IMDRF/CYBER WG/N60FINAL:2020

患者が海外旅行を計画している場合、患者は、医療機器のソフトウェア保守オプション
を理解するために、ヘルスケアプロバイダ又は医療機器製造業者と相談することが望ま
しい。
6.4.3

規制当局

市販後のアップデート
脅威アクターは、悪用のテクニックを状況に合わせて絶えず適応させて進化させている。
その結果として、医療機器のサイバーセキュリティの回復力を意味する「サイバー衛生
管理」の向上、脆弱性の修正又は修正できない脆弱性のリスク緩和のために、頻繁なソ
フトウェア保守作業が必要になることが多い。「サイバーセキュリティの強化に特化」
した変更が、最高レベルの規制対象とされた場合、その審査にあたり、殆どの規制当局
は直ちに過負荷を強いられることになると推測される。
規制当局は、ソフトウェアの変更にあたり、サイバーセキュリティの観点から、リリー
ス前の承認の要否を判断するため、以下に示した基本的な二つの論点を整理することが
望ましい。
1) 変更は、あくまでサイバーセキュリティを強化するために意図されたものであ
り、ソフトウェア又は医療機器にその他の影響を与えないことが確認されてい
るか？
製造業者は、必要な分析、試験及びバリデーションを行うことによって、その変更が医
療機器の安全性及び性能に影響を与えないことを担保するためのシステム評価を行うこ
とが望ましい。製造業者が、ソフトウェア又は医療機器にその他の偶発的又は意図しな
い影響が及ぶことを認識した場合、規制当局は、ソフトウェアの変更を実施する前に、
提案された修正に関して審査することが適切であると判断する可能性がある。
2) 変更は、患者危害に関する受容できない残留リスクに関連する脆弱性のリスク
を修正又は低減するために意図されたものか？
市販後の脆弱性リスク評価は、悪用が成功する可能性及び患者危害の重大さに基づいて
評価することが望ましい。また、市販後の脆弱性リスク評価を使用して、残留リスクの
受容可否を判断することが望ましい。「患者危害」の定義は、 ISO 14971:2019「医療機
器 − リスクマネジメントの医療機器への適用」において定義される「危害」のサブセッ
トである。5 患者危害を狭く定義することにより、公衆衛生の保護に必要な変更に対す
る規制当局の審査を優先する効果が得られる。

5

ISO 14971:2019 は、「危害」を「人の受ける身体的傷害若しくは健康障害又は財産若しくは環境の受け
る害」と定義しており、「患者危害」は、この定義の前半部分が該当する。

2020/3/18

Page 34 of 51

36／53 ページ