセキュリティのサポート終了情報およびSBOMが含まれます。

​市販後計画。​推奨される計画には、市販後ビジランス、脆弱性の開示、パッチ適用およびアップデート、復旧、ならびに情報共有が含まれます。

​SBOM。​GL-10では、SBOMをオープンソースツール、サードパーティ製ソフトウェア、ライブラリを含むソフトウェアコンポーネントの詳細な一覧として説明しています。記載されている主要要素は、作成者名、タイムスタンプ、ソフトウェアコンポーネントベンダー、名称、バージョン、一意の識別子、および依存関係です。2つの例示的なユースケースとして、製造業者がサプライチェーンおよびパッチ管理にSBOMを使用する例と、医療提供者がインシデント対応時にベンダーのSBOMを使用する例が示されています。これらは実例であり、必須の申請資料テンプレートではありません。

​AI搭載機器。​セクション6.7は追加の考慮事項であり、新たなAI登録ルートではありません。生成AIは、プロンプトインジェクション、ハルシネーション（幻覚）、誤情報、偶発的なデータ漏洩などの脅威をもたらすため、従来のサイバーセキュリティ脅威と並行して対処すべきであると述べています。推奨される重点領域は、モデル設計、AIサプライチェーンの保護、安全な展開、ならびに運用およびアップデート時のセキュリティです。

GL-10は規制ガイダンスではないため、本ドキュメントに記載されているという理由だけで、上記の内容がHSAの市販前申請における期待事項になるわけではありません。製造業者は、他のHSA文書に基づいて適用されるサイバーセキュリティ、ソフトウェア、および市販後の各種義務を引き続き満たす必要があります。GL-10は、そのライフサイクル全体においてHSAが有用とみなすプラクティスを体系化したマップです。

サポート、限定サポート、およびEOSにおける変更点

サポート期間中、製造業者はパッチやアップデートを含む完全なサイバーセキュリティサポートを提供すべきです。製品登録者、輸入業者、および現地委任代理人は、シンガポールのユーザーへそのサポートと情報を届ける支援を行う必要があります。製造業者によるサポートが利用可能である間は、医療提供者がサイバーセキュリティの全負担を負うことは想定されていません。

限定サポート段階では、製造業者のサポートは縮小します。本ガイドでは、製造業者がサポート縮小の内容、EOSまでの残存期間、サポート対象外となる部分、利用可能なソフトウェアアップデート、および補償コントロール（代替策）についてユーザーに通知することを推奨しています。医療提供者は、セキュリティリスク、残存する有用性、サポートリソース、患者への影響を考慮して、継続使用の妥当性を再評価することが求められます。

EOSに達すると、医療提供者は製造業者による積極的なサポートがない状態での継続使用に伴うサイバーセキュリティリスクについて、主要な運用責任を負うことになります（これも、製造業者によって適切にサポートされたサイバーセキュリティライフサイクルが存在していた機器に限られます）。製造業者は引き続き製品セキュリティ情報を引き渡し、EOSへの移行を伝達し、サイバーセキュリティに関連する既知の患者安全情報の通知および適用される報告を継続すべきです。

GL-10では、医療提供者が健康情報法（Health Information Act）2026に基づく保健省の​Cyber & Data Security Guidelines for Healthcare Providers​を遵守すべきであるとも述べています。これはGL-10が指摘する医療提供者側の義務であり、GL-10自体において新たに公布された医療機器登録要件ではありません。

HSAのソフトウェアガイダンスとの位置づけ

GL-10は新たに発行された初版ドキュメントです。機械学習搭載機器を含むソフトウェア医療機器に関するHSAの規制ガイドラインであるGL-04-R4を改訂するものではありません。これら2つのドキュメントは明確に区別して管理する必要があります。GL-04はソフトウェアの登録および変更管理について定めているのに対し、GL-10はコネクテッドデバイスのサイバーセキュリティの実践について述べており、申請上の期待事項を設定するものではありません。

法的拘束力のないガイドに対して製造業者が取るべき対応

Pure Globalが推奨するGL-10の活用法は、自社のシンガポール向けコネクテッド製品ポートフォリオがHSAのTPLCマップ上で実際に運用可能かどうかを検証することであり、このPDFを新たな登録ファイルとして扱うことではありません。

1. シンガポール市場における​すべてのコネクテッド一般医療機器およびIVDをリストアップし​（既設機器を含む）、現在のTPLC段階（開発、サポート、限定サポート、またはEOS）を割り当てます。
2. ​EOLおよびEOSの日付​、ならびにGL-10がEOS前に推奨する2〜3年のコミュニケーション計画を策定または確認します。製品登録者、輸入業者、および現地委任代理人は、シンガポール国内においてその情報を提供できるようにしておく必要があります。
3. ​開発パッケージをGL-10の見出し項目と照合して確認します​：セキュア・バイ・デザイン／デフォルト、ライフサイクル全体のリスクマネジメント、試験、ユーザー向け情報（EOS情報およびSBOMを含む）、ならびに5部構成の市販後計画。
4. ​SBOMがインシデント対応をサポートできることを確認します​。その際、少なくともHSAが記載する7つの主要要素を用います。GL-10はファイル形式を指定していません。
5. 機器に生成AIが組み込まれている場合、セクション6.7を単独のHSA AI申請規則として扱うのではなく、​AIの脅威分析をサイバーセキュリティリスクマネジメントの範囲内に留めます​。
6. ​製造業者の義務を早期に移管しないでください。​EOSにおける運用の移行には条件が付されており、既知のリスクの伝達や適用される報告義務が免除されるわけではありません。

完全なGL-10-R1ガイドおよびHSAのパブリックコンサルテーション回答通知をご参照ください。シンガポール市場の背景情報については、HSA用語集、シンガポール市場概要、およびHSA医療機器規制をご覧ください。Pure Globalの医療機器サイバーセキュリティサービスは、HSA登録と並行して行われ、それに代わるものではないTPLCセキュリティ業務を網羅しています。