ユーザー向けサイバーセキュリティガイドライン
1. はじめに本⽂書は、対象装置の医療機器に関する IEC 81001-5-1:2019 (JIS 81001-5-1:2023)に従ったユーザー向けのサイバーセキュリティ情報です。15 項までは装置特有の事項、16 項からはサイバーセキュリティ対応の推奨事項を記載しています。本⽂書は、各医療機関がサイバーセキュリティを確保するための情報の⼀つのため、各医療機関がセキュリティポリシーに従って総合的に検討し、設置時だけではなく、継続的にサイバーセキュリティの対応をお願いいたします。
⼀般的なサイバーセキュリティの対応は、厚⽣労働省の「医療情報システムの安全管理に関するガイドライン」等を参考にして実施をお願いいたします。*1*1

ガイドラインは、概説編、経営管理編、企画管理編、システム運⽤編の 4 編で構成されています。

全読者

各編に共通する意思決定・経営層

医療機関等における医療情報システムの（概説編）

前提となる内容（経営管理編）安全管理の統制システムの安全管理者

医療機関等全体の安全対策の管理（企画管理編）組織的な対応に関する対応システムの運⽤担当者

技術的な対応に（システム運⽤編）関する対策（概説編の図 3-1）

2. 対象装置
型式：SAI-60

1

2024-04-26 Pub. No.: S0061-0

3. システム構成図
図 1 にシステム構成図を⽰します。医療機器の範囲および本⽂書の対象は太字の四⾓枠です。
[1]等の数字は、SBOM の情報と関連しています。
本医療機器に直接接続されているコンピュータ

SAI-60 本体

SA-60A

SI-60I

FirmwareFirmware[1][2]

DixelD[5]SDD[4]

Runtime library [6]SD-60D

Windows [7]Firmware [3]BIOS/UEFI

ソフトウェアハードウェアLAN ポートハブ

LAN ポート 1

LAN ポート 2
院内モダリティ

ネットワーク分離ネットワーク

4. 意図する使⽤環境
各医療機関のセキュリティポリシーに従って、サイバーセキュリティが確保された下記環境でのご使⽤をお願いいたします。
・院内ネットワーク
院内ネットワークに無線 LAN をご使⽤の場合は、特にご留意をお願いいたします。
・アクセス管理（⼈的・物理的）5. 弊社のセキュリティポリシーおよび問合せ窓⼝
株式会社モリタ製作所（以下「弊社」と⾔います）では、医療機器のサイバーセキュリティを確保するため、継続的に製品の改良やソフトウェアのバージョンアップを⾏っています。最新のセキュリティ情報は、弊社のウェブサイトにて随時公開をしていますので、ご確認の上、必要な対応をお願いいたします。
https://www.morita.com/jmmc/ja/information-security-policy/2

6. 本医療機器に直接接続されているコンピュータ、モダリティネットワークのハブ
サイバーセキュリティの情報は、キャプチャコンピュータ、ハブをご購⼊いただいた販売店（ディーラ−）または弊社にお問合せをお願いいたします。

7. サイバーセキュリティ上のインシデントが発⽣した際の対応⽅法
院内ネットワークの LAN ケーブルを引き抜き、物理的なネットワークの分離をお願いいたします。その後、5 項に記載する弊社のウェブサイトの問合せ窓⼝へ連絡をお願いいたします。

8. 製造業者による医療情報セキュリティ開⽰書（MDS）およびソフトウェア部品表（SBOM）
5 項の参照をお願いいたします。

9. 製品の保証期間販売後のサイバーセキュリティに関する脆弱性対応については、保証の範囲外とさせていただきます。

10. 製品の耐⽤期間および保守部品の保有期間
サイバーセキュリティに関連した耐⽤期間および保守部品の保有期間については、11 項の参照をお願いいたします。

11. サイバーセキュリティの製品寿命の終了 (EOL: End of Life)
弊社では、製品の耐⽤期間の間、製品のサイバーセキュリティを確保するために継続的に製品改良を⾏います。しかし、製品に使⽤しているソフトウェアやハードウェアを原因として製品にセキュリティ上の技術的な問題が発⽣した場合、やむをえず製品のセキュリティのサポートを終了とし、限定的なサポートに移⾏させていただく場合があります。

