ユーザー向けサイバーセキュリティガイドライン
1. はじめに本文書は、対象装置の医療機器に関する IEC 81001-5-1:2019 (JIS 81001-5-1:2023)に従ったユーザー向けのサイバーセキュリティ情報です。15 項までは装置特有の事項、16 項からはサイバーセキュリティ対応の推奨事項を記載しています。本文書は、各医療機関がサイバーセキュリティを確保するための情報の一つのため、各医療機関がセキュリティポリシーに従って総合的に検討し、設置時だけではなく、継続的にサイバーセキュリティの対応をお願いいたします。
一般的なサイバーセキュリティの対応は、厚生労働省の「医療情報システムの安全管理に関するガイドライン」等を参考にして実施をお願いいたします。*1*1

ガイドラインは、概説編、経営管理編、企画管理編、システム運用編の 4 編で構成されています。

全読者

各編に共通する意思決定・経営層

医療機関等における医療情報システムの（概説編）

前提となる内容（経営管理編）安全管理の統制システムの安全管理者

医療機関等全体の安全対策の管理（企画管理編）組織的な対応に関する対応システムの運用担当者

技術的な対応に（システム運用編）関する対策（概説編の図 3-1）
2. 対象装置
型式：X800

12024-03-27 Pub. No.: S0004-0

3. システム構成図
図 1 にシステム構成図を示します。医療機器の範囲および本文書の対象は太字の四角枠です。
[1]等の数字は、SBOM の情報と関連しています。
X800 本体

キャプチャコンピュータ

X800 Main Firmware

DixelD[3][1]
X800 Image Transfer

3DXD[5]JMDRD[4]Firmware[2]

Runtime library [6]Windows [7]BIOS/UEFILAN ポートハブ

ソフトウェアLAN ポート 1

LAN ポート 2

ハードウェア
院内モダリティ分離

ネットワークネットワーク

4. 意図する使用環境
各医療機関のセキュリティポリシーに従って、サイバーセキュリティが確保された下記環境でのご使用をお願いいたします。
・院内ネットワーク
院内ネットワークに無線 LAN をご使用の場合は、特にご留意をお願いいたします。
・アクセス管理（人的・物理的）5. 弊社のセキュリティポリシーおよび問合せ窓口
株式会社モリタ製作所（以下「弊社」といいます）では、医療機器のサイバーセキュリティを確保するため、継続的に製品の改良やソフトウェアのバージョンアップを行っています。最新のセキュリティ情報は、弊社のウェブサイトにて随時公開をしていますので、ご確認の上、必要な対応をお願いいたします。
https://www.morita.com/jmmc/ja/information-security-policy/26. キャプチャコンピュータ、モダリティネットワークのハブ
サイバーセキュリティの情報は、キャプチャコンピュータ、ハブをご購入いただいた販売店（ディーラ－）または㈱モリタにお問合せをお願いいたします。

7. サイバーセキュリティ上のインシデントが発生した際の対応方法
院内ネットワークの LAN ケーブルを引き抜き、物理的なネットワークの分離をお願いいたします。その後、5 項に記載する弊社のウェブサイトの問合せ窓口へ連絡をお願いいたします。

8. 製造業者による医療情報セキュリティ開示書（MDS）およびソフトウェア部品表（SBOM）
5 項の参照をお願いいたします。

9. 製品の保証期間
販売後のサイバーセキュリティに関する脆弱性対応については、保証の範囲外とさせていただきます。

10. 製品の耐用期間および保守部品の保有期間
サイバーセキュリティに関連した耐用期間および保守部品の保有期間については、11 項の参照をお願いいたします。

11. サイバーセキュリティの製品寿命の終了 (EOL: End of Life)
弊社では、製品の耐用期間の間、製品のサイバーセキュリティを確保するために継続的に製品改良を行います。しかし、製品に使用しているソフトウェアやハードウェアを原因として製品にセキュリティ上の技術的な問題が発生した場合、やむをえず製品のセキュリティのサポートを終了とし、限定的なサポートに移行させていただく場合があります。

12. サイバーセキュリティのサポートの終了 (EOS: End of Support)
耐用期間を超えた製品に関しては、サイバーセキュリティのサポートを打ち切らせていただきます。

