医療機器のサイバーセキュリティに関する質疑応答集（Ｑ＆Ａ）

2019 年 3 月 26 日
一般社団法人
法制委員会

日本医療機器産業連合会

医療機器プログラム対応 WG

1

医療機器のサイバーセキュリティに関する質疑応答集（Ｑ＆Ａ）

１．対象についてＱ１－１：製造販売業者にとって「医療機器のサイバーセキュリティの確保」は、任意であり必ずしも遵守しなければならないものとは限らないと考えてよいか？
Ａ１-１：サイバーセキュリティの確保通知の「１．基本的な考え方」に示されるとおり、サイバーリスクが懸念される機器に対しては対応が必要であり、すでに製造販売を行った医療機器を含めて対応が必要である。

２．承認事項等について
Ｑ２-１：プログラムを使用した医療機器のサイバーセキュリティの確保を目的とした変更は一部変更等の変更申請の対象とならない、と考えてよいか？
Ａ２-１：通常の一変・軽変の判断と同様、医療機器の品質、有効性、安全性に与える影響がほとんどない場合は、軽微変更となる。
サイバーセキュリティの強化を除き、機器としての安全性、有効性へ影響がある場合を含め承認事項等に変更が生じる場合は、一変等を行うこと。(薬生機審発 0731 第 5号を参照)
Ｑ２-２：医療機器（機械器具）や医療機器プログラムにおいて、コンピュータウイルス対応のため、対応のひとつとして医療機器や医療機器プログラムが稼働する汎用コンピュータ等に対策ソフトウエアをインストールすることについて、承認書等に記載は不要と考えてよいか？
Ａ２-２：貴見のとおり。
医療機器（機械器具）が汎用 OS 上で動作している場合，コンピュータウイルスや不正アクセス等への対応としては，OS のウイルス検知機能やその他のセキュリティ機能を有効にする、ウイルススキャンソフトウエアを追加搭載するなど，さまざまな方策が考えられる。コンピュータウイルス対策ソフトウエアをインストールした場合に、医療機器の品質、有効性、安全性に影響がない場合には、必ずしも承認書に記載する必要はないと考えられる。検証した結果問題がないと判断した対策ソフトウエア等については情報提供することが望ましい。
23．情報提供について
Ｑ３-１:サイバーセキュリティに関する使用者への情報提供方法は、ガイダンスに記載された方法に限定されるものではなく、製造販売業者の判断に基づき適切な方法で実施することが可能と考えてよいか？
Ａ３-１：貴見のとおり。
Ｑ３-２：ガイダンスに示された添付文書等への記載事項（「意図する使用環境」「使用者が遵守すべき事項（概要）」「要求された環境外で使用した場合のリスク」とはどんな内容か？
Ａ３-２：サイバーリスクに関して患者や使用者に対する危害の可能性があり、禁忌・禁止の指