医療機器のセキュリティアーキテクチャ
Sytance · 更新日
セキュリティアーキテクチャでは、医療機器と接続システムをどのように保護するかを示します。攻撃者が到達できるインターフェースを特定し、管理策がアクセスを制限し、データを保護し、ソフトウェア更新を検証する箇所を説明します。
証拠としてのアーキテクチャ
FDAは、機器の攻撃への露出とシステムに組み込まれた保護策をレビュー担当者が理解するのに役立つアーキテクチャ図を推奨しています。EUの技術ファイルでは、同じ設計情報が該当するMDRまたはIVDR要件を支援します。規制上の説明は異なる場合がありますが、基礎となるアーキテクチャは実際の機器と意図された環境を示す必要があります。
例えば、リモートサポート接続がサービスプロバイダーのネットワークから病院に入る場合があります。どのエンドポイントが技術者を認証し、機器のどの部分が保守操作を制限するかをアーキテクチャで示す必要があります。
システム境界
機器と、それが依存する外部システムを特定します。メーカーが管理する部分と、医療機関または別のプロバイダーに依存する部分を明記します。
信頼境界
信頼または権限が変わる箇所を示します。例えば、モバイルアプリから届くコマンドによって臨床設定を変更できるようにする前に、そのコマンドを確認する必要があります。
FDAのアーキテクチャ図
FDAの2026年2月最終ガイダンスは、機器のアーキテクチャとサイバーセキュリティリスクに応じたアーキテクチャ図を推奨しています。各図は、システムへの攻撃方法とその保護方法について、異なる側面を説明します。
意図された機能を実現するために用いられる完全なシステム内の機器を示します。セキュリティに影響する接続サービスや病院・家庭のネットワークを含めます。複雑なシステムでは、全体図では読み取れないプロトコルやデータフローを補助図で説明します。
単一の侵害によって複数の機器または患者に影響する仕組みを説明します。例えば、集中監視サービスの侵害によって多数のベッドサイドモニターの警報が妨げられることがあります。システムがその波及を制限し、影響を受けた機能を維持または復旧する方法を示します。
承認済みの提供元から機器にインストールされるまで、ソフトウェア更新を追跡します。機器が真正性と完全性をどう確認するか、ユーザーに何が求められるか、インストールに失敗した場合に何が起きるかを示します。メーカー管理下にない技術に依存する手順も特定します。
安全性または有効性に影響する可能性のある特定の操作を説明します。リモート設定の場合、要求するユーザー、コマンド経路、設定変更前の権限確認を示します。関係者や管理策が異なる操作については、別の図を使用します。
EU技術ファイルの図
MDRおよびIVDRはFDAの図の名称を指定していません。アーキテクチャ情報は、ソフトウェアセキュリティと、機器が意図されたIT環境とどう相互作用するかの評価を支援します。リスク評価の設計上の前提と、ユーザーが維持すべき条件を説明する必要があります。
- データフロー図では、臨床データの読み取り・変更箇所と、その経路でデータを保護する管理策を示します。
- インターフェース図では、許可された接続とその使用を制限する確認手順を特定します。これらの詳細は該当する一般的な安全性・性能要件 (GSPR) を支援します。
- 運用環境図では、例えば保守サービスに到達できるネットワークセグメントの制限など、医療機関に期待される保護を説明します。
- 更新経路図では、試験済みパッチが対象機器に届く方法と、インストールに失敗した場合の復旧方法を説明します。
MDCG 2019-16改訂第1版は、安全な運用に関する責任をメーカーと医療機関がどのように分担するかを説明しています。このガイダンスは、設計上の前提を、最低限のIT要件および機器に付属するセキュリティ情報に関連付けるのに役立ちます。
システム依存関係
アーキテクチャの詳細度は、実際の機器システムに合わせる必要があります。単純なローカル機器は、クラウド接続、モバイル、ネットワーク接続、または機器群管理を行うシステムほど多くの図を必要としない場合があります。顧客が接続システムを運用する場合でも、機器の安全性またはセキュリティに影響する依存関係は含めます。
クラウドおよびリモートサービス
安全な運用に機器が依存するリモートサービスを含めます。例えば、IDサービスを利用できなくなると、機器へのアクセス権やローカルアクセスの復旧方法に影響することがあります。
更新経路
更新アーキテクチャでは、リリース承認から現場の機器までの完全な経路を説明し、真正性、完全性、展開の失敗、復旧を含めます。
モバイルおよび家庭での使用
患者のスマートフォンや家庭内ネットワークには、メーカーが管理できない管理策が含まれます。機器自体が提供する保護と、ユーザーが維持すべき設定を説明してください。
共有される臨床インフラストラクチャ
集中監視システムまたは病院情報システムが多数の機器を接続する場合があります。その共有システム経由のアクセスが、他の機器または患者にどう影響し得るかを示します。
アーキテクチャをリスク管理策に関連付ける
重要な各インターフェースについて、アーキテクチャを手掛かりに、レビュー担当者が対処対象の脅威と保護を確認する試験を見つけられるようにする必要があります。設計が病院ネットワークの制限に依存する場合、その制限を使用中も維持できるようユーザー情報で説明してください。