12. サイバーセキュリティのサポートの終了 (EOS: End of Support)
耐⽤期間を超えた製品に関しては、サイバーセキュリティのサポートを打ち切らせていただきます。

3

13. Windows の設定および運⽤Windows は、各医療機関がセキュリティポリシーに従って設定し、運⽤をお願いいたします。設定後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。設定後、医療機器の動作不良（検査データの紛失等）が発⽣した場合、弊社は何ら責任を負いかねますので、ご了承をお願いいたします。

14. 外部記憶装置（USB メモリ等）
外部記憶装置やその中の情報は、各医療機関のセキュリティポリシーに従った運⽤をお願いいたします。なお、本医療機器のメンテナンス時（故障解析、修理を含む）のログデータの回収は、マルウェア対策を実施した USB メモリ等を使⽤します。 USB ポートを物理的に塞いでいる場合は、CD または DVDを使⽤します。各医療機関のセキュリティポリシーにおいて、前述の外部記憶装置の接続が認められない場合は、各医療機関にてログデータを回収後、本医療機器をご購⼊いただいた販売店（ディーラ−）、または弊社に安全なデータ形式での送付をお願いいたします。

15. （事業者確認⽤）医療機関におけるサイバーセキュリティ対策チェックリスト (⽇本のみ)
本チェックリストは、厚⽣労働省の「医療情報システムの安全管理に関するガイドライン第 6.0 版」の⼀部です。チェックマニュアルには、「事業者と契約していない医療機関においては『事業者確認⽤』による確認は不要です。」と記載されており、事業者がチェックマニュアルを提出する際は、サイバーセキュリティの保守管理契約を前提としています。サイバーセキュリティの保守管理契約の有無については、本医療機器をご購⼊いただいた販売店（ディーラ−）または弊社にお問合せをお願いいたします。

16. ユーザーアカウントおよびパスワード
Windows および i-Dixel のユーザーアカウントおよびパスワードは、医療機器の使⽤開始前に、各医療機関のセキュリティポリシーに従って必ず変更し、運⽤をお願いいたします。変更後、販売店（ディーラ−）、弊社は、ログインすることができません。メンテナンス時（故障解析、修理を含む）、管理者権限を持つアカウントでのログインをお願いいたします。なお、アカウント認証のオフ、脆弱なパスワードは推奨しません。また、情報にアクセス可能な⼈員に変更があった際（組織内の⼈事異動や退職等）には、パスワードを変更し、i-Dixel のユーザーアカウントを無効化することを推奨します。

17. モダリティネットワークの分離
院内ネットワークと本装置のモダリティネットワークは、物理的なネットワークの分離をお願いいたします。また、モダリティネットワークのハブには、弊社以外の装置（弊社が検証済みの他社装置を除く）の接続をしないでください。また、未使⽤の LAN ポートの保護や監視をお願いいたします。

4

18. TCP/IP 通信のポート通信に使⽤していない TCP/IP 通信のポートは閉じてください。開いているポートであっても、接続先の制限をお願いいたします。本医療機器の使⽤に必要なポートリストは、5 項に記載する弊社のウェブサイトの問合せ窓⼝にご連絡をお願いいたします。ポート設定の変更後は、医療機器の動作確認をお願いいたします。

19. 物理的環境の分離
医療機器または医療機器が接続されたネットワーク上の機器は、物理的に接触可能な⼈の管理、接触可能な場合は監視をお願いいたします。
（例：施錠、⼊退室管理、近づいた場合にそれを発⾒できる状態にしておくこと等）

20. ソフトウェアの更新
SBOM に記載されたソフトウェアは、本項に従って更新をお願いいたします。有料委託については、
本医療機器をご購⼊いただいた販売店（ディーラ−）または弊社にお問合せをお願いいたします。また、ソフトウェアの更新が医療機器の動作に影響を与えることが確認された場合、5 項に記載する弊社のウェブサイトにて案内いたします。

20-1. Windows の更新
Microsoft 社の情報に基づき、更新をお願いいたします。なお、更新は、医療機器の使⽤時間外を推奨しています。
（過去、Windows 更新が⻑時間に渡り、医療機器が使⽤できない状態があったという情報があります。）インストール後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。
ここで、本⽂書における Windows の更新とは、既設のバージョン（例えば、2024 年 2 ⽉時点でのWindows 11 等）内でのマイナー更新を意味します。新規のバージョン（例えば、2024 年 2 ⽉時点でのWindows 11 の後継バージョン）へのアップデートは、関連する弊社のソフトウェアの開発、検証後、5項に記載する弊社のウェブサイトにて案内いたします。

