医療機器とサイバーセキュリティが交渉の余地のない理由

この記事はもともとNew Electronicsに掲載されたものです。

この取り組みを支援するために、食品医薬品局（FDA）は2005年、既製（OTS）ソフトウェアを搭載したネットワーク接続型医療機器に焦点を当てた、医療機器のサイバーセキュリティに関する初のガイダンスを発行しました。

それでも長年にわたり、FDAの市販前ガイダンスは大幅な進化を遂げ、2014年の9ページの文書から、2023年には57ページに及ぶ包括的なガイダンスへと拡大しました。この進化だけでも、医療機器業界におけるサイバーセキュリティの重要性の高まりを如実に物語っています。

しかし、2023年統合歳出法により、医療機器のサイバーセキュリティに関するFDAの従来の非公式な推奨事項は、法に基づく正式な要件へと移行しました。FDAが2023年に改訂したガイダンス「Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions（医療機器におけるサイバーセキュリティ：品質システムでの考慮事項と市販前申請の内容）」と相まって、この進展は医療機器サイバーセキュリティ基準の厳格化を意味しています。これらの変更は一対となり、医療機器のサイバーセキュリティに関する規制の枠組みにおける極めて大きな前進を示しています。

医療機器の「サイバー安全性」を確保する

世界各地での取り組みが示すように、こうした要件は米国に限ったものではありません。例えば、EUのネットワーク・情報システムセキュリティに関する指令（NIS2指令：2022/2555）では、化学物質（原薬：API）、医薬品、医療機器を含む医療製品の製造業者に対し、包括的なサイバーセキュリティリスク管理措置の導入と報告義務の遵守を求めています。

またオーストラリアでは、保健省薬品・医薬品行政局（TGA）が「2022年業界向け医療機器サイバーセキュリティガイダンス（2022 Medical Device Cybersecurity Guidance for Industry）」を発行し、サイバーセキュリティに対する製品ライフサイクル全体（TPLC：Total Product Lifecycle）アプローチを義務付けました。このアプローチにより、製造業者はリスク管理の評価プロセスに、ペネトレーションテスト（侵入テスト）や脅威モデリング、その他の積極的な対策を組み込むことが求められます。

シンガポールでは、医療機器サイバーセキュリティ・ラベリング・スキーム（CLS-MD）により、サイバーセキュリティ対策に基づいた医療機器の格付けシステムが導入されています。このスキームの下、医療機器はそのサイバーセキュリティの堅牢性に応じて評価・ラベル付けされ、一般市民や医療従事者に有益な情報を提供します。このラベリング制度は、利害関係者が高いサイバーセキュリティ基準を満たす医療機器を識別・選択できるようにすることで、情報に基づいた購入決定を後押しします。

これらの世界的な取り組みは、医療機器業界において強固なサイバーセキュリティ対策が不可欠であるという、国際的な合意の広がりを反映しています。

相互接続の利点には弱点がないわけではありません

医療機器にソフトウェアが組み込まれている場合、とりわけ他の機器やネットワークに電子的に接続できる場合は、サイバーセキュリティの優先が極めて重要になります。ソフトウェアを搭載したスマート医療機器の普及やモノのインターネット（IoT）への移行によって促進された、現代の医療現場における医療機器の相互接続は、利便性が高くタイムリーな医療ケアという恩恵をもたらすことは間違いありません。

例えば、心臓インプラントを埋め込んだ患者を遠隔監視することで、頻繁な通院の必要性を減らすことができます。同様に、新たな血糖値管理ツールにより、血糖測定器とインスリンポンプがシームレスに連携できるようになります。また病院も、シームレスなデータ共有を通じて医療の質と効率を向上させるため、より多くの相互接続デバイスを導入しています。しかしその反面、医療システムに脆弱なリンク（脆弱性）が存在する場合、医療機器がサイバー攻撃やセキュリティ侵害の標的となるリスクも高まります。

リスクが高まる背景には、悪意のある攻撃者が医療機関を標的にして、脆弱なデバイスの悪用、患者記録へのアクセス、業務の妨害、身代金の要求、ネットワークへの侵入などを図ることがあります。例えば、インスリンポンプや心臓ペースメーカー、ウェアラブル端末などのデバイスは、患者データをリアルタイムで追跡し、患者や医師に即座に送信するため、特に脆弱性が生じやすくなります。したがって、これらの重要なデバイスを保護し、患者の安全を担保するためには、強固なサイバーセキュリティ対策が不可欠です。

