医療機器におけるサイバーセキュリティ（その2

2021.09.15

医療機器におけるサイバーセキュリティ（その2）

前回も紹介した通り、サイバーセキュリティ対策は、リスクマネジメント（ISO 14971）の一環として実施しなければならない。
ネットワークに接続するか、または USB メモリーなどで他の医療機器などとのデータのやり取りを行う医療機器に関しては、ハザードを分析する際にサイバー攻撃をハザードの一つとしてリスクマネジメントを実施しなければならない。
また、市販後においては、医療機器のサイバーセキュリティについて適切に対応するには、医療従事者を含む関係者の協力の下で、医療機器の製造販売業者が個々の医療機器の特性に応じたリスク分析を行った上で、サイバー攻撃によるリスクを低減するための対策を十分に行うことが重要である。
例えば、医療機関におけるネットワークセキュリティが脆弱であった場合、コンピュータウィルスが当該医療機器に感染し、医療機関の他のヘルスケアソフトウェアや医療機器に感染することもあれば、医療機関のヘルスウェアソフトウェアや他の医療機器から当該医療機器に感染することもあり得るのである。

医療機関との連携

医療機器企業は当該医療機器のサイバーセキュリティの脆弱性を発見した場合、速やかに各医療機関に通知しなければならない。通知を受けた医療機関は速やかに当該医療機器の中止使用を中止しネットワークなどから切り離す必要がある。
しかしながら、医療機関等に通知する場合、信頼できるルートを使用しなかった場合、返って悪意のある者に当該医療機器の脆弱性を知らしめてしまうことになり、逆効果である。
サイバーセキュリティに関する脆弱性の通知方法については、事前に当該医療機関などと十分に取り決めておく必要がある。

この場合、成熟した企業ほど速やかに当該医療機器で発見されたサイバーセキュリティの脆弱性について通知を行うであろう。しかしながら中小零細企業においては販売自粛や市場からの撤退などを恐れ、サイバーセキュリティの脆弱性について公表しないことも考えられる。そういった場合は、被害の拡大が懸念されることになる。

レガシー医療機器

過去に販売されすでに利用されている製品は、レガシー医療機器（現在のサイバーセキュリティの脅威に対して合理的に保護できない医療機器）に該当する可能性がある。
レガシー医療機器とは、現在のサイバーセキュリティの脅威に対してアップデートまたは補完的対策等の合理的な手段で保護できない医療機器をいう。
医療機器の臨床的有用性が、セキュリティ対応のサポート期間を超えることが多く、問題である。
老朽化の理由だけで、レガシー医療機器であると判断してはならない。例えば、発売開始から1年以内でも、サイバーセキュリティの脅威に対して合理的な手段で保護できなければ、レガシー医療機器である。また5年以上経っていても、合理的な手段で保護できれば、レガシーではない。
ここで注意が必要なことは、発売直後にレガシー医療機器になってしまうことである。
設計者はサイバーセキュリティについて、最新で十分な知見を持っていなければならない。
IMDRFガイダンスにおいては、レガシー医療機器の取り扱いについて新たな考え方が導入されている
レガシー医療機器への対応として、医療機器製造業者は、医療機器のサポートサービスの終了時期（EOS：End Of Support）をヘルスケアプロバイダーに明示することが推奨されている。

EOSについて合意が得られた後は、該当の医療機器を製品寿命終了時期（EOL：End Of Life）まで使用するリスクは、ヘルスケアプロバイダーに移転されることになる。
十分な対策が取られていないレガシー医療機器はハッカーにとって恰好の攻撃対象であり、そのまま放置することは、医療機器製造業者にとって、事業継続に係るリスクである。

一方で、レガシー医療機器は、機器のバージョンアップ、リプレースといったビジネス機会創出につながる側面もある。
医療機器製造業者は、以下のような活動に早期に取り組み、事業継続計画やビジネス戦略を見直す必要がある。