FDAの医療機器市販前サイバーセキュリティ
Sytance · 更新日
FDAの市販前サイバーセキュリティガイダンスでは、機器のセキュリティ設計、対処するリスク、確認に用いた試験を説明する情報を推奨しています。また、機器のリリース後にメーカーが脆弱性をどのように管理するかも申請で説明する必要があります。
現行ガイダンスの状況
FDAは2026年2月に現行の市販前サイバーセキュリティ最終ガイダンスを発行し、2025年6月版を置き換えました。この改訂は品質マネジメントシステム規則 (QMSR) と整合しています。ガイダンスの推奨事項と第524B条の法定要件を区別してください。
本書は、2025年6月27日発行の『医療機器のサイバーセキュリティ：品質システム上の考慮事項および市販前申請の内容』に代わるものである。
FDA市販前サイバーセキュリティガイダンス、2026年2月（英語原文）
このガイダンスは、サイバーセキュリティリスクのある機器を扱います。機器がインターネットに接続されていなくても、ソフトウェア、ファームウェア、プログラマブルロジックによってリスクが生じることがあります。第524B条は、FD&C法で定義される、より限定的なサイバーデバイスのカテゴリに適用されます。
第524B条上のサイバーデバイス
第524B条は、サイバーデバイスに関する指定申請、すなわち510(k)、PMA、製品開発プロトコル、De Novo、HDEに適用されます。同法は2023年3月29日に施行されました。申請を受理しないというFDAの移行方針は2023年10月1日に終了しましたが、この日は法的要件の施行時期を変更するものではありません。
申請者が管理するソフトウェア
機器として、または機器内で、申請者が検証、インストール、または承認したソフトウェアを機器が含みます。この分析では、FDAはファームウェアとプログラマブルロジックもソフトウェアとして扱います。
インターネット接続機能
機器は直接または別の製品を通じてインターネットに接続できます。FDAの解釈には、インターネットに接続されたコンピューターを介して機器が通信するなどの間接接続が含まれます。
サイバーセキュリティ脅威への露出
機器には、サイバーセキュリティ脅威に対して脆弱となり得る、申請者が検証、インストール、または承認した技術的特性が含まれます。
該当申請について第524B条は、市販後脆弱性を監視・対処する計画（協調的脆弱性開示を含む）を求めています。また、サイバーセキュリティの合理的保証を提供するプロセスと手順、ならびに市販後の更新とパッチも求めます。さらに、市販、オープンソース、既製ソフトウェアコンポーネントを網羅するSBOMを求めています。
申請内容
レビュー担当者が、セキュリティ上の判断に至った経緯を理解できるようにする必要があります。脅威モデルで治療設定への不正変更が特定された場合、誰がその設定を変更できるかを設計で定め、試験ではその制限を確認します。アーキテクチャ、分析、結果は、同じ機器構成について説明する必要があります。
FDAは、セキュリティを品質マネジメントシステムに組み込むよう推奨しています。開発記録では、セキュリティ要件が設計にどう影響したか、実装をどう確認したか、リリース前に未解決問題をどう扱ったかを説明する必要があります。保守計画によって、そのプロセスを後の脆弱性や更新にも適用します。
サイバーセキュリティリスク管理では、攻撃者が弱点を悪用して機器に影響を与える方法を調べます。攻撃が患者危害を引き起こす可能性がある場合、結果として生じる危険状態を安全リスク管理でも評価する必要があります。例えば、警報を抑制する攻撃によって臨床対応が遅れることがあります。
リスク管理報告書では、評価方法と残留リスクの結論を説明する必要があります。コンポーネントのサポート状況、既知の脆弱性、未解決のソフトウェア異常は、機器の想定使用期間中に保護を維持できるかどうかを判断するのに役立ちます。
脅威モデルでは、機器の動作に影響する外部依存関係を含め、機器システム全体を扱う必要があります。設置、使用、更新、廃止の方法を分析してください。アーキテクチャ図では、選択した管理策が攻撃経路のどこに作用するかを示します。
試験では、特定した脅威に対して、セキュリティ要件と選択した対策を確認する必要があります。コード分析やソフトウェア構成分析により、実装やコンポーネントの弱点を発見できます。ファジング、誤用試験、侵入テストでは、不正な入力や攻撃に対する動作を調べます。機器のインターフェースとリスクに対応する手法を選択してください。
ユーザー情報では、安全な運用のために医療機関または患者が行う必要のある設定、更新、復旧などを説明します。サポート期間と、運用環境に依存する責任を明記してください。メーカーのサイバーセキュリティ管理計画では、脆弱性報告と監視情報をどのように評価、伝達し、適時に是正するかを説明する必要があります。
一般的な証拠
アーキテクチャ図
FDAは、システム全体、複数患者への危害、更新可能性とパッチ適用可能性、セキュリティユースケースの各図を推奨しています。攻撃が機器に到達する方法、接続システム間に広がる方法、更新によって対処する方法を説明します。
SBOM
SBOMでは、メーカー開発コンポーネントと、購入品、ライセンス品、オープンソース、上流依存関係を含むサードパーティコンポーネントを網羅する必要があります。サイバーデバイスについては、第524B条によりSBOMの提出が法的に義務付けられています。
既知の脆弱性
FDAは、サードパーティコンポーネントの脆弱性や、機器または関連システムに関係するCISA既知の悪用済み脆弱性を含め、既知の脆弱性を特定・分析することを期待しています。
追跡可能性
追跡可能性があれば、レビュー担当者は脅威モデルの所見から、影響を受けるSBOMコンポーネント、リスク管理策、設計要件、試験結果へたどることができます。残留リスクの判断もラベル表示と市販後監視に反映する必要があります。
ガイダンスに示されたセキュリティ管理策のカテゴリは、設計を体系的に確認するのに役立ちます。例えば、ユーザー認証は本人を特定し、認可はそのユーザーが特定の臨床操作または保守操作を実施できるかを決めます。各判断を実施するインターフェースで検証してください。
第524B条の定義に該当しない機器
インターネット接続のない機器でも、ローカルポートやリムーバブルメディアを通じてソフトウェア更新を受け取ることがあります。改ざんされた更新によってサイバーセキュリティリスクが生じることがあるため、インターネット接続がなくてもサイバーデバイスの定義に該当しない機器でリスクが生じ得ます。このようなリスクにはFDAのより広範なガイダンスが引き続き関係しますが、推奨される申請内容は機器と申請の種類によって異なります。