IEC 81001-5-1：ヘルスソフトウェアのセキュリティライフサイクル

この規格は、安全なヘルスソフトウェア開発を品質マネジメントシステムとリスク管理プロセスに結び付けます。要件、設計、実装、検証、妥当性確認、変更管理、保守がどのように追跡可能な状態で維持されるかを証拠で示す必要があります。

開発計画では、セキュリティ要件を実装・確認する方法と変更の記録方法を定めます。開発環境とコーディング実務に加え、製品サポートとセキュリティ更新の責任も定義します。

脅威モデルでは、攻撃経路を生じさせ得る保守・デバッグアクセスを含め、ソフトウェアとそのインターフェースを説明します。攻撃条件と対策案を示します。開発チームはモデルをレビューし、リリース済み製品または脅威環境が変化したときに更新します。

ライフサイクルには、リリース後のサイバーセキュリティ問題を受領、分析、優先順位付け、解決する方法が含まれる必要があります。脆弱性対応、セキュリティ保守、更新、パッチ、サポート記録、ユーザーまたは運用者との連絡が含まれます。

セキュリティ文書では、ソフトウェアの保護方法と必要となる外部管理策を説明します。ユーザーは、それらの管理策の設定・保守方法、セキュリティ更新の入手方法、問題の報告方法を把握する必要があります。コンポーネント情報は、ソフトウェア依存関係の評価を支援します。

適用範囲からは添付文書の内容の規定が除外されていますが、ライフサイクルにおける文書化活動がなくなるわけではありません。ISH1:2025は第4.1.9項のレビュー活動を明確化し、第5.8.2項および第5.8.7項のセキュリティガイドラインを参照しています。また、サポートカテゴリとメーカー・運用者間のリスク移転についても説明しています。規制上、ユーザー情報に含める内容は、引き続き適用される医療機器規則によって決まります。