Building Security into Connected Medical Devices
FDA は現在、UL 2900-2-1および UL 2900-1を承認しています。特にUL 2900-1は、ネットワーク接続型医療機器のセキュリティ・テストの基準におけるガイダンスです。
ネットワーク接続型医療機器におけるサイバーセキュリティとはどんな意味を持つのでしょうか?
2018年、米国食品医薬品局 (FDA) は、UL 2900-2-1を正式に承認したことを発表しました。この発表は、2017年のUL 2900-1の承認に続くものです。UL 2900-1は、サイバー セキュリティの規格である UL 2900 シリーズの最初の発行物で、UL 2900-2-1はネットワークに接続された医療機器のサイバー セキュリティ・テストに特定の基準を設定し、既存のリスクベースの方法論をサポートする最初のFDAガイダンスです。
FDAがUL 2900-2-1を採用したことの影響は?
FDAは規格の使用を義務付けることはできませんが、そのガイダンスは市販前認証(510k)に強力な影響を及ぼします。 今後、510(k)の提出が必要なベンダーは、セキュリティ・テストを強調する成果物を準備する必要があります。多くの組織はすでにある程度のセキュリティ・テストを実施していますが、UL 2900-2-1の採用により、セキュリティ・テストの水準が平準化されるか、引き上げられることが望まれます。実際、一部の製品は認証を取得できない場合があります。
ネットワーク接続型の医療機器に変化が見られるようになるまで、どれくらいの時間がかかるか?
UL 2900-2-1の業界全体での使用は一朝一夕に実現できるものではありません。組織が現在および将来の製品の変更を検討して実装するには時間がかかります。すでに使用されている多くのネットワーク接続型医療機器では、脆弱性が明らかになった場合にそれらを更新する効果的な手段はありません。より安全なネットワーク接続型医療機器への移行は遅れているかもしれませんが、FDAがUL 2900-2-1を採用することは重要なステップです。
UL 2900-2-1規格とは何でしょうか?
UL 2900-2-1は、ネットワーク接続された医療機器の要件を指定していますが、使用するテスト方法は指定していません。一方で、UL 2900-1には、CAP認証を取得するために必要な一連の主要なテスト基準が含まれています (以下を参照)。患者の安全に影響を与えるデバイスは、UL 2900-1に概説されているテスト・パラメーターを満たすか、それを超える必要がある場合があり、メーカーは、規格と製品のリスク要因の両方を考慮した上で基準を定義する必要があります。
ULは認証を提供するUL Cybersecurity Assurance Program (CAP)も運営しています。「UL 2900-2-1に基づき、CAP は構造化された侵入テスト、製品ソースコードの評価、ソフトウェア部品表 (SBOM) の分析を通じて、既知の脆弱性とマルウェアによるリスクに確実に対処するためのフレームワークを提供します。 また、このプログラムは、FDA の市販後のサイバーセキュリティの期待に応えるために、製品ライフサイクル全体でコンプライアンスを管理するメーカーを支援します。
医療機器メーカーにとって重要な考慮すべき事柄
UL 2900-2-1で概説されている明確な要件 (特に、欠陥の発見から 14日間のパッチ適用に関する要件) は、医療機器業界に変化をもたらすでしょう。接続された医療機器のセキュリティの重要な側面は、メーカーが新たに開示された脆弱性を継続的に監視する必要があることです。ソフトウェア パッケージの依存関係の完全なリストを知らなければ、脆弱性が公開された際にそのソフトウェアにパッチを適用することは困難です。たとえば、Bluetooth経由で接続が発生した場合、正しいものにパッチを適用する前に、どの Bluetoothスタックが使用されているかを知る必要があります。パッチがどのように機能するかは不明だとしても、この要件は注意喚起となるわけです。
多くのリスクベースの議論でもテストを促しています。 たとえば、UL 2900-1をガイドラインとして使用すると、ファジング対象の機器は2 分以内に機能を回復する必要があります。これは、一般的なネットワーク・トラフィックでは受け入れられますが、患者の生命の安全に影響のある通信では受け入れられません。組織は、独自のリスク評価結果に基づいて、テストの方法論と結果を決定し、提示する必要があります。
シノプシスはセキュリティの構築をどのように支援できるか?
当社のアプリケーション・セキュリティ・テスト・ツールは、UL 2900-2-1の要件を満たすことができるよう、ソフトウェア開発ライフ・サイクル全体を通してテストを支援します。開発チームにこの新しいサイバー・セキュリティ要件に対応するための専門知識や能力がない場合は、当社の専門家がお手伝いします。
