ネット接続医療機器のサイバー対策　日本で求められるSBOMと更新管理

医療機器のサイバーセキュリティは、ソフトウェアを使う機器がネットワークや他の装置につながることで生じる危険を、設計から使用終了まで管理する取り組みである。電子カルテ、予約、会計を支える病院情報システムの防御と重なる部分はあるが、医療機器規制が直接見るのは、攻撃によって機器の機能や患者の安全に支障が生じるリスクだ。患者モニター、画像診断装置、医療機器プログラムなどでは、機器本体、組み込まれたソフトウェア、接続先、保守経路を一続きの対象として扱う必要がある。

病院ITと機器本体──規制の入口が異なる

病院の一般的なIT対策は、電子カルテや院内ネットワーク、利用者アカウント、バックアップなどを広く守る。一方、医療機器のサイバー対策は、機器の動作が妨げられる危険や、安全性への影響を製品のリスクとして扱う。対象はインターネットへ直接つながる機器に限られない。厚生労働省が2024年に示した不具合等報告の考え方は、有線・無線の接続に加え、記録媒体を介して他の機器やネットワークと接続可能な医療機器、医療機器プログラム、プログラムを用いた附属品を対象とし、クラス分類を問わない。

二つの対策は別々に完結しない。機器の脆弱性が悪用されれば、同じ弱点を持つ機器や医療システムへ影響が広がるおそれがある。逆に、院内ネットワークの構成やアクセス管理が弱ければ、機器側の設計だけで危険を抑え切れない。製造販売業者が製品を管理し、医療機関が使用環境を管理するという分担が前提になる。

日本──2024年4月から基本要件への適合

日本では、医薬品医療機器等法（薬機法）第41条第3項に基づく基本要件基準が規制の土台になる。医薬品医療機器総合機構（PMDA）によると、2023年3月9日の改正でサイバーセキュリティ要件が第12条第3項に新設され、同年4月1日に適用された。1年間の経過措置を経て、サイバーリスクが懸念される医療機器は2024年4月1日から同項への適合を求められている。

同項が対象とするのは、プログラムを使う医療機器のうち、他の機器やネットワークと接続して使うもの、または外部からの不正アクセスや攻撃が想定されるものだ。製造販売業者は使用環境とネットワーク環境を踏まえ、機能障害や安全上の懸念につながる危険を特定・評価し、リスクを下げる管理を行う。設計と製造には、製品ライフサイクル全体でサイバーセキュリティを確保する計画が要る。発売時の試験に合格すれば対応が終わるという制度ではない。

SBOM──部品を特定して脆弱性と照合

対策の基礎になるのが、ソフトウェア部品表（Software Bill of Materials、SBOM）である。製品にどのソフトウェア部品が入り、どのバージョンを使っているかを追跡する構成台帳だ。広く使われる部品に脆弱性が見つかったとき、影響を受ける製品を絞り込む手掛かりになる。

厚生労働省の製造販売業者向け手引書は、自社開発、オープンソース、市販の各ソフトウェア部品をSBOMの対象とし、製造販売業者が作成するか、委託先や海外製造元から受け取った内容を確認して管理・発行するとしている。部品とバージョン、部品間の関係を特定できる情報を含め、製品ライフサイクル全体で更新・維持する。同じ手引書は、機器のセキュリティ機能を見渡す医療機器セキュリティ開示書（Manufacturer Disclosure Statement for Medical Device Security、MDS2）やシステム構成図も顧客向け文書に位置付ける。

SBOMは安全性の証明書ではない。一覧に載った部品の脆弱性がその製品で悪用可能か、修正プログラムが機器の性能へ影響するかは、構成と使用環境を踏まえて別に評価する。部品表が最新でなければ照合も遅れる。作成の有無と同時に、更新する責任者、提供範囲、サポート終了までの管理方法を確かめる必要がある。

市販後──監視、修正、復旧まで続く管理

脆弱性は販売後にも見つかる。製造販売業者向け手引書は、製品ライフサイクル全体（Total Product Life Cycle、TPLC）の計画に、脆弱性の監視と開示、定期または緊急の更新、バックアップ、インシデント後の復旧、製品寿命とサポート期間の開示を含めている。汎用OSや第三者部品のサポートが医療機器本体より先に終わる場合も想定し、部品の切り替えや更新を市販前から計画する考え方だ。

