医療機器のサイバーセキュリティリスク管理

Sytance · 更新日 2026年10月6日

医療機器のサイバーセキュリティリスク管理では、脅威と脆弱性が安全性、有効性、性能にどう影響し得るかを評価します。脅威モデル、SBOM、脆弱性スキャン、侵入テストは評価を支援できますが、いずれも単独でリスク評価そのものになるわけではありません。

リスク管理における役割

FDAは、セキュリティリスク管理を品質システムと機器ライフサイクルの一部として扱います。セキュリティ上の不具合は意図的に引き起こされ得ること、悪用可能性が時間とともに変化すること、可用性、完全性、機密性、制御の喪失を通じて間接的な危害が生じ得ることから、ISO 14971の安全リスク管理とは区別されます。それでも、セキュリティ上の問題が患者に危害を及ぼす可能性があるため、2つのプロセスを連携させる必要があります。

MDCG 2019-16は、セキュリティ対策自体が安全性に影響することがあると説明しています。例えば、アクセス制限は不正な変更を防ぐ一方で、正当な操作を遅らせる可能性があります。メーカーは意図された使用環境における両方の影響を評価する必要があります。

患者への危害

FDAの市販後ガイダンスでは、事業上の影響だけでなく、死亡を含む患者の健康への傷害または損害を中心的な患者危害の論点として定義しています。

安全性と性能

セキュリティ上の問題が機器の意図された動作を変えるか、管理策によって新たな安全性または性能上の懸念が生じるかを評価します。

脅威モデリングによる評価支援

脅威モデルは、攻撃者が機器のインターフェースまたは外部依存関係を利用して望ましくない結果を引き起こす方法を特定します。攻撃条件と想定される結果を、サイバーセキュリティリスク評価への入力とします。

脅威モデルは、何が問題になり得るか、また攻撃者や偶発的な要因がどこからシステムに到達できるかを特定します。
サイバーセキュリティリスク評価では、リスク、管理策、残留リスク、受容基準を評価します。
悪用によって患者危害、臨床性能、安全な動作に影響し得る場合、安全リスクプロセスにセキュリティリスクを引き継ぎます。
新たな脆弱性、導入環境の変化、新しいインターフェース、新しい攻撃手法によってリスク状況が変わる場合、市販後プロセスでモデルを更新します。

悪用可能性によって分析が変わる

サイバーセキュリティリスク評価は、過去の発生確率だけに依存できません。FDAは、脆弱性がどの程度実現可能か、容易か、どのような技術的手段で悪用できるかという悪用可能性に焦点を当てると説明しています。そのため、試験で見つかった脆弱性、CISA既知の悪用済み脆弱性、ネットワーク経路の変更、新たな公開エクスプロイトは、患者インシデントが発生していなくても評価を変える可能性があります。

市販前のリスク

市販後のリスク

SBOMはリスク評価ではない

SBOMは、ソフトウェアコンポーネントと依存関係を特定します。メーカーが既知のコンポーネント脆弱性、サポート状況、影響を受けるバージョンへの露出を把握するのに役立ちます。しかし、脆弱なコンポーネントに到達可能か、管理策が悪用を防ぐか、臨床性能が変わるか、患者危害に関する残留リスクを受容できるかは示しません。

SBOMは、ソフトウェアコンポーネントと依存関係、それらに関する情報、階層関係を示す正式な機械可読インベントリーです。
NTIA『ソフトウェアコンポーネント透明性の枠組み』2021年（英語原文）

SBOMによる支援

コンポーネントの識別情報、バージョン、サプライヤー、依存関係、サポート情報は、露出の特定と脆弱性管理を支援します。

リスク評価への貢献

機器への露出が何を意味するかは、アーキテクチャ、脅威モデリング、悪用可能性、管理策の証拠、患者危害の分析によって判断します。