ユーザー向けサイバーセキュリティガイドライン
1. はじめに本⽂書は、対象装置に関して、医療機器規格 JIS 81001-5-1:2023 に従ったユーザー向けのサイバーセキュリティ情報です。1 項から 15 項までは対象製品特有の事項を、16 項から 24 項まではサイバーセキュリティ対応の推奨事項を記載しています。本⽂書は、各医療機関がサイバーセキュリティを確保するための情報の⼀つのため、各医療機関がセキュリティポリシーに従って総合的に検討し、対象装置を設置した時の初期だけでなく継続的なサイバーセキュリティ対応をお願いいたします。
⼀般的なサイバーセキュリティの対応は、厚⽣労働省の「医療情報システムの安全管理に関するガイドライン」等を参考に実施をお願いいたします。*1*1

ガイドラインは、概説編、経営管理編、企画管理編、システム運⽤編の 4 編で構成されています。

全読者

各編に共通する意思決定・経営層

医療機関等における医療情報システムの（概説編）

前提となる内容（経営管理編）安全管理の統制システムの安全管理者

医療機関等全体の安全対策の管理（企画管理編）組織的な対応に関する対応システムの運⽤担当者

技術的な対応に（システム運⽤編）

関する対策（概説編の図 3-1 より）
本対象装置は、ネットワーク接続のない汎⽤機器（PC）への接続を意図しています。しかし、本対象装置には汎⽤ OS 等のソフトを搭載しておらず、また、PC への画像信号等の出⼒に特化しているため、本対象装置は、不正アクセスが⾏われたり、不正アクセスを受けて意図せぬ動作をしたりするような構成にはなっていません。そのため本対象装置は、令和５年厚⽣労働省告⽰第 67 号の基本要件基準 第 12 条
第 3 項の「プログラムを⽤いた医療機器のうち、他の機器およびネットワーク等と接続して使⽤する医療機器⼜は外部からの不正アクセスおよび攻撃アクセス等が想定される医療機器」に該当しません。⾮該当のため本⽂書は必須ではありませんが、本対象装置を不正に分解することで、不正アクセスおよび攻撃アクセス等が⾏われる可能性がゼロではないため、本⽂書を発⾏します。

2. 対象装置
型式：C21
製品名：スペースライン

フィール 2112024-04-26 Pub. No.: S0064-0

3. システム構成図
図 1 に対象装置のシステム構成図を⽰します。図 1 における太字の四⾓枠が対象装置および本⽂書の対象です。[1]等の数字は、対象装置の SBOM の番号に関連づけています。

接続するC21 本体

接続 PC

医療機器
VIS-USB

USB ハブ制御

USB ポート

ファームウェア [5]USB マウス

その他基板上のファームウェア[1-4]

4. 意図する使⽤環境
各医療機関がセキュリティポリシーに従い、サイバーセキュリティの確保された下記環境でのご使⽤をお願いいたします。
・アクセス管理（⼈的・物理的）：USB ポートへのアクセス管理にご留意をお願いいたします。

5. 弊社のセキュリティポリシーおよび問合せ窓⼝製造業者である株式会社モリタ製作所（以下「弊社」といいます）では、対象装置のサイバーセキュリティを確保するため、継続的に製品の改良やソフトウェアのバージョンアップを⾏っています。最新のセキュリティ情報は、弊社ウェブサイトにて随時公開をしていますので、ご確認の上、必要な対応をお願いいたします。
https://www.morita.com/jmmc/ja/information-security-policy/

6. キャプチャーコンピュータ、モダリティネットワークのハブ
キャプチャーコンピュータ、モダリティネットワークハブは、汎⽤機器（PC）にて担保されるので本項⽬は⾮該当です。

