香港 -「プログラム医療機器とサイバーセキュリティ技術文書公表」のお知らせ

2024年2月5日
一般財団法人日本品質保証機構

2023年12月29日、香港・衛生署（Department of Health）の医療機器科（Medical Device Division; MDD」）は、医療機器管理規制システム（Medical Device Administrative Control System; MDACS）の新しい技術文書を公表しました。

新技術文書の「プログラム医療機器とサイバーセキュリティ（Software Medical Devices and Cybersecurity）（Technical Reference: TR-007）」では、医療機器のプログラム（Software in a Medical Device; SiMD) とプログラム医療機器（Software as a Medical Device; SaMD) のリスク管理要件、基本的なサイバーセキュリティ要件について説明されています。

ソフトウェア医療機器の技術文書要件は以下のとおりです。

また、この技術文書では、「医療機器はワイヤレス接続やインターネットなどのネットワークを介した相互接続が進んでいます。 ネットワーク上に接続された機器を介したデータ送信には、患者データの漏洩などのリスクが生じる可能性があります。 ネットワークを介した脆弱な攻撃を回避するために、製品ライフサイクル全体を通じたセキュリティ対策と保護を検討し、実装する必要があります。」と述べています。

加えてMDACS では、以下を「基本的なサイバーセキュリティ要件」と定めています。

• 機器の耐用年数を通じて、全体的なリスク管理プロセスの一環としてサイバーセキュリティのリスクと脆弱性を考慮すること。
• ユニバーサル・デフォルト・パスワードの使用を避けるための措置を講じていること。パスワードが使用される場合、パスワードは機器ごとにユニーク（唯一無二）であるか、またはユーザーが変更するものとする。あらかじめインストールされたパスワードについては、機器ごとにユニークであり、十分にランダムであること。デバイスの認証メカニズムに対するブルートフォース攻撃に対する措置を備えていること。
• 脆弱性報告を管理するための脆弱性開示システムがあること。
• 機器の耐用年数を通じて、機器の性能と安全性を確保するために、新たに発見された脆弱性を積極的に監視および特定し、これらの脆弱性を是正するための継続的な計画があること。

なお、MDACS では、以下の規格を参照することが可能です（ただし、これらには限定されません）。

• ISO 27032 Cybersecurity – Guidelines for Internet Security
• ISO/IEC 27001 Information security, cybersecurity and privacy protection. Information security management systems

詳細については、参考リンクから「[TR-007] Software Medical Devices and Cybersecurity」を入手し、ご確認ください。

（上記内容と参考リンクの原文が違っている場合は、原文が優先されますことをご了承ください。また、本文中の日時は現地時間になります）

当機構は、欧州の規格制定団体ETSIが作成した、民生用IoT機器のサイバーセキュリティ規格であるETSI EN 303 645や産業用制御システム向けサイバーセキュリティ規格であるIEC 62443シリーズの評価を、申請代行サービスとして提供しております。

また、各国の認証取得をサポートする申請代行サービスのほか、製品安全試験、EMC試験、無線試験、環境・信頼性試験などの各種試験も承っておりますので、ぜひご利用ください。