脅威分析（TARA）を医療機器設計に組み込む方法

「脅威分析をやらなければならない」という認識はあっても、具体的に何をどう進めればいいか分からないという声をよく聞きます。医療機器の設計にTARAを組み込む流れと、実際につまずきやすいポイントを整理しました。

TARACとは何か

TARA（Threat Analysis and Risk Assessment）は、製品が持つ資産・通信経路・外部接触点を整理し、攻撃者が悪用できる経路と、その結果起こりうる被害を評価する手法です。IEC 81001-5-1やIEC 62443ではTARAの実施が求められており、米国FDAのガイダンスでも同様のアプローチが参照されています。

自動車分野のISO 21434でも「TARA」という言葉が使われますが、医療機器では患者安全への影響を評価軸に加える点が異なります。「情報が漏れる」だけでなく、「機器が誤動作して患者に危害が及ぶ」というシナリオまで考える必要があります。

進め方：まず資産と通信経路を洗い出す

脅威分析の起点は、製品が持つ「守るべきもの（資産）」の特定です。具体的には以下を整理します。

• 格納されているデータ（患者データ、設定値、ログ、ファームウェア等）
• 外部との通信経路（有線LAN、Wi-Fi、Bluetooth、USB、シリアル等）
• 外部から操作・更新できる機能（ファームウェア更新、リモートアクセス等）
• 他のシステムとのインターフェース（電子カルテ、クラウド、医療機器ネットワーク等）

これを「データフロー図（DFD）」として可視化することが多いですが、詳細な図が必要というわけではありません。「何が外部と接続していて、何が流れているか」を一覧として整理できていれば十分です。

脅威のリストアップ：STRIDEを使う

資産・経路が整理できたら、それぞれに対して「どんな攻撃が考えられるか」を検討します。よく使われるフレームワークがSTRIDEです。

• Spoofing（なりすまし）：正規ユーザーや正規機器に見せかけた不正アクセス
• Tampering（改ざん）：データや設定の不正書き換え
• Repudiation（否認）：操作記録の消去・偽造
• Information Disclosure（情報漏えい）：患者データや設計情報の流出
• Denial of Service（サービス妨害）：機器の停止・応答不能
• Elevation of Privilege（権限昇格）：低い権限から管理者権限への不正な取得）

全ての資産・経路の組み合わせにSTRIDEを適用すると膨大になるので、実際には「外部からアクセスできる経路」を優先的に分析し、内部のみの処理は後回しにするのが現実的です。

リスクの評価と対策の優先順位付け

洗い出した脅威に対して、「発生しやすさ」と「影響の大きさ」を掛け合わせてリスクレベルを判定します。医療機器では「影響の大きさ」に「患者への危害」を含めることが重要です。診断情報の誤表示や、治療機器の誤動作は、データ漏えいより優先度が高くなる場合があります。

全てのリスクに対策を打つ必要はありません。受容レベルを設定し、それを超えるリスクに絞って対策（設計変更、認証強化、暗号化、アクセス制御等）を検討します。

よくあるつまずきポイント

最初のTARAでよくあるのが、「どこまでやればいいか分からず止まる」という状況です。完璧な分析を目指すと無限に広がりますが、実際には「審査担当者が製品のリスクを理解できる」レベルの文書が目標です。

また、設計が確定する前の早い段階で始めることも重要です。設計完了後にTARAをやると、リスクが見つかっても「設計を変えるコスト」が大きく、紙の上の記録だけになりがちです。

AIGISでは、設計書・仕様書を読み込んだ上で、製品固有の脅威分析を支援しています。「何から手をつければいいか」という段階からご相談いただけます。