医療機器のサイバーセキュリティ
Sytance · 更新日
医療機器のサイバーセキュリティでは、機器の安全性と性能に影響し得る脅威をライフサイクル全体にわたって扱います。メーカーは、設計記録、脅威モデル、SBOM、試験を用いてリスクを評価し、その後、更新、ユーザー情報、市販後監視を通じて保護を維持します。規制要件は米国と欧州連合で異なります。
規制要件と技術的作業
米国での申請では、FDAの市販前ガイダンスと第524B条の基準から確認します。EUでの適合性評価ではMDRまたはIVDRの要件から確認します。技術ページでは、アーキテクチャやリスク評価から試験、市販後保守までの支援作業を説明しています。
FDA市販前の証拠
FDAは、機器をどのように安全に設計・試験したか、リリース後にサイバーセキュリティリスクをどのように管理するかを説明するよう推奨しています。第524B条は、該当するサイバーデバイスの申請に追加の法的要件を定めています。
FDA市販後管理
FDAの市販後ガイダンスでは、新たに発見された脆弱性を評価し、既存の管理策が引き続き十分かどうかを判断する方法を説明しています。患者安全へのリスクによって、是正の緊急性と適用される報告上の考慮事項が決まります。
EU MDRおよびMDCGの証拠
MDRおよびIVDRは、ソフトウェア開発とリスク管理における情報セキュリティを扱います。技術文書と取扱説明書では、意図されたIT環境での安全な使用を説明する必要があります。MDCG 2019-16は、これらの要件の適用に関するガイダンスを示しています。
ライフサイクル記録
IEC 81001-5-1は、ヘルスソフトウェアの安全な開発および保守活動を説明しています。技術ページでは、アーキテクチャ、コンポーネント情報、試験結果が機器の評価およびリリース後の保守にどのように役立つかを説明します。
読み進める順序
- FDA市販前サイバーセキュリティ 申請資料、第524B条、セキュリティアーキテクチャ、試験、ラベル表示、管理計画について。
- FDA市販後管理 脆弱性監視、管理可能・管理困難なリスク、定期更新、協調的開示、現場是正について。
- EU MDRおよびMDCGのサイバーセキュリティ 附属書Iのソフトウェア・セキュリティ要件、意図された運用環境に関する証拠、ユーザー情報、市販後調査、ビジランスについて。
- IEC 81001-5-1 FDAとEUの証拠を支援することがある、安全なヘルスソフトウェアのライフサイクルプロセスについて。ただし、いずれの規制枠組みにも代わりません。
- SBOMと脅威モデリング 互いに混同されやすい2種類の記録と、アーキテクチャ、試験、市販後監視との関連について。
規制上の区分
米国とEUの申請では、同じ機器設計や試験結果を利用できる場合がありますが、法的要件は異なります。例えば、第524B条は、該当する米国のサイバーデバイス申請に必要な内容を定めています。EUのサイバーセキュリティ作業は、適用されるMDRまたはIVDR要件に従います。各市場の要件に技術記録がどう対応するかを説明してください。