糖尿病患者は血糖値を管理するため、インスリンポンプに頼っています。しかし、QED Security Solutions の研究者は、あるデジタルポンプのラインを遠隔操作できる脆弱性を発見しました。[I] Android アプリのボタンを数回タップするだけで、研究者はポンプのユーザーに遠くから致死量のインスリンを過剰投与することができました。
ありがたいことに、研究者たちは殺すことを狙っていたわけではなかった。彼らは米国食品医薬品局（FDA）に医療機器のサイバーセキュリティについて訴えたかったのだ。そして、彼らはまさにその通りのことをした。研究者たちがFDAにデモを行ってから1週間後、機器メーカーは製品をリコールした。
しかし、この事件は、スマート医療機器の出現がいかにして新たな、そして恐ろしいリスクと規制の領域を切り開くかを示しています。機器メーカーはどのようにして最新の情報を入手し、進化する規則に準拠し、顧客を保護できるのでしょうか?
どのように確保すべきか 「身体のインターネット」?
「モノのインターネット」は新しいものではありません。デバイスを「スマート」にして相互に接続することで、日常生活や仕事がより簡単で正確になります。しかし、医療機器の場合、その接続によってプライバシー、セキュリティ、安全性に関する新たな疑問が生じます。
ペンシルベニア州立大学法学部のアンドレア・マトウィシン教授は、この新しい現象を「身体のインターネット」と呼び、「初めて、ソフトウェアの欠陥やセキュリティの不備によって、私たちの身体的安全、自律性、幸福が損なわれる可能性があり、そして必然的に損なわれるだろう」と警告している。[ii]*
患者の体と直接接続するサイバーフィジカルシステムは、最も明らかなリスクです。家庭用医療機器をターゲットにしたQEDセキュリティソリューションズの「キラーアプリ」はその一例です。しかし、ペースメーカーや脳深部刺激装置などの埋め込み型機器は、そのような外部機器よりもさらに長期的な計画を必要とします。脳インプラントのリコールは、インスリンポンプのリコールほど簡単ではありません。[iii]
セキュリティはどこで止まるのか 遠隔医療モニタリング?
また、境界線の引き方によっては、「身体のインターネット」にはさまざまなスマートウェアラブルデバイスも含まれる可能性があることも考慮してください。[iv] 遠隔医療モニタリングは、同様の身体的リスクを伴わないかもしれませんが、ユーザーのプライバシーを危険にさらす可能性があります。米軍は、20歳のオーストラリア人学生が、フィットネスアプリStravaからアフガニスタンの軍事基地の兵士の日常生活をはっきりと見ることができると指摘したときに、そのことを身をもって学びました。[v]
厳密に言えば、EU と FDA はフィットネス デバイスを医療機器とは見なしていません (ただし、ウェアラブル医療機器は存在します)。しかし、Matwyshyn 氏が指摘するように、遠隔ヘルスケア モニタリングには規制上のグレー ゾーンがあり、睡眠トラッカーとして機能するスマート ピルを架空の例として挙げています。フィットネス デバイスか、それとも医療機器か? その答えによって、どの規制機関の管轄下になるかが決まります。
EU、米国、その他の国々はどこに位置しているのか 医療機器のサイバーセキュリティ?