未知の脆弱性まで発売時に封じるのは不可能である。厚生労働省は、市販前の耐性確保と市販後のパッチ、更新、インシデント対応を一体で扱い、製造販売業者と使用者である医療機関の双方が適切に管理するよう求める。重大な脆弱性を放置すれば、機器単体の不具合を超えて医療システムへ波及する余地が残る。

医療機関──購入時点で保守と対応手順を決める

医療機関の役割は、納入された機器を院内ネットワークにつなぐ作業にとどまらない。厚生労働省の医療機関向け手引書は、導入前にセキュリティ方針、ネットワーク構成、職員教育を整え、更新方法と保守計画を確認するよう示す。導入時には保守・サービスの責任、契約、インシデント対応手順を決め、導入後は脆弱性情報の共有と修正を続ける。事業者側には、SBOM、MDS2、システム構成図、修正方法や注意情報の提供が割り当てられている。

確認項目は価格や機能とは別の調達条件になる。更新を誰が適用するのか、緊急時の連絡先はどこか、サポート終了日はいつか、終了後にネットワーク分離などの補完策を取れるかを契約前に詰める。サポート終了後も使い続ける場合、手引書は残るリスクを医療機関が引き受けて管理するとしている。長く使う機器ほど、保守期間と更新経路が調達判断を左右する。

米国との違い──FDAは申請書類を法律で列挙

米国では、連邦食品医薬品化粧品法（FD&C Act）Section 524Bがサイバー機器（cyber device）を定義し、上市前申請の提出者へ具体的な情報を求める。米食品医薬品局（FDA）のFAQによると、要件は2023年3月29日以降の対象申請に適用され、市販後の脆弱性を監視・特定・処理する計画、更新とパッチを提供するプロセス、市販・オープンソース・既製ソフトウェアを含むSBOMの提出が必要である。対象はソフトウェアを含み、インターネットへ接続可能で、サイバーセキュリティ上の脅威に対して脆弱になり得る技術的特性を持つ機器に限られる。

日本もSBOMとライフサイクル管理を取り入れているが、制度の書き方は同じではない。日本は基本要件基準への適合を土台に、製造販売業者と医療機関向けの手引書で実務を具体化する。米国はcyber deviceの上市前申請に添える項目をSection 524Bで列挙する。どちらも全医療機器へ一律に同じ書類を課す仕組みではなく、対象範囲と申請経路を確認して比較する必要がある。

残る情報差──制度と運用実績は分けて見る

日本の公開資料からは、規制要件と役割分担、SBOMの扱い、脆弱性を報告する考え方まで確認できる。一方、国内でSBOMが医療機関へ提供されている割合、脆弱性の判明から修正までに要した期間、医療機器への侵入が診療停止や患者被害へ直結した件数を横断した公的統計は、本稿の執筆時点で確認できていない。

この空白があるため、制度が整った事実を実装済みの割合や被害の少なさへ読み替えるのは適切でない。調達側は個別製品のSBOM、更新履歴、サポート期間、連絡体制を確かめる必要があり、製造販売業者側には修正までの時間と情報提供の実績を示す余地が残る。

よくある質問

SBOMがあれば医療機器は安全なのか
安全だとは限らない。SBOMは使用しているソフトウェア部品を特定し、既知の脆弱性と照合するための台帳である。悪用の可能性、患者安全への影響、修正方法は別に評価し、市販後も内容を更新する必要がある。

病院のランサムウェア対策と同じなのか
重なるが、対象は同じではない。病院ITの対策は電子カルテやアカウント、院内ネットワークを広く守る。医療機器の対策は、製品の機能と安全性に影響する危険を設計、保守、更新、使用終了まで追う。両者をつなぐのがネットワーク構成と役割分担である。

ネットにつながる医療機器はすべて同じ要件を受けるのか
一律ではない。日本の基本要件基準第12条第3項は、プログラムを使い、他の機器やネットワークと接続するか、外部からの不正アクセスや攻撃が想定される医療機器を対象とする。米国のSection 524Bにも別の「cyber device」の定義があり、国と申請経路で範囲が異なる。