Boston Scientificの公表事例から考える、医療機器メーカーの事業継続とサイバーセキュリティ
※本稿はBoston Scientific社が公表している情報をもとに、同社固有の問題を評価することを目的とせず、医療機器メーカー全般に共通するサイバーセキュリティと事業継続の課題を考えるための事例として取り上げます。
2026年8月25日、Boston Scientificは、一部のITシステムに影響するサイバーセキュリティインシデントを確認しました。
同社が米国証券取引委員会（SEC）へ提出した資料によると、不正な活動によってネットワーク障害が発生し、一部のOSや業務アプリケーションへのアクセスが影響を受けました。その結果、製造、受注処理、製品出荷にも影響が及びました。
一方、同社はその後の調査で、影響は一部の内部向けITインフラに限定されているとの見方を示し、2026年9月8日時点では製品機能への悪影響は確認されていないと公表しています。
その後、同社は9月9日19:53（米国東部時間、日本時間9月10日8:53）の更新で、製造、受注処理、出荷業務が復旧したと公表しました。一方、一部の顧客では一時的な遅延が続く可能性があり、業務アプリケーションの復旧も進めていると説明しています。業務の復旧と、受注残や個別アプリケーションの利用状況は分けて捉える必要があります。
この事例から考えたいのは、「医療機器そのものが侵害されたか」だけではありません。
正常な医療機器であっても、それを製造し、受注し、出荷し、医療現場へ届けるためのIT基盤が停止すれば、医療提供への影響につながる可能性があります。
製品セキュリティだけでは見えない依存関係
医療機器のサイバーセキュリティでは、機器本体や組み込みソフトウェアの脆弱性が重要な論点になります。
しかし実際の製品提供は、それだけで成立しているわけではありません。
製造管理、品質管理、受注、倉庫、物流、顧客管理、遠隔サービスなど、多数のITシステムによって支えられています。
Boston Scientificの公表情報では、インシデントによって製造や受注・出荷に影響が生じました。また、一時的に一部の新規遠隔モニタリング登録にも影響がありましたが、その後復旧したとされています。
つまり、医療機器のサイバーセキュリティを考える際には、
「機器が攻撃されるか」
だけでなく、
「機器を患者へ届け、継続して利用するための仕組みのどこが止まり得るか」
という視点も必要になります。
AIGISとして確認したい5つのこと
1. 重要業務とITシステムの依存関係を把握しているか
どのシステムが停止すると、製造、出荷、保守、患者向けサービスが止まるのかを整理しているでしょうか。
2. システム停止時の代替手段があるか
受注管理や物流システムが利用できない場合でも、最低限の業務を継続する方法が定められているでしょうか。
3. 医療上重要な製品・サービスを優先できるか
供給能力が制限された場合に、患者への影響を考慮して優先順位を判断できるでしょうか。
4. サイバーインシデント後の復旧条件を決めているか
システムが起動しただけでなく、安全性、データの整合性、業務再開の妥当性まで確認する基準があるでしょうか。
5. 顧客・医療機関へ継続して情報提供できるか
影響範囲、利用可能なサービス、復旧状況、代替手段を適切に伝え続ける仕組みがあるでしょうか。
継続的な情報公開も重要な対応の一部
今回の事例でもう一つ注目したいのが、Boston Scientificによる継続的な情報公開です。
同社はインシデント発生後、調査状況、製品への影響、製造・物流の復旧状況、遠隔モニタリング機能などについて複数回の更新情報を公開しています。
サイバーインシデント対応では、技術的な封じ込めや復旧だけでなく、顧客、医療機関、患者、取引先へ「現在何が分かっているのか」を適切に伝えることも重要です。
すべてが判明するまで沈黙するのではなく、確認できた情報を段階的に公表していく姿勢は、インシデントコミュニケーションを考えるうえでも参考になります。
サイバーセキュリティとBCPを一つの流れとして考える
サイバー対策というと、脆弱性診断、アクセス制御、EDR、監視など「侵入を防ぐための対策」に目が向きます。
しかし、完全にインシデントを防ぐことはできません。
そのため、
「侵入されにくくする」
ことと同時に、
「一部のシステムが利用できなくなったときに、どこまで医療機器の提供を続けられるか」
を考えておく必要があります。
医療機器メーカーにとって、サイバーセキュリティと事業継続は別々のテーマではありません。
製品、製造、物流、保守、クラウドサービス、取引先までを一つのシステムとして捉え、その中のどこが止まると患者や医療現場へ影響するのかを把握する。
今回の公表事例は、その重要性を改めて考える材料になります。
参照情報
情報確認日：2026年9月10日