医療機器のサイバーセキュリティに関するラベリングとユーザー向け情報

リスク管理策としてのユーザー情報

FDAは、サイバーセキュリティに関する透明性を、機器の安全かつ有効な使用および統合の一部として扱います。想定ユーザーと情報の種類に応じて、機器ラベル、操作マニュアル、管理者ガイド、顧客向けセキュリティ文書、MDS2、オンラインポータル、その他の管理された経路で情報を提供できます。

EUのMDRおよびIVDRファイルは、異なる法的構成をとります。メーカーは、ソフトウェアを意図どおりに動作させるために必要な最低限のハードウェア、ITネットワーク特性、ITセキュリティ対策を明記する必要があります。さらにMDCG 2019-16は、その情報と意図された運用環境、安全な設定、パッチ、管理者情報、医療機関の責任との関連を説明しています。

ソフトウェアを組み込んだ機器、またはそれ自体が機器であるソフトウェアについては、開発ライフサイクル、情報セキュリティを含むリスク管理、検証、妥当性確認の原則を考慮し、最新の技術水準に従ってソフトウェアを開発・製造しなければならない。

規則 (EU) 2017/745、附属書I第17.2項（英語原文）

FDAのラベル表示内容

FDAの現行市販前ガイダンスでは、ユーザーによるサイバーセキュリティリスク管理に役立つ情報の例を示しています。適切な詳細レベルは想定読者によって異なります。患者向けの説明書を病院ネットワークのハードニングガイドのようにしてはならず、管理者ガイドでも一般的な安全警告の陰に運用上の詳細を隠すべきではありません。

EUのユーザー情報

EUファイルでは、ユーザー情報をMDRまたはIVDR附属書Iに関連付ける必要があります。ソフトウェアやプログラマブルシステムについて重要なサイバーセキュリティ事項は、最新の技術水準、リスク管理、情報セキュリティ、検証、妥当性確認、モバイルプラットフォームに関する要素、最低限のIT要件、不正アクセス対策です。

• 意図された使用に必要な最低限のハードウェア要件とワークステーション要件。
• セグメンテーション、通信経路、互換性のあるサービス、サポートされるプロトコルなどのITネットワーク特性。
• アクセス制御、マルウェア対策に関する期待事項、ファイアウォールルール、パッチ適用の前提、ログ記録、バックアップなどのITセキュリティ対策。
• 接続デバイス、モバイルプラットフォーム、クラウドサービス、ブラウザー、オペレーティングシステム、セキュリティツールとの互換性に関する制約。
• 意図された運用環境の範囲外で機器を運用するリスク。

MDCG 2019-16は、管理者向け手順書、セキュリティ運用マニュアル、MDS2形式の開示、設置ガイドなど、詳細なセキュリティ情報の一部をIFU以外に置くことも認めています。それでも情報は管理され、最新であり、技術ファイルとの整合が取れている必要があります。

医療機関との責任分担

MDCG 2019-16は、機器を供給し使用する人々の間で分担される責任を説明しています。メーカーは、設計が依存する外部管理策を伝える必要があります。医療機関は、自らの環境でそれらの管理策を実装・維持できるだけの情報を必要とします。

更新とパッチに関する連絡

脆弱性が発生する前から、実用的な更新情報が必要です。FDAは、メーカーが承認したソフトウェアとファームウェア、更新が利用可能になったことをユーザーが知る方法、サポートおよびライフ終了に関する情報、サポート終了時のリスク移転または伝達方法について、ユーザー向け情報を期待しています。第524B条のサイバーデバイスにも、市販後脆弱性、更新、パッチに関する計画が必要です。