医療機器の開発者にとっては、製品の設計時にセキュリティを考慮することが非常に重要です。具体的には、以下のような点について検討する必要があります。
各国の規制当局は、年を追うごとに医療機器のセキュリティを重視するようになっています。こうしたセキュリティ要件を検討する場合、機能要件や安全要件と同じくらい慎重に検討する必要があります。
シーメンスの組み込みソリューション部門は、医療機器の開発者が安全な方法で迅速に製品開発を行うための製品とサービスの提供、ノウハウと経験の共有に取り組んでいます。また、専門知識を活用して、検査担当者や規制当局の要求に対応する医療機器開発者を支援しています。そのため、シーメンスの組み込み製品を導入することにより、リスクを最小限に抑えながら、厳しい要件に対応できるようになります。
医療機器の開発者にとっては、製品の設計時にセキュリティを考慮することが非常に重要です。具体的には、以下のような点について検討する必要があります。
各国の規制当局は、年を追うごとに医療機器のセキュリティを重視するようになっています。こうしたセキュリティ要件を検討する場合、機能要件や安全要件と同じくらい慎重に検討する必要があります。
シーメンスの組み込みソリューション部門は、医療機器の開発者が安全な方法で迅速に製品開発を行うための製品とサービスの提供、ノウハウと経験の共有に取り組んでいます。また、専門知識を活用して、検査担当者や規制当局の要求に対応する医療機器開発者を支援しています。そのため、シーメンスの組み込み製品を導入することにより、リスクを最小限に抑えながら、厳しい要件に対応できるようになります。
CVE (Common Vulnerabilities and Exposures) プロセスは、ソフトウェアの問題に起因するセキュリティの脆弱性を特定するための主要な手段です。多くの医療機器でオープンソース・パッケージ (特に、Linux、OpenSSL、SQLiteなどのパッケージ) が使用されているため、セキュリティの脆弱性 (ここでは、便宜的にCVEと表記します) が医療機器に影響する可能性があります。こうしたCVEはどのようなソフトウェアにも存在する可能性があり、実際に、プロプライエタリ・ソフトウェアに対して報告されたCVEもいくつかあります。CVEの監視とは、デバイス内のモジュールに対して新しいCVEを評価するプロセスのことを指します。これにより、新しい脆弱性が見つかった場合に、適切な対応を判断できるようになります。規制機関は、リリース前とリリース後の両方でCVEを管理することにより、医療機器のセキュリティ要件を満たす必要があると考えています。メーカーが自社でこうした作業を行うこともできますが、シーメンスが提供する商用ソフトウェア (Linux組み込み製品やNucleus RTOSなど) を使用した方が簡単です。
FDAは、医療機器ソフトウェアのセキュリティに関するガイダンスを発行していますが、その中で特に重要なものは、「医療機器のサイバーセキュリティ管理に関する市販前申請の内容」と「医療機器のサイバーセキュリティの市販後管理」です。このガイダンス文書には、医療機器とそのデータのセキュリティを確保するために機器メーカーが行うべきことが記載されています。FDAは、商用オフザシェルフ (COTS) ソフトウェアの使用に関するガイダンスも発行しています。このガイダンスには、医療機器のセキュリティを確保することを目的として、医療機器で使用されるCOTSに関する要件が記載されています。いずれの場合においても、FDAはリスクベースのアプローチを採用することを求めています。これは、リスク評価を行い、重大なリスクが見つかった場合は、機器のクラスに基づいてそのリスクを軽減するというアプローチです。シーメンスの組み込みソリューション部門は長年にわたり、ソフトウェアのリスクを軽減し、規制当局の承認に合格するための製品とサービスを提供しています。
医療現場のあらゆる場面で、患者の個人情報に対する不正なアクセスを防ぐことが重要です。これに関する規則は、米国のHIPAA (医療保険の相互運用性と説明責任に関する法律) や、欧州のGDPR (一般データ保護規則) などの法律で明確に規定されています。これらの規則は医療機器にも同様に適用されるため、医療機器の設計時にこうした規則について考慮する場合は、機器の動作を想定しながらデータを保護するだけでなく、機器の製造時に既知の脅威や未知の脅威からデータを保護することも重要です。シーメンスの組み込みソリューションを使用すれば、機器のセキュリティ機能の設計という側面と、将来的に医療機関や患者に影響を与える可能性がある新しい脅威から機器を保護するという2つの側面から、プライバシーに関する要件を満たすことができます。
How to respond to the ever changing device security threat landscape facing embedded devices.
Common Vulnerabilities and Exposures Database
A guide to GDPR data privacy requirements
