医療機器のセキュリティ評価を進める前に

対象機器、診療側の責任者、保守契約、関連する情報システムを確認します。稼働中に実施できる作業と、保守時間やメーカーの立ち会いが必要な作業を分けます。機器の分類や通信プロトコルの名前だけで、エージェントの導入、照会、更新が可能かを判断しないことが大切です。

保守記録、承認した台帳、監視の情報から、型番、バージョン、保守状況を確認します。通信から得られる情報は手がかりになりますが、必ずしも正確な型番やファームウェアまで分かるわけではありません。情報サービスによる評価も、すべての機器の発見や、脆弱性の該当を保証するものではありません。

セキュリティの指摘を、メーカーの案内と実際の設定に照らして確認します。更新する場合は、サポートされた手順と診療への影響を確認します。すぐに更新できない場合は、アクセス制限、ネットワーク分離、監視などを医療機関とメーカーで検討します。一般的なリスクスコアだけで、機器の変更を決めないようにします。

厚生労働省は、2026年6月の「医療情報システムの安全管理に関するガイドライン」第7.0版を掲載しています。PMDAの通知一覧には、2026年9月の医療機関向け医療機器サイバーセキュリティ手引書の改訂もあります。自院、対象機器、委託するサービスに適用される文書と責任分担を確認してください。製品の購入や海外の認証取得だけで、国内の要件をすべて満たすわけではありません。

一律には保証できません。対象の機種、設定、方法、稼働条件を医療機関とメーカーで確認し、承認した範囲で検証します。

必ずしも確定しません。保守記録などの信頼できる情報と照合し、確認できない項目を残します。脆弱性の判定には、該当する機器の識別が必要です。