3

13. Windows の設定および運用
Windows は、各医療機関がセキュリティポリシーに従って設定し、運用をお願いいたします。設定後および日常の使用前点検として、医療機器の動作確認をお願いいたします。設定後、医療機器の動作不良（X 線撮影の失敗等）が発生した場合、㈱モリタおよび弊社は何ら責任を負いかねますので、ご了承をお願いいたします。

14. 外部記憶装置（USB メモリ等）
外部記憶装置やその中の情報は、各医療機関のセキュリティポリシーに従った運用をお願いいたします。なお、本医療機器のメンテナンス時（故障解析、修理を含む）のログデータの回収は、マルウェア対策を実施した USB メモリ等を使用します。 USB ポートを物理的に塞いでいる場合は、CD または DVDを使用します。各医療機関のセキュリティポリシーにおいて、前述の外部記憶装置の接続が認められない
場合は、各医療機関にてログデータを回収後、本医療機器をご購入いただいた販売店（ディーラ－）、㈱モリタまたは弊社に安全なデータ形式での送付をお願いいたします。

15. （事業者確認用）医療機関におけるサイバーセキュリティ対策チェックリスト (日本のみ)
本チェックリストは、厚生労働省の「医療情報システムの安全管理に関するガイドライン第 6.0 版」の一部です。チェックマニュアルには、「事業者と契約していない医療機関においては『事業者確認用』による確認は不要です。」と記載されており、事業者がチェックマニュアルを提出する際は、サイバーセキュリティの保守管理契約を前提としています。サイバーセキュリティの保守管理契約の有無については、本医療機器をご購入いただいた販売店（ディーラ－）または㈱モリタにお問合せをお願いいたします。

16. ユーザーアカウントおよびパスワード
Windows および i-Dixel のユーザーアカウントおよびパスワードは、医療機器の使用開始前に、各医療機関のセキュリティポリシーに従って必ず変更し、運用をお願いいたします。変更後、販売店（ディーラ－）、㈱モリタまたは弊社は、ログインすることができません。メンテナンス時（故障解析、修理を含む）、管理者権限を持つアカウントでのログインをお願いいたします。なお、アカウント認証のオフ、脆弱なパスワードは推奨しません。また、情報にアクセス可能な人員に変更があった際（組織内の人事異動や退職等）には、パスワードを変更し、i-Dixel のユーザーアカウントを無効化することを推奨します。

17. モダリティネットワークの分離
院内ネットワークと本装置のモダリティネットワークは、物理的なネットワークの分離をお願いいたします。また、モダリティネットワークのハブには、弊社以外の装置（弊社が検証済みの他社装置を除く）の接続をしないでください。また、未使用の LAN ポートの保護や監視をお願いいたします。

4

18. TCP/IP 通信のポート通信に使用していない TCP/IP 通信のポートは閉じてください。開いているポートであっても、接続先の制限をお願いいたします。本医療機器の使用に必要なポートリストは、5 項に記載する弊社のウェブ
サイトの問合せ窓口にご連絡をお願いいたします。ポート設定変更後は、医療機器の動作確認をお願いいたします。

19. 物理的環境の分離
医療機器または医療機器が接続されたネットワーク上の機器は、物理的に接触可能な人の管理、接触可能な場合は監視をお願いいたします。
（例：施錠、入退室管理、近づいた場合にそれを発見できる状態にしておくこと等）

20. ソフトウェアの更新
SBOM に記載されたソフトウェアは、本項に従って更新をお願いいたします。有料委託については、本医療機器をご購入いただいた販売店（ディーラ－）または㈱モリタにお問合せをお願いいたします。また、ソフトウェアの更新が医療機器の動作に影響を与えることが確認された場合、5 項に記載する弊社のウェブサイトにて案内いたします。

20-1. Windows の更新
Microsoft 社の情報に基づき、更新をお願いいたします。なお、更新は、医療機器の使用時間外を推奨しています。
（過去、Windows 更新が長時間に渡り、医療機器が使用できない状態があったという情報があります。）インストール後および日常の使用前点検として、医療機器の動作確認をお願いいたします。
ここで、本文書における Windows の更新とは、既設のバージョン（例えば、2024 年 2 月時点でのWindows 11 等）内でのマイナー更新を意味します。新規のバージョン（例えば、2024 年 2 月時点でのWindows 11 の後継バージョン）へのアップデートは、関連する弊社のソフトウェアの開発、検証後、5項に記載する弊社のウェブサイトにて案内いたします。

