米国食品医薬品局（FDA）、医療機器のサイバーセキュリティ枠組みを強化

米国食品医薬品局（FDA）のサイバーセキュリティチームが設立から10周年を迎える中、同局は患者の安全と機器の有効性に影響を及ぼす可能性のあるデジタル脅威から医療機器を保護するという継続的なコミットメントを強調しています。FDAは、医療機器のサイバーセキュリティを、医療機器との間で保存または送信される情報への不正アクセス、改ざん、または悪用を防止するためのプロアクティブなプロセスと定義しています。

規制ガイダンスの進化

FDAは2025年6月27日、「医療機器におけるサイバーセキュリティ：品質システムに関する考慮事項と市販前申請の内容」と題する最終ガイダンスを発行しました。この文書は2023年のガイダンスに代わるものであり、サイバーデバイスに関する連邦食品・医薬品・化粧品法（FD&C法）第524B条に関連する同局の推奨事項を扱う特別なセクション（第7セクション）が追加されています。この措置は、製品ライフサイクル全体（TPLC）を通じて保護を確保するため、開発の初期段階からサイバーセキュリティを機器設計に組み込むことを目的としています。

このニュースが重要な理由

これらの更新の重要性は、ネットワーク接続された医療機器への依存度が高まっていることにあり、サービス停止や機密データの漏洩につながる攻撃に対して脆弱になっています。FDAはMITREのような技術機関と協力し、「ソフトウェア部品表（SBOM）」などの基準を策定することで、データの整合性を確保し、最新のセキュリティアップデートが不足している可能性のあるレガシーデバイスのリスク管理を容易にすることに取り組んでいます。

リスク管理と警告

同局は、Contec社やEpsimed社の患者監視装置、Medtronic社のインスリンポンプなど、特定の機器で脆弱性が発見された際に定期的なセキュリティ警告を発行し続けています。FDAは、これらの警告が医療施設に対し、不正アクセスのリスクを軽減するための即時予防措置を講じるよう促すことを目的としていると強調しています。また、同局は製造業者およびユーザーに対し、最新のデジタルセキュリティ基準への準拠を確保するため、更新されたガイダンス文書を定期的に確認することを推奨しています。