日本の医療機関のための医療機器セキュリティ：IoMT（医療IoT）フィールドガイド

病院のデバイス群は、OTセキュリティを難しくする要素をすべて併せ持ち、そのうえに患者安全が加わります。輸液ポンプやベッドサイドモニターは、クローズドで認証済みのファームウェアで動作しており、エージェントを載せることも、医療認証を損なうことなく改変することもできません。MRIやCTスキャナーは、患者の予約をキャンセルせずにアクティブスキャンのためオフラインにすることは不可能です。多くの機器は、サポート終了から何年も経過した組み込みOSで稼働しております。そして、工場のPLCの障害が生産を止めるのに対し、医療機器の侵害や故障は患者を直接的な危険にさらし、運用上の停止をはるかに上回る重大性を帯びます。

医療機器は独自のプロトコルで通信するため、汎用のネットワークスキャナーはそれらを読み取れません。画像診断システムはDICOM、臨床メッセージングはHL7、検査機器はASTM、そして新しいシステムはHTTPS上のFHIRを用います。これらのプロトコルがなければ、スキャナーにはポート104や2575上の正体不明のホストが見えるだけで、型番もファームウェアも判別できません。DICOM、HL7、ASTM、FHIRを解読するデバイスインテリジェンスであれば、機器を型番とファームウェアのレベルまで特定でき、これこそが脆弱性照合の依拠する識別情報です。

エージェントを導入できず、スキャンのリスクも冒せないため、現実的な道筋はカタログ型のアプローチです。各デバイスを、ベンダー・型番・ファームウェアから特定し、これらは病院の既存の台帳から取得するか、ネットワーク上から受動的に読み取り、そのうえで正確な脆弱性、ライフサイクル状況、修復方法を照会いたします。ポンプやスキャナーの上で動作するものは何もなく、臨床使用中のデバイスへプローブを送ることもございません。医療機器においては、ベンダー直結のデータが特に重要です。ある比較では、DeviceTotalは、メーカー自身の公開データでは得られなかったGE LOGIQ E10超音波診断装置のファームウェア単位の脆弱性マッピングを提示いたしました。

病院のデバイス群の多くは、そもそもパッチを適用できません。推定で46%の機器が、ベンダーサポートを過ぎたファームウェアで稼働しております。切り離すことはめったに選択肢とならず、置き換えは複数年にわたる設備投資プログラムとなります。現実的な統制は、どの機器が影響を受けるのか、どの脆弱性が実際に悪用されているのか、そしてパッチが決して提供されない場合にどのような代替統制（ネットワークセグメンテーション、アクセス制限、監視など）が取り得るのかを、正確に把握することです。ライフサイクル追跡はサポート終了前にEOL機器を洗い出すため、置き換えを前もって計画的に進められ、インシデントの最中に発覚する事態を避けられます。

日本では、医療機器セキュリティは医薬品医療機器等法（PMD Act）の下に位置づけられ、病院の調達では、根拠を示せるデバイスリスク体制がますます求められております。海外にも展開される医療機関やグループにとっては、IEC 62443やFDA 21 CFR Part 11といった国際的な枠組みも関わってまいります。どの機器が存在し、何にさらされ、そのリスクがどのように管理されているかを示す監査対応可能な証跡は、それ自体が1つの調達要件となりつつあります。導入にあたっては、日本語での展開とサポート、そして患者データのレジデンシーに対応するオンプレミス構成が、医療機関のお客様が実務上ご確認いただくべき要件です。

IoMTセキュリティは、IoMT（医療IoT）、すなわち輸液ポンプ、患者モニター、画像診断スキャナー、検査機器といった、病院内の接続された医療機器を保護することを指します。そのほとんどはセキュリティエージェントを動作させられず、スキャンのためにオフラインにすることもできないため、デバイスに触れることなく特定・評価するエージェントレスの手法が必要でございます。

アクティブスキャンは臨床使用中のデバイスを妨げるおそれがあり、MRIやCTスキャナーは予約をキャンセルせずにオフラインにできません。パッチの適用も、ファームウェアが認証済みかつクローズドであったり、機器がベンダーサポートを過ぎていたりするため、多くの場合不可能でございます。推定で46%の機器は、そもそもパッチを適用できません。

医療機器が実際に用いるプロトコル、すなわち画像診断のDICOM、臨床メッセージングのHL7、検査機器のASTM、HTTPS上のFHIRを解読することで、機器をベンダー・型番・ファームウェアのレベルまで特定できます。その識別情報をベンダー直結の脆弱性データベースと照合いたします。デバイスには何も導入いたしません。

日本では医薬品医療機器等法（PMD Act）が医療機器を規律しており、病院の調達では根拠を示せるデバイスリスク体制がますます求められております。輸出企業はIEC 62443やFDA 21 CFR Part 11にも直面いたします。どの機器が存在し、そのリスクがどのように管理されているかを示す監査対応可能な証跡が、調達要件となりつつあります。

リスクを取り除く代わりに、リスクを管理いたします。どの機器が影響を受け、どの脆弱性が実際に悪用されているかを正確に把握したうえで、ネットワークセグメンテーション、アクセス制限、監視といった代替統制を適用いたします。ライフサイクル追跡はEOL機器を洗い出すため、サポート終了前に置き換えを計画できます。