CSAジャパン、クラウド接続した医療機器のサイバーセキュリティ対策について解説

一般社団法人日本クラウドセキュリティアライアンス（CSAジャパン）は6月22日、クラウド接続した医療機器のサイバーセキュリティ対策について同法人のブログで発表した。

調査・レポート・白書・ガイドライン調査・ホワイトペーパー

2021.6.24 Thu 8:05

　一般社団法人日本クラウドセキュリティアライアンス（CSAジャパン）は6月22日、クラウド接続した医療機器のサイバーセキュリティ対策について同法人のブログで発表した。

　CSAジャパンのヘルス・インフォメーション・マネジメント・ワーキンググループ（HIM-WG）では2020年3月に、患者への近接性（Proximity）に基づき、クラウドに接続した医療機器のリスク管理という考え方を提示し、医療機器向けのクラウドコンピューティング利用におけるセキュリティ強化のためのプラクティスを紹介を目的に「クラウドに接続した医療機器のためのリスク管理」を公開している。

　HIM-WGは、機器と患者の近接性を表す隔たりの程度について、機器が埋め込まれているか、完全に分離しているかによって以下の5段階を設定しており、患者との近接性によって医療機関側の機器サポート責任が異なる点が医療機器サイバーセキュリティの特徴としている。

・段階0：機器が患者に埋め込まれている
機器サポート責任：ベンダーおよび／または医師・医療スタッフ

・段階1：機器が患者に接触する
機器サポート責任：ベンダーまたは臨床工学

・段階2：機器は患者に接触しないが患者の生命兆候または体液、データを測定する
機器サポート責任：ベンダーまたは臨床工学

・段階3：機器は患者に接触しないが、適切な患者診断に重要なことを行う可能性がある
機器サポート責任：ベンダーまたは臨床工学

・段階4：機器は患者から離され、診断／臨床機器よりも運用ツールである
機器サポート責任：ベンダーまたはIT

　また本文書では、医療機器セキュリティライフサイクルの観点から「調達前」、「調達後／展開前」、「展開／運用管理」、「使用停止／廃棄」の各ステージを挙げ、それぞれのステージについてセキュリティ上の留意点等を解説している。

　その他、本文書では「リスク評価やセキュリティレビューを実施したら、認証に関する機器の機能を強化する」「証明書が機器の真正性を裏付ける場面では、PKI（公開鍵インフラストラクチャ）を利用する」等の推奨事項を挙げている。

《高橋潤哉（ Junya Takahashi ）》