7. サイバーセキュリティ上のインシデントが発⽣した際の対応⽅法
5 項に記載している弊社ウェブサイトの問合せ窓⼝へ連絡をお願いいたします。

2

8. 製造業者による医療情報セキュリティ開⽰書（MDS）およびソフトウェア部品表（SBOM）
5 項をご参照願います。

9. 製品の保証期間
対象装置設置後のサイバーセキュリティの脆弱性対応については、保証の範囲外とさせていただきます。

10. 製品の耐⽤期間および保守部品の保有期間
サイバーセキュリティに関連した耐⽤期間および保守部品の保有期間については、11 項をご参照ください。

11. サイバーセキュリティの製品寿命の終了 (EOL: End of Life)
弊社では、対象装置の耐⽤期間中のサイバーセキュリティを確保するため、継続的に製品の改良やソフトウェアのバージョンアップを⾏っています。しかし、対象装置に使⽤しているソフトウェアやハードウェアを原因としてセキュリティ上の技術的問題が発⽣した場合、やむをえず対象装置の全⾯的なサイバーセキュリティのサポートを終了して、限定的なサポートに移⾏させていただく場合がありますのであらかじめご了承ください。

12. サイバーセキュリティのサポートの終了 (EOS: End of Support)
耐⽤期間を超えた対象装置に関しては、サイバーセキュリティのサポートを打ち切らせていただきます。

13. Windows の設定および運⽤
対象装置は Windows などの汎⽤ OS の使⽤を意図していないため、本項⽬は⾮該当です。

14. 外部記憶装置（USB メモリ等）
対象装置は外部記憶装置の使⽤を意図していないため、本項⽬は⾮該当です。

3

15. （事業者確認⽤）医療機関におけるサイバーセキュリティ対策チェックリスト
本項⽬の表題のチェックリストは、厚⽣労働省の「医療情報システムの安全管理に関するガイドライン
第 6.0 版」の⼀部です。ガイドラインにもとづくチェックリストは医療機関確認⽤と事業者確認⽤の 2 種類ありますが、本項⽬の表題のチェックリストは後者を指します。ガイドラインにおいて事業者は医療情報システム・サービス事業者を指しますので、本対象装置において事業者は販売店（ディーラー）または㈱モリタを指します。
厚労省のチェックリストマニュアルには「事業者と契約していない医療機関においては『事業者確認⽤』による確認は不要です。」と記載されていますので、医療機関が事業者確認⽤チェックリストを提出する際には、事業者とサイバーセキュリティの保守管理契約を結んでいることが前提となります。事業者とのサイバーセキュリティの保守管理契約の有無については、本対象装置を購⼊された販売店（ディーラ−）または㈱モリタにお問合せをお願いいたします。

16. ユーザーアカウントおよびパスワード
対象装置はユーザーアカウントおよびパスワードによるユーザー認証を意図しないので、本項⽬は⾮該当です。

17. モダリティネットワークの分離
対象装置は他の医療機器とのモダリティネットワークを構成しないので、本項⽬は⾮該当です。

18. TCP/IP 通信のポート
対象装置に TCP/IP 通信のポートはないので、本項⽬は⾮該当です。

19. 物理的環境の分離
対象装置を不正に分解することなどによる不正アクセスおよび攻撃アクセスが⾏われないよう、管理をお願いいたします。
（例：施錠、⼊退室管理、近づいた場合にそれを発⾒できる状態にしておくこと等）

20. ソフトウェアの更新
SBOM に記載されたソフトウェアの更新情報は、5 項に記載している弊社ウェブサイトにて案内いたします。
ただし、設置した対象装置のサポートについては、9 項から 12 項までを参照願います。

21. サードパーティソフトウェアの導⼊対象装置はサードパーティソフトウェアを使⽤していないので、本項⽬は⾮該当です。

422. ファイアウォール
ファイアウォールは、汎⽤機器（PC）にて対応されるので本項⽬は⾮該当です。

23. 院内ネットワークの保護
院内ネットワークの保護は、汎⽤機器（PC）にて担保されるので本項⽬は⾮該当です。

24. 医療機器の廃棄
対象装置は廃棄時に注意を要する情報を保持しないため、本項⽬は⾮該当です。

5