医療機器サイバーセキュリティーとは何か

医療機器のサイバーセキュリティーは、オフィスのパソコンやサーバーを守る一般的なIT対策とは、目的も対象も異なります。ネットワークに接続された医療機器や、ソフトウェアで制御される診断・治療機器が攻撃を受けた場合、診療の停止や誤動作、最悪のケースでは患者の身体への影響につながりかねません。

なぜ「IT対策」とは別に考える必要があるか

一般的な情報セキュリティの目標は、情報の機密性・完全性・可用性の確保です。一方、医療機器に求められるのは「患者安全の確保」という、より直接的なゴールです。機器が誤作動しないこと、不正操作を受けないこと、データが改ざんされないことが、患者の安全に直結します。

たとえば、インスリンポンプやペースメーカーのような体内埋込み型機器、あるいはネットワーク接続される画像診断装置、電子カルテ連携機器では、攻撃者が接続経路を悪用して機器の動作に干渉できる可能性があります。こうしたリスクは「情報が漏れる」問題ではなく、「機器が正しく動かなくなる」問題です。

規制・承認にも関わる話になっている

厚生労働省は2023年以降、医療機器のサイバーセキュリティー対応を承認・認証審査の評価対象として明確化しています。PMDAへの申請において、製品のセキュリティ設計、SBOM（ソフトウェア部品表）の整備、市販後の脆弱性管理体制を説明できることが求められるようになっています。

また、米国FDA、欧州MDRなど海外の規制動向も、海外展開を目指す医療機器メーカーには避けられない課題です。対応が遅れると、上市スケジュールや販売継続に影響が出ます。

まず「自社製品の現在地」を確認する

サイバーセキュリティー対応を始めるとき、最初にすべきことは「自社製品が現在どの程度のリスクを抱えているか」を把握することです。全てを一度に整備しようとすると、どこから手をつければいいか分からなくなります。

現実的なアプローチは、リスク分析や簡易的なセキュリティ試験で現在地を可視化し、そこから優先度の高い対策に絞って取り組むことです。AIGISでは、お試しテストと現状把握の段階から支援しています。まずは相談からでも構いません。