医療機器のサイバーセキュリティ規制

Sytance · 更新日 2026年9月15日

医療機器のサイバーセキュリティでは、機器の安全かつ有効な使用に影響し得る攻撃を扱います。規制要件は、製品の設計と、リリース後にメーカーが保護を維持する方法に関係します。適用される規則は、機器を供給する市場によって異なります。

安全とライフサイクルに関する規制

セキュリティ上の弱点によって、攻撃者が臨床測定値を変更したり、機器の機能を中断したりする可能性があります。分析では、機器の意図された使用への影響を説明し、そのリスクを設計上の管理策が抑えているかを評価する必要があります。新たな脆弱性やソフトウェア変更に応じて、評価の更新が必要となることがあります。

米国の申請ではFDAの要件とガイダンスを用い、EUの技術文書ではMDRまたはIVDRに対応します。同一の試験結果が、申請対象の機器構成に適用できる場合、両方を裏付けることがあります。それでも各ファイルで、その結果がどの規制要件を裏付けるか説明する必要があります。

機器のセキュリティ設計と試験を説明します。第524B条の対象となるサイバーデバイスの申請では、同条が求める情報も必要です。

新たな脆弱性を評価し、適切な修正を行い、現場での措置を報告する必要があるかを判断します。

ソフトウェアセキュリティが機器の安全性と性能をどのように支えるかを説明し、意図されたIT環境に必要な情報を提供します。

IEC 81001-5-1は、ヘルスソフトウェアの安全な開発と保守について説明しています。製品記録では、その活動を機器にどのように適用したかを示します。

各記録は分析の異なる部分を説明します。例えばSBOMは機器に用いられるコンポーネントを特定し、脅威モデルは攻撃者がその弱点を悪用する方法を説明します。その後、選択した保護策が機能するかを判断するために試験結果を用います。