医療機器のサイバーセキュリティ試験
Sytance · 更新日
医療機器のサイバーセキュリティ試験では、意図された構成においてセキュリティ要件とリスク管理策が有効に機能するかを確認します。審査者が製品について試験で何が確認されたかを判断できるよう、試験条件と観察された動作を結果に示す必要があります。
試験の目的
試験範囲は、デバイスの脅威とセキュリティ要件に基づいて決めます。たとえば、構成を変更できるのが認可済みのサービスアカウントに限られる場合は、許可されたアカウントと許可されていないアカウントの両方で該当インターフェースを試験し、保存済みの設定が変更されるかを確認します。
市販前のエビデンス
市販前申請ファイルでは、設計検証、設計バリデーション、セキュリティ対策の有効性、リスク管理策の妥当性を裏付けるために試験を利用します。
市販後のエビデンス
市販後プロセスでは、新たな脆弱性の評価、修正の検証、リグレッションの確認、出荷済みバージョンへの信頼維持に試験を利用します。
市販前の試験範囲
FDAの現行の市販前ガイダンスは、申請に含める可能性のある複数のサイバーセキュリティ試験および分析を示しています。申請では、選定した試験がデバイスのリスク、アーキテクチャ、対策に対して適切である理由を説明する必要があります。
設計入力要件が実装され、境界に関する前提条件が正当化されていることを示す試験です。要件をアーキテクチャ要素およびセキュリティ対策の合格基準に関連付ける必要があります。
脅威モデルとアーキテクチャ図で特定した脅威に対して、リスク管理策が機能することを示す試験です。該当する場合は、セキュリティ上の有効性、安定性、信頼性、トラフィックまたはワークロードの条件に対応する必要があります。
FDAの例には、悪用または誤用のケース、不正な形式や予期しない入力、堅牢性試験、ファズ試験、攻撃対象領域分析、脆弱性の連鎖、既知の脆弱性スキャン、バイナリ実行ファイルを対象とするソフトウェア構成分析、静的または動的コード解析が含まれます。
侵入テストでは、製品のセキュリティ脆弱性の発見と悪用を試みる必要があります。FDAは報告書に、テスターの独立性と専門性、試験範囲、期間、手法、結果、所見、観察事項の説明を求めています。
スキャン1回では不十分
脆弱性スキャンは、そのカバレッジの範囲内で所見を報告します。ネットワークサービスの既知の弱点を特定できても、デバイスが未認可のコマンドを拒否するか、更新失敗後に復旧するかを確認するには別の試験が必要な場合があります。デバイスのアーキテクチャとリスク分析に基づいて、患者への影響を評価してください。
- 脆弱性スキャンでは既知の問題を発見できますが、設計上の欠陥や安全でない信頼前提を見逃す場合があります。
- 静的解析ではコードレベルの弱点を発見できますが、導入環境の構成や実行時の対策動作を証明するものではありません。
- ファズ試験では不正な入力の処理に関する問題を発見できる場合がありますが、アーキテクチャレビューや侵入テストに代わるものではありません。
- 侵入テストでは攻撃経路を示すことができますが、対象範囲、時間、テスターのアクセス権、手法による制約を受けます。
所見をリスクマネジメントに反映
試験所見はセキュリティへの影響を評価し、サイバーセキュリティリスクマネジメントプロセスに結び付ける必要があります。FDAは、セキュリティ上の異常は、悪用可能性によって通常のソフトウェア欠陥とは異なる危害をもたらすおそれがあるため、緩和が必要となる場合があると説明しています。
所見の評価
報告書では、所見、影響を受けるコンポーネントまたはインターフェース、悪用可能性、影響を受けるバージョン、対策の状態、患者への危害に関する影響を説明する必要があります。
是正措置の延期
修正を延期する場合、ファイルにはリスク上の根拠、予定するリリース、影響を受ける出荷済みデバイス、更新をそれらのデバイスに届ける方法を説明する必要があります。
市販後の試験
FDAは、リスクに応じた間隔で、開発中およびリリース後にセキュリティ試験を行うことを推奨しています。たとえば、更新メカニズムを変更した場合、新たな完全性試験と復旧試験が必要になることがあります。コンポーネントの脆弱性が新たに公表された場合は、調査と修正のリグレッション試験が必要となることがあります。
EU向け文書では、検証結果がリスク評価を裏付け、デバイスまたはその取扱説明書に必要な変更を特定するのに役立ちます。MDCG 2019-16は、リリース後もこの作業を継続する方法を説明しています。IEC 81001-5-1は、こうした活動を維持するためのライフサイクルプロセスを定めています。