FDAの医療機器市販後サイバーセキュリティ

ライフサイクルリスク

医療機器はリリース後も何年も使用されることがあります。FDAの市販後ガイダンスは、その期間中に生じる新たな脆弱性、攻撃手法、コンポーネントの問題、導入環境の変化を扱っています。

新たな脆弱性を調査するには、設計記録とリリース記録が必要です。影響を受けるコンポーネントを含むサポート対象バージョン、その脆弱な機能の使用方法、適用される管理策を特定してください。これにより、顧客が実際に運用する機器を評価できます。

管理されたリスクと管理されていないリスク

FDAは市販後のサイバーセキュリティ脆弱性リスクを、管理されたリスクと管理されていないリスクに分けています。判断基準は、脆弱性が存在するかどうかではありません。既存または利用可能な管理策を考慮した後に、患者危害に関する残留リスクが受容可能かどうかです。

リスク緩和策と補完的な管理策が不十分なため、患者危害に関する受容できない残留リスクがある場合、管理されていないリスクが存在する。

FDA市販後サイバーセキュリティガイダンス、2016年12月（英語原文）

通常の更新とパッチ

FDAは、多くのサイバーセキュリティ更新やパッチを、セキュリティの向上または管理されたリスクに関係する脆弱性の是正を目的とする通常の機器改善と扱います。このような通常更新は、一般に21 CFRパート806に基づく報告対象となる修正または回収には該当しません。

管理されていないリスクを低減するために必要な更新には、別の報告分析が必要です。悪用によって重大な健康被害または死亡が生じる合理的な可能性がある場合も同様です。パート806の報告が見込まれない場合でも、メーカーは更新を検証し、その配布と伝達を管理する必要があります。

• 通常のセキュリティ更新には、パッチ、ハードニング変更、安全な設定またはベストプラクティスに関するラベル表示の更新が含まれます。
• 通常の更新に当たるかは、技術的変更の規模ではなく、患者危害のリスクによって決まります。
• 残留する患者危害リスクが異なる場合、同じパッチでも製品構成によって通常対応となることも緊急対応となることもあります。

市販後プロセスの運用

市販後プロセスには、監視、報告の受領、リスク評価、修正の検証、顧客への連絡に関する明確な責任とリソースが必要です。これらの活動の記録は、後のFDAレビューを裏付けます。

市販前ファイルとの関連

市販前記録は市販後評価の出発点となります。市販前の脅威モデルは市販後のトリアージの基準となり、市販前のSBOMは脆弱性監視に用いるコンポーネントインベントリーになります。市販前のセキュリティアーキテクチャは、新たな脆弱性が安全関連機能に到達し得るかを判断する地図となります。

• 販売構成についてSBOMを最新に保ち、現場で稼働する機器のバージョン情報を保持する。
• 導入前提、更新経路、外部サービス、脆弱性が変わった場合に脅威モデルを更新する。
• 市販後の調査結果を用いて、リスク管理、ラベル表示、顧客向け手順、サポート計画、今後の市販前申請を更新する。
• パッチを配布する前に修正を検証し、その変更が影響し得る機器機能を確認する。