☆対応期限迫る！医療機器のサイバーセキュリティ対策、とれていますか？

☆医療機器メーカーが直面するサイバーリスクとはどのようなものか。

どのようなアプローチをするべきか？

医療機器サイバーセキュリティ対応の勘所

≪2024年３月までの最終確認/それ以降を見据えた対応アプローチ≫

【提携セミナー】

主催：株式会社情報機構

２０２３年４月以降の医療法施行規則１４条２項に示される通り、医療機関においては安全管理の一部としてサイバーセキュリティへの対応が法令要件として求められることになった。医療法２５条１項の医療監視が求めるサイバーセキュリティ対策チェックリストでは、医療機関のみでなく、当該機関が利用する医療情報システムのサイバーセキュリティ対策が事業者に求められる事態に至っている。これらは医療機関のみでなく、調剤保険の分野においても同種の傾向をたどっている。

一方、IMDRFの医療機器サイバーセキュリティの原則及び実践（N60）及び追補ガイダンス　（N70、N73）の発出を受け、日本では医療機器の基本要件基準１２条３項が新設されることになった。国内医療機器メーカに対して、医療機器サイバーセキュリティの対応が２４年３月末までに法令面で求められるに至っているが、医療情報システム/調剤保険システムの提供事業者とともに、同種のサイバーセキュリティ対策が求められている。

もちろん、医療機器は医療情報システムとは異なる規制産業ではあるものの、QMS/GVPの観点より実質的に求められる要件自体はほぼ同型といえる。そのため、今後の新規の薬事申請のみでなく、一部・軽微変更に伴う申請において、同種の観点よりサイバーセキュリティ対策～～それは単に製品自体にサイバーリスク管理を施す品質管理でなく、その製品を利用する医療機関に対してどのようなサイバーセキュリティを求めるものである～～を要求することになる。

サイバーセキュリティへの対応においては、通常のQMS/GVP等、従来の規制フレームワークに基づく標準的な対応ではなく、製品個々のユースケースに応じたアプローチが医療機関に求められるものである。そのため、〇/×方式ではなく、「こうした製品をこのような条件の下で利用した場合、どのようなリスクが製品品質に影響を及ぼすのか」というリスクベースでのアプローチが重要視される。これは対当局向けの申請という時点的な影響のみでなく、市場製品の利用者（医療機関）に向けて企業としてどのようなアプローチを行うべきかという観点から考えなければならない。例えば、SBOMとは高価な技術ツールを導入して管理しなければならないのか？？レガシー医療機器の扱いはどうすればいいのか？？規制産業がゆえ、市場インパクトも踏まえた観点から、こうしたテーマを幅広に考える機会はあまりないではないだろうか？

本講座では、医療機器メーカが直面するサイバーリスクという新たな品質リスクにフォーカスして、どのようなアプローチを実務的に行うことが求められているのか、さらには、その先におけるパースペクティブ～つまり、サイバーリスク対応という観点より、市場における製品プレゼンスの差別化を確保できるのかについて、総合的な解説を行う。

◆受講後、習得できること

• IMDRFガイダンス等が求めるリスクマネジメント・リスクコミュニケーションの要件
• 国内の医療分野に求められる製品・システムのサイバーリスク管理要件のトレンド
• 医療機器メーカに求められる医療機器サイバーへの対応アプローチ
• 医療機関に訴求し、この医療機器メーカの製品を使い続けたいという信頼を与えるアプローチの仕方
• 医療機器の品質マネジメントと市場マーケティングが一体となっている現在のありよう

◆講演中のキーワード

• 医療機器サイバーセキュリティ
• IMDRFガイダンス
• 基本要件基準第 12 条第３項
• 医療法施行規則１４条２項
• 医療法２５条１項
• 医療機器のサイバーセキュリティ導入に関する手引書
• 医療機関における医療機器のサイバーセキュリティ確保のための手引書について
• 厚生労働省「医療情報システムの安全管理に関するガイドライン第6版」
• 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン1.1版」
• 厚生労働省/経済産業省/総務省「民間PHR事業者による健診等情報の取扱いに関する基本的指針」及び「民間利活用作業班報告書」
• 個人情報保護法

