公開日12 May 2023
最小読み取り时间
ビュー
医疗サイバーセキュリティの現状は流動的である。サイバー犯罪の未遂や成功の件数や程度が増加し続けていることを考えると、医疗機関や医疗机器メーカー は今日、強固な脆弱性管理とインシデント報告プロセスを備えていなければならない。結局のところ、病院や診療所で使用される医疗机器のサイバー上の欠陥が対処されていないことは、安全でないドアが侵入者、この場合はサイバー犯罪者を招いているのと同じである。
2023年初頭、米国包括歳出法案が承認され、米国食品医薬品局（FDA）に医疗机器のサイバーセキュリティを規制する資金と法的能力が付与された。
医疗机器のセキュリティ要件に具体的に対処する法律は存在しないため、これは医疗机器のセキュリティにおける新たなフロンティアとなる。その代わりに、各医疗OEMは、FDAが提供するガイダンスに基づいて、自社の機器（サポートシステム）のサイバーセキュリティをどのように管理し、提供するかについて、独自の方針と手順を持っている。
これらの対策が适切である场合もあるが、ほとんどの场合、サイバー脆弱性は存続している。
製造业者は、サイバーセキュリティを机器に组み込んだ安全な製品开発の枠组みを导入しなければならない。これが意味するのは、「セキュア?バイ?デザイン」の原则を採用することであり、サイバーセキュリティを不可欠な要素として机器の安全性と有効性を确保し、さらに製品リリース后に将来発见される可能性のある脆弱性を追跡するプロセスを可能にすることである。
91原创
2023年3月に署名されたオムニバス法案は、定义されたサイバーセキュリティ要件を、ソフトウェアを含み、インターネットに接続する可能性があり、サイバー胁威にさらされる可能性があるすべての医疗机器が満たさなければならないとしている。
FDAの2022年4月の勧告に基づき、製造業者が提供しなければならない証拠に関してFDAが期待することがまとめられている。その条項の通り、医疗机器の新規承認申請は、以下の事項を遵守しなければならない：
セクション 524B - a
市贩后のサイバーセキュリティの脆弱性を监视し、特定し、（合理的な时间内に）対処する计画の提出に関するもので、脆弱性の开示および関连する手顺を含む。
セクション 524B - b
機器および関連システムがサイバーセキュアであることを保証し、機器／関連システムに対する市販後の更新およびパッチを利用可能にするためのプロセスおよび手順の設計、開発、および維持。これには、SBOM（ソフトウェア部品表） - 商用、OTS／オープンソースソフトウェアコンポーネントが含まれる。
セクション 524B - c
機器として、または機器に搭載されるソフトウェアとして、治験依頼者によって検証され、 インストールされ、または承認されたソフトウェア。これには、サイバーセキュリティの脅威に対して脆弱である可能性のある、スポンサーによって検証され、インストールされた技術的特性が含まれる。
连邦登记簿には、サイバーセキュリティ要件への适合が免除される、特定された机器／机器のカテゴリーが记载されている。
提案された変更は、2023年4月1日に、医疗机器OEMがFDAに新規に提出するすべての機器に適用される。
91原创
オムニバス法案発効後、FDAにサイバー対応医疗机器を提出する者は、以下のことが要求される：
- 调整された脆弱性の开示と関连手顺を含む、市贩后のサイバーセキュリティの悪用と脆弱性を适时に追跡、认识、缓和する计画を贵顿础长官に提出すること；
- 机器と関连システムがサイバーセキュアであることを正当化できるレベルの保証を与えるプロセスと手顺を设计、作成、维持し、机器と関连システムの市贩后のアップデートとパッチを対応できるようにすること：
- 既知の许容できない脆弱性を正当化可能な定期的サイクルで対応すること；
- 重大な脆弱性については、サイクル终了后、可能な限り速やかに対応すること。
- 市贩、オープンソース、既製のソフトウェアコンポーネントを含むソフトウェア部品表を贵顿础长官に提出すること。
したがって、医疗机器製造業者として、改訂された状況は、製品ライフサイクル全体を通じて堅牢なサイバーセキュリティ機能を提供する新たな機会を提供する。法定要件を満たすだけでなく、顧客からの信頼と信用を高め、市場で新たな価値を引き出すことにもつながる。
この法律が施行されることで、医疗机器業界全体が活性化され、安全なサイバー環境の台頭を目の当たりにすることになるだろう。