スマート医療機器の急速な発展と多様性は、規制当局がまだその管理方法を模索していることを意味します。すでにいくつかの国際標準が存在する一方で、各国は独自のフレームワークも使用しており、多くの場合、複数の機関にまたがっています。
国際規格: 国際標準化機構 (ISO) と国際電気標準会議 (IEC) は、「医療機器を組み込んだ IT ネットワークへのリスク管理の適用」を網羅した ISO/IEC 80001 規格シリーズを開発しました。[vi] これらの自主的な技術規格は、医療機器の接続に関連するリスクの包括的な概要を提供し、医療提供組織 (HDO) と医療機器メーカー (MDM) はこれを使用して、機器とシステムをベンチマークできます。
ISO 14971規格は、医療機器のリスク管理に対するより一般的なアプローチも提供しています。そして2020年4月、国際医療機器規制当局フォーラムは「医療機器のサイバーセキュリティに関する原則と実践」の最終版を発表しました。[vii]
アメリカ合衆国FDAは医療機器の販売を規制しており、これはサイバーセキュリティにも適用されます。[viii] 連邦規制では、MDMに他のリスクと並んでサイバーセキュリティに対処することを義務付けており、FDAはサイバーセキュリティ関連の懸念にどのように取り組むべきかを概説したガイダンスをいくつか発行しています。[ix] 最終的な市販前ガイダンスは2014年に、最終的な市販後ガイダンスは2016年に発表されましたが、更新は継続されています。
そうは言っても、FDA は関与している唯一の米国政府機関ではありません。MDM のベスト プラクティスについては、FDA のガイダンスは非規制の米国国立標準技術研究所の「重要インフラのサイバー セキュリティ向上のためのフレームワーク」を参考にしており、米国国土安全保障省のサイバー セキュリティおよびインフラストラクチャ セキュリティ局はデバイスの脆弱性を監視するのに役立っています。[x]
欧州連合EUの規制枠組みは、2020年1月にEU医療機器調整グループから新たなガイドラインが発表されるなど、現在も進化を続けています。[xii] これは、2017年5月に採択されたEU医療機器規則（MDR）（2017/745）とEU体外診断用医療機器規則（IVDR）（2017/746）という2つの新しい規則の要件をMDMが満たせるようにすることを目的としています。[xii]
当初、MDRは2020年5月に発効し、IVDRは2022年5月に発効する予定でした。しかし、COVID-19の影響で、EUはMDRの発効日を2021年5月に延期しました。[xiii]
オーストラリアオーストラリア保健省傘下のオーストラリア医薬品管理局（TGA）は、2019年7月に医療機器のサイバーセキュリティに関する業界向けガイダンス文書を発表しました。[xiv] 他の機関と同様に、TGAはサイバーセキュリティをより大規模なリスク管理プロセスの一部として位置づけ、ISO 14971と米国NISTサイバーセキュリティフレームワークを潜在的なアプローチとして挙げています。
シンガポールシンガポールの保健科学庁は医療機器のサイバーセキュリティの審査を担当しており、製品管理にライフサイクルアプローチを求めています。[xv] シンガポール規格協議会は、接続された医療機器のセキュリティリスク管理を概説した文書を作成しました。
保護 医療機器、 保護 私たち自身
医療機器のサイバーセキュリティは、規制当局がさまざまなスピードで適応してきた難しい分野です。たとえば、過去 10 年間の米国の積極的なアプローチは、EU のまだ発展途上の規制体制とは対照的です。
しかし、国際規制は一般的にリスクベースのアプローチに収束しており、MDM はデバイスの寿命全体にわたってサイバーセキュリティをリスク管理の重要な部分にする必要があります。ボディのインターネットが拡大するにつれて、それは良いことしかありません。結局のところ、医療機器のセキュリティを確保することは私たち自身の命を守ることを意味するからです。
[私] wired.com – ハッカーたちは主張を証明するために殺人アプリを作った[ii] wdj.com – 「身体のインターネット」が到来。裁判所と規制当局は準備ができているか?
[iii] ncbi.nlm.nih.gov – 適切に管理されていない新たなリスク: スマートインプラントと医療機器規制の事例
[iv] lexology.com – COVID-19との戦いにおけるウェアラブルの役割
[動] bbc.com – フィットネスアプリ Strava が軍事基地のスタッフを元気づける
[6] eprints.dkit.ie – IEC 80001-1 に対する評価
[vii] imdrf.org – 医療機器のサイバーセキュリティの原則と実践
[viii] fda.gov – 医療機器の規制における FDA の役割
[ix] fda.gov – サイバーセキュリティ
[×] nist.gov – 重要インフラのサイバーセキュリティ向上のためのフレームワーク バージョン 1.1; – healthitsecurity.com – DHS CISA: 6 つの医療機器システムに重大な脆弱性が発見される
[xi] blogs.dlapiper.com – ヨーロッパ: EU MDCG が医療機器のサイバーセキュリティに関する新しいガイドラインを発行
[xii] medtechdive.com – EUグループがMDRのサイバーセキュリティ基準を満たすためのガイダンスを提供; – eumdr.com – 2017 年欧州連合医療機器規制
[xiii] europarl.europa.eu – 議会は医療機器に対する新たな要件の延期を決定
[xiv] tga.gov.au – 医療機器業界向けサイバーセキュリティガイダンス; emergobyul.com – オーストラリア、カナダ、米国における医療機器のサイバーセキュリティ要件の融合
[15] rsis.edu.sg – CO19204 | ヘルスケア: 重要な情報インフラストラクチャ; – シンガポール; singaporestandardseshop.sg – 接続された医療機器のセキュリティ
