米国のサイバーセキュリティ行政変革と医療機器規制：海外医療技術トレンド（41）（2/2 ページ）

FDAの医療機器申請時サイバーセキュリティ指針も改訂へ

　このようなサイロ型縦割り行政の枠を超えたサイバーセキュリティ情報共有／分析重視の動きは、医療機器の領域にも大きな影響を及ぼしている。本連載第27回で米国のデジタルヘルス規制の枠組みづくりを取り上げたが、食品医薬品局（FDA）は、2018年9月12日、「デジタルヘルスイノベーション行動計画」の一環として、2019会計年度に、デジタルヘルス・センターオブエクセレンスを創設し、サイバーセキュリティユニットを支援する方針を打ち出した（関連情報）。

　同年10月15日には、FDAとDHS傘下のNPPDが、医療機器サイバーセキュリティに関する合意覚書（MoA）を締結したことを発表している（関連情報）。この覚書に基づくDHS側の具体的な施策については、前述の通り、NPPDを引継いだサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）が担うことになる。

　さらにFDAは10月18日、本連載第10回で取り上げた医療機器申請時のサイバーセキュリティ対策指針に関連して、「医療機器のサイバーセキュリティ管理に関わる承認申請手続の内容 - 業界および食品医薬品局スタッフ向けガイダンス草案」（関連情報）を公表した。FDAは、現行版ガイダンス（2014年10月、関連情報、PDF）のアプローチを踏まえつつ、サイバーセキュリティリスクに応じた機器の区分を以下のように規定している。

　その上で、「V．信頼できる機器の設計：NISTサイバーセキュリティフレームワークの適用」の章を追加し、機器設計に適用するNISTサイバーセキュリティフレームワークの要求事項を、以下のような項目について例示している。

　FDAは、Tier 1医療機器の市販前申請について、機器設計やリスク評価が、上記のサイバーセキュリティ設計コントロール策をどのようにして組み込んだかを明確に示すような文書化を推奨している。他方、Tier 2医療機器の市販前申請については、以下のいずれかで、文書化することを推奨している。

1. 特定の設計機能およびサイバーセキュリティ設計コントロール策を組み込んだことを明確に示す
2. 特定のサイバーセキュリティ設計コントロール策がふさわしくない理由を示すリスクベースの根拠を提供する

　その他、ガイダンス草案では、「VI．サイバーセキュリティリスクのある機器表示の推奨事項」、「VII．サイバーセキュリティの文書化」、「VIII．認定された標準規格」の章が追加されている。なお、本連載第14回で取り上げた、ULのサイバーセキュリティ試験基準「UL 2900」シリーズに基づきソフトウェアのサイバーセキュリティに関する一般的な要求事項を記した「UL 2900-1」（関連情報）、ネットワーク接続された医療機器を含むヘルスケアシステムに関する要求事項を記した「UL 2900-2-1」（関連情報）は、「認定された標準規格」のデータベースに収録されている。

　上記のように、米国では、サイロ型縦割り行政からの脱却に向けた横断的なサイバーセキュリティ政策が急展開している。他方、日本では、2018年7月24日、厚生労働省の医薬・生活衛生局が「医療機器のサイバーセキュリティの確保に関するガイダンスについて」（関連情報、PDF）を公表したが、医療情報システムの安全管理を所管する同省の政策統括官付情報化担当参事官室や、重要インフラの情報セキュリティ対策全体を所管する内閣サイバーセキュリティセンターなどとの間のサイバーセキュリティ情報共有／分析体制整備や専門人材育成に向けた具体的な動きは、これからの段階だ。

　米国の横断的なサイバーセキュリティ行政変革は、今後の日本国内の医療機器サイバーセキュリティ規制に影響が及ぶ可能性が大きいので、米国事業展開をしていない医療機器企業も注目しておく必要がある。