20-2. Microsoft 社のソフトウェア（Windows を除く）の更新
ソフトウェアメーカーの情報に基づき、更新をお願いいたします。なお、更新は、医療機器の使用時間外を推奨しています。インストール後および日常の使用前点検として、医療機器の動作確認をお願いいたします。

5

20-3. SQL Server の更新
ソフトウェアメーカーの情報に基づき、更新をお願いいたします。なお、更新は、医療機器の使用時間外を推奨しています。インストール後および日常の使用前点検として、医療機器の動作確認をお願いいたします。
ここで、本文書における SQL Server の更新とは、既設のバージョン（例えば、2024 年 2 月時点でのSQL Server 2019 等）内でのマイナー更新を意味します。新規のバージョン（例えば、2024 年 2 月時点での SQL Server 2022 等）へのアップデートは、関連する弊社のソフトウェアの開発、検証後、5 項に記載する弊社のウェブサイトにて案内いたします。

20-4. SBOM に記載されたその他のソフトウェアの更新
ソフトウェアの更新情報は、5 項に記載する弊社のウェブサイトにて案内いたします。

21. サードパーティソフトウェアの導入
医療機器の安定的な動作のため、医療機器が動作するコンピュータに医療機器と関係のないソフトウェア（弊社が検証済みのソフトウェアを除く）をインストールしないことを強く推奨します。インストー
ルする場合は、インストール後および日常の使用前点検として、医療機器の動作確認をお願いいたします。インストール後、医療機器の動作不良（X 線撮影の失敗等）が発生した場合、㈱モリタおよび弊社は何ら責任を負いかねますので、ご了承をお願いいたします。

21-1. マルウェア対策ソフトウェア
マルウェア対策ソフトウェアは、各医療機関のセキュリティポリシーに従って導入の要否を決定し、運用をお願いいたします。マルウェア対策ソフトウェアに関しては、 マルウェア対策ソフトウェアをご購入いただいた販売店または マルウェア対策ソフトウェアのメーカーにお問合せをお願いいたします。マルウェア対策ソフトウェアを導入するデメリットは、キャプチャコンピュータの動作が遅延することや誤検出による医療機器への影響です。
マルウェア対策ソフトウェアのインストール時に必要なホワイトリストは、5 項に記載する弊社のウェブサイトの問合せ窓口にご連絡をお願いいたします。インストール後および日常の使用前点検として、医療機器の動作確認をお願いいたします。

6

22. ファイアウォール
ファイアウォールは、各医療機関のセキュリティポリシーに従って導入の要否を決定し、運用をお願いいたします。Windows の機能に関しては、キャプチャコンピュータをご購入いただいた販売店（ディーラー）またはメーカーにお問合せをお願いいたします。
ファイアウォールの設定時に必要なホワイトリストは、5 項に記載する弊社のウェブサイトの問合せ窓口にご連絡をお願いいたします。設定後および日常の使用前点検として、医療機器の動作確認をお願いいたします。ファイアウォールの導入後、医療機器の動作不良（X 線撮影の失敗等）が発生した場合、㈱モリタおよび弊社は何ら責任を負いかねますので、ご了承をお願いいたします。

23. 院内ネットワークの保護
院内ネットワークのサイバーセキュリティは各医療機関のセキュリティポリシーに従って運用し、院内ネットワークを通じた医療機器への攻撃を防いでください。院内ネットワークを保護する方法の例として以下があります。
・ 院内ネットワークに接続する端末を管理・監視し、サイバーセキュリティ上のコントロールされた端末だけが院内ネットワークに接続できるようにする。
・ 院内ネットワークに接続された端末のサイバーセキュリティを確保する。
・ 院内ネットワークに接続されたネットワーク機器（特に無線 LAN ルーター）の設定を確認し、管理された機器やシステム、人員だけが院内ネットワークにアクセスできるようにする。また、ネットワーク機器の脆弱性情報を定期的に調査し、必要に応じてファームウェアをアップデートし、脆弱性のないネットワーク機器に置き換える。

24. 医療機器の廃棄
医療機器の利用を終了する際は、廃棄する医療機器からの情報流出の防止をお願いいたします。方法の一つとして、医療機器を構成する記憶媒体（例: HDD, SSD）を物理的に破壊することがあります。

7