開発者にとっての実際的な影響

FDAのサイバーセキュリティガイダンスおよび規制対象には、データの保存、転送、分析など、デバイスソフトウェアの幅広い機能が含まれます。アップグレード可能なソフトウェア、USBポート、さらにはCD（コンパクトディスク）技術を備えた医療用・診断用機器はすべて「接続機能を持つデバイス」として分類され、新たな規制の適用対象となります。

FDAと英国の国家サイバーセキュリティセンター（NCSC）による「セキュア設計原則（Secure Design Principles）」は、いずれも製造業者がより広範なエコシステムとデバイスの相互接続性を考慮することの重要性を強調しています。

セキュリティ目標は、個々の機能を分離して運用するのではなく、医療機器のシステムアーキテクチャ全体に組み込んで統合すべきです。

医療機器製造業者（MDM）は、発売のかなり前にデバイスの脅威モデリングを実施し、セキュリティ上の脅威や脆弱性を速やかに特定・評価した上で優先順位をつけ、市場に投入される前にデバイスの安全性を確保しなければなりません。重要な懸念事項の優先度リストを作成することで、開発チームは申請前に重要な問題に効率的かつ効果的に取り組み、解決することができます。さらにこれにより、将来のアップデートにおいてチームが体系的に対処できるセキュリティ上の考慮事項の文書化されたログが確立されます。

後から個別の対症療法的な修正に追われるのを避けるためには、システム上の根本的な問題に対処することも重要です。これには、標準作業手順書（SOP）の改訂、品質マネジメントシステム（QMS）の整合性の確保、そしてサイバーセキュリティの規格と規制要件の双方を満たしつつ開発ライフサイクル全体をカバーする包括的なセキュリティ戦略の策定などが含まれます。

最終的に、FDAが設定したサイバーセキュリティ対策の明示的な基準を満たせない場合、患者の安全が危険にさらされデータの完全性が損なわれるだけでなく、市場参入の遅れを招き、結果として経済的損失や企業の社会的信用の失墜につながる恐れがあります。同様にEUにおいても、製造業者がサイバーレジリエンス法（Cyber Resilience Act）を遵守しなかった場合、単一市場からの製品撤去や、一般データ保護規則（GDPR）と同等の高額な罰金が科される可能性があります。

リスクを軽減するため、FDAはソフトウェアセキュリティおよびサプライチェーン管理の基本要素として、「ソフトウェア部品表（SBOM）」プログラムの実施を推奨しています。SBOMはデバイス内のすべてのソフトウェアコンポーネントの包括的な一覧表を提供し、脆弱性の効果的な追跡と管理を可能にします。

製造業者が規制環境を円滑に乗り越え、医療機器のセキュリティと完全性を確保するためには、対象市場におけるサイバーセキュリティの要件や期待事項を理解し、それに適合させることが不可欠です。

予防は治療よりも優れている

サイバーセキュリティは後回しにすべきものではなく、医療機器開発の土台となる設計段階から組み込まれていなければならない点に留意する必要があります。

サイバーセキュリティは、予算割り当てやリソース配分、トレーニングなどを含め、ビジネスのあらゆる局面で優先されなければなりません。これは単に規制を遵守し、罰則を回避するためだけのものではありません。日常生活に密接に組み込まれた高度な相互接続デバイスの真の価値は、エンドユーザーがそのデバイスを心から信頼できる場合にのみ発揮されるという認識に基づいています。これらのデバイスを支えるソフトウェアがサイバーセキュリティを考慮して設計されていなければ、サイバー脅威に対する脆弱性が生じ、その結果、デバイスに依存している患者自身も同様のリスクにさらされることになります。それでは本末転倒です。

セキュリティ戦略を設計する際には、後になってからの修正を防ぐために、システム的な問題にもあらかじめ対処しておく必要があります。このようなプロセスを十分に重視することで、開発者は潜在的なリスクを予見し、極めて早期に是正措置を講じることが可能になります。最終的には、風評被害、経済的損失、市場参入の遅れ、そして患者の安全性への悪影響といった問題が生じるのを未然に防ぐことにつながります。