医療機器サイバーセキュリティ＆コンプライアンスコンサルティング

ソフトウェア、プログラマブルロジック、ネットワークインターフェース、無線機能、リムーバブルメディア、クラウドサービス、モバイルアプリケーション、更新メカニズム、その他悪用される可能性のある技術を備えた機器または接続システムは、サイバーセキュリティリスクを有する可能性があり、その意図された使用環境において評価される必要があります。FDAにおける、より限定的な法的定義用語である​サイバーデバイス​には、スポンサーが承認したソフトウェア、インターネット接続性、およびサイバーセキュリティ上の脅威に対して脆弱になり得る技術的特性という3つの要素があります。製品がこの特定の法的定義を満たさない場合であっても、サイバーセキュリティリスクマネジメントが必要となる場合があります。

第524B条の対象となる市販前申請において、スポンサーはサイバーデバイスが法的なサイバーセキュリティ要件を満たしていることを示す情報を提供しなければなりません。これには、市販後の脆弱性およびエクスプロイトをモニタリング、特定、対処するための計画、機器および関連システムがサイバーセキュリティ上安全であり適切な更新やパッチを受信できるという合理的保証を提供することを目的としたプロセスおよび手順、ならびに商用、オープンソース、および市販（OTS）コンポーネントを網羅するソフトウェア部品表（SBOM）が含まれます。FDAは、その医療機器サイバーセキュリティに関するFAQにおいてその範囲を説明しています。

エビデンスは、機器のサイバーセキュリティリスクおよび申請の種類に応じた適切な規模である必要があります。該当性に応じて、セキュリティリスクマネジメント文書、脅威モデリング、アーキテクチャ図（ビュー）、セキュリティ要件およびトレーサビリティ、サイバーセキュリティ試験、未解消のアノマリー（不具合）評価、SBOM、ラベル表示、ならびに脆弱性モニタリング、協調的開示、更新およびパッチに関する計画を含めることができます。FDAの2026年2月の市販前サイバーセキュリティガイダンスは、同機関の推奨事項および第524B条の取り扱いに関する最新の情報源です。

EU MDRでは、サイバーセキュリティを独立した市場出荷承認（販売認証）としてではなく、安全性、基本性能、リスクマネジメント、ソフトウェアライフサイクル、技術文書、および市販後義務の枠組みの中で取り扱っています。適用される管理策は、機器、意図された使用、動作環境、および最新の技術水準（state of the art）によって異なります。製造業者はサイバーセキュリティリスクと管理策を附属書Iの基本安全及び性能要件（GSPR）に関連付け、裏付けとなるエビデンスを技術文書内に維持する必要があります。欧州委員会は、医療機器のサイバーセキュリティに関するガイダンスとしてMDCG 2019-16 rev.1を挙げています。

すべての接続型医療機器にIEC 81001-5-1認証の取得を義務付ける普遍的な規則はありません。IEC 81001-5-1:2021は、セキュアなヘルスソフトウェアの開発および維持に関するライフサイクルアクティビティとタスクを定義しています。本規格は有用なプロセスフレームワークおよびエビデンスの根拠となり得ますが、規格を適用すること自体によって機器が承認されたり、適用されるFDA、EU、品質マネジメントシステム、リスクマネジメント、ソフトウェア、試験、および市販後要件に代わるものではありません。適用される適合性宣言は、製品および対象市場に応じて定義されるべきです。

いいえ。サイバーセキュリティは製品ライフサイクル全体を通じて継続します。製造業者は、脆弱性および脅威のモニタリング、外部報告の受信、安全性および悪用可能性の評価、協調的開示の調整、更新やパッチの開発と検証、ユーザーとのコミュニケーション、報告対象性の評価、ならびにリスク、技術、ラベル表示、品質記録の更新を行うための管理されたプロセスを必要とします。また、製品の変更についても、新たな規制上の申請、認証機関との対応、またはその他の市場固有のアクションが必要かどうかを判断するために評価する必要があります。