◆本テーマ関連法規・ガイドラインなど

• IMDRF 「医療機器サイバーセキュリティの原則及び実践」（N60）、
• IMDRF追補ガイダンス「レガシー医療機器のサイバーセキュリティの原則及び実践」（N70）
• IMDRF追補ガイダンス「（医療機器のサイバーセキュリティのためのソフトウェア部品表の原則及び実践）（N73）
• JIS T 81001-5-1：セキュリティ－製品ライフサイクルにおけるアクティビティ
• 厚生労働省「医療機器のサイバーセキュリティ導入に関する手引書（第２版）」（令和５ 年３月３１日）
• 厚生労働省「医療機関における医療機器のサイバーセキュリティ確保のための手引書について」（令和５ 年３月３１日）
• 厚生労働省「医療機器の基本要件基準第 12 条第３項の適合性の確認について 」（令和５年５月２３日）
• 厚生労働省「医療機器の基本要件基準第 12 条第３項の適用に関する質疑応答集（Ｑ＆Ａ）について」（令和５年７月２０日）
• 厚生労働省「医療機関における医療機器のサイバーセキュリティ確保のための手引書」（令和５ 年３月３１日）
• 厚生労働省「医療情報システムの安全管理に関するガイドライン」第６版（令和５年５月）
• 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン1,1版」（令和５年7月）
• 厚生労働省/経済産業省/総務省「民間PHR事業者による健診等情報の取扱いに関する基本的指針」及び「民間利活用作業班報告書」（令和３年４月）
• 個人情報保護法

担当講師

一般社団法人医療ISAC 理事 江原悠介 先生

■経歴
国内の医療機関や医療情報システム事業者、医療機器メーカ等を対象に、国内外のサイバー脅威に関する情報発信を行い、サイバーセキュリティの意識啓発活動を行う団体の理事を務める。３省２ガイドラインの改定検討への協力、医療サイバーにおける政策提言等の官公庁との連携に加え、四病院団体協議会や全国保険団体連合会、全老健や日本人間ドック学会等、医療関係団体との共同研究活動等、国内のヘルスケアサプライチェーンにおけるサイバーセキュリティ向上に向けた活動を様々に実施している。

■専門および得意な分野・研究
医療・製薬分野のサイバーセキュリティ全般

■本テーマ関連学協会での活動
・ NPO デジタル・フォレンジック研究会　理事 / 「医療」分科会主査
・ 経済産業省・総務省「医療情報を取り扱う情報システム・サービスの提供事業者における安全管理ガイドライン」検討委員会　委員
・ 経済産業省　情報セキュリティサービス審査基準 技術検討会 委員
・ 経済産業省　DXシステムガバナンスに係る検討会 委員
・ 情報処理推進機構　社会実装推進委員会　民法改正WG/セキュリティ検討PT　委員
・ 徳洲会インフォメーションシステム（株）（徳洲会グループ病院IT統括企業） セキュリティアドバイザー
・ 内閣府　SIP第2期「AI（人工知能）ホスピタルによる高度診断・治療システム」 採択課題 /「AIホスピタルの研究開発に係る知財管理等、システムの一般普及のための技術標準化・Open/Close戦略、官民学連携のためのマッチング等に関する対応」プロジェクト 初年度研究責任者　　　等

セミナープログラム（予定）

１．国内医療機関におけるサイバーインシデントの事例
～報道（表面化）された各種事例
～報道されていない各種事例
～なぜメディカル分野が標的になるのか
～国はどのような対応を考えているのか

２．２３年４月以降の国内医療分野サイバー規制の動向

３．医療機器の規制におけるサイバーリスクの取り込まれ方
～市販前と市販後

４．リスクマネジメント（管理責任）vs リスクコミュニケーション（説明責任）
～国内医療機関との医療機器サイバーにおける向き合い方とは

５．２４年３月に向けて
～国内医療機関は具体的に何をなすべきか
～その後も見据えた展開について

６．まとめ

公開セミナーの次回開催予定

開催日

2024年2月15日（木）　13:00-15:30

開催場所

Zoomによるオンラインセミナー

受講料

【オンラインセミナー（見逃し視聴なし）】：1名33,000円(税込（消費税10％）、資料付)
＊1社2名以上同時申込の場合、1名につき22,000円

【オンラインセミナー（見逃し視聴あり）】：1名38,500円(税込（消費税10％）、資料付)
＊1社2名以上同時申込の場合、1名につき27,500円

＊学校法人割引；学生、教員のご参加は受講料50％割引。

●録音・録画行為は固くお断り致します。

オンライン配信のご案内

★　Zoomによるオンライン配信

については、こちらをご参照ください

備考

※配布資料等について

●配布資料はPDF等のデータで配布致します。ダウンロード方法等はメールでご案内致します。

• 配布資料に関するご案内は、開催1週前～前日を目安にご連絡致します。
  
• 準備の都合上、開催1営業日前の12:00までにお申し込みをお願い致します。
  （土、日、祝日は営業日としてカウント致しません。）
• セミナー資料の再配布は対応できかねます。必ず期限内にダウンロードください。

●当日、可能な範囲でご質問にお答えします。（全ての質問にお答えできない可能性もございます。何卒ご了承ください。）
●本講座で使用する資料や配信動画は著作物であり、無断での録音・録画・複写・転載・配布・上映・販売などは禁止致します。

お申し込み方法

★下のセミナー参加申込ボタンより、必要事項をご記入の上お申し込みください。

★【オンラインセミナー（見逃し視聴なし）】、【オンラインセミナー（見逃し視聴あり）】のいずれかから、ご希望される受講形態をメッセージ欄に明記してください。