20-2. Microsoft 社のソフトウェア（Windows を除く）の更新
ソフトウェアメーカーの情報に基づき、更新をお願いいたします。なお、更新は、医療機器の使⽤時間外を推奨しています。インストール後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。

5

20-3. SQL Server の更新
ソフトウェアメーカーの情報に基づき、更新をお願いいたします。なお、更新は、医療機器の使⽤時間外を推奨しています。インストール後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。
ここで、本⽂書における SQL Server の更新とは、既設のバージョン（例えば、2024 年 2 ⽉時点でのSQL Server 2019 等）内でのマイナー更新を意味します。新規のバージョン（例えば、2024 年 2 ⽉時点での SQL Server 2022 等）へのアップデートは、関連する弊社のソフトウェアの開発、検証後、5 項に記載する弊社のウェブサイトにて案内いたします。

20-4. SBOM に記載されたその他のソフトウェアの更新
ソフトウェアの更新情報は、5 項に記載する弊社のウェブサイトにて案内いたします。

21. サードパーティソフトウェアの導⼊
医療機器の安定的な動作のため、医療機器が動作するコンピュータに医療機器と関係のないソフトウ
ェア（弊社が検証済みのソフトウェアを除く）をインストールしないことを強く推奨します。インストー
ルする場合は、インストール後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。インストール後、医療機器の動作不良（X 線撮影の失敗等）が発⽣した場合、弊社は何ら責任を負いかねますので、ご了承をお願いいたします。

21-1. マルウェア対策ソフトウェア
マルウェア対策ソフトウェアは、各医療機関のセキュリティポリシーに従って導⼊の要否を決定し、運⽤をお願いいたします。マルウェア対策ソフトウェアに関しては、 マルウェア対策ソフトウェアをご購⼊いただいた販売店または マルウェア対策ソフトウェアのメーカーにお問合せをお願いいたします。マルウェア対策ソフトウェアを導⼊するデメリットは、本医療機器に直接接続されているコンピュータの動作が遅延することや誤検出による医療機器への影響です。
マルウェア対策ソフトウェアのインストール時に必要なホワイトリストは、5 項に記載する弊社のウェブサイトの問合せ窓⼝にご連絡をお願いいたします。インストール後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。

6

22. ファイアウォール
ファイアウォールは、各医療機関のセキュリティポリシーに従って導⼊の要否を決定し、運⽤をお願いいたします。Windows の機能に関しては、本医療機器に直接接続されているコンピュータをご購⼊いただいた販売店（ディーラー）またはメーカーにお問合せをお願いいたします。
ファイアウォールの設定時に必要なホワイトリストは、5 項に記載する弊社のウェブサイトの問合せ窓⼝にご連絡をお願いいたします。設定後および⽇常の使⽤前点検として、医療機器の動作確認をお願いいたします。ファイアウォールの導⼊後、医療機器の動作不良（X 線撮影の失敗等）が発⽣した場合、弊社は何ら責任を負いかねますので、ご了承をお願いいたします。

23. 院内ネットワークの保護
院内ネットワークのサイバーセキュリティは各医療機関のセキュリティポリシーに従って運⽤し、院内ネットワークを通じた医療機器への攻撃を防いでください。院内ネットワークを保護する⽅法の例として以下があります。
・ 院内ネットワークに接続する端末を管理・監視し、サイバーセキュリティ上のコントロールされた端末だけが院内ネットワークに接続できるようにする。
・ 院内ネットワークに接続された端末のサイバーセキュリティを確保する。
・ 院内ネットワークに接続されたネットワーク機器（特に無線 LAN ルーター）の設定を確認し、管理された機器やシステム、⼈員だけが院内ネットワークにアクセスできるようにする。また、ネットワーク機器が脆弱性情報を定期的に調査し、必要に応じてファームウェアをアップデートし、脆弱性のないネットワーク機器に置き換える。

24. 医療機器の廃棄
医療機器の利⽤を終了する際は、廃棄する医療機器からの情報流出の防⽌をお願いいたします。⽅法の⼀つとして、医療機器を構成する記憶媒体（例: HDD, SSD）を物理的に破壊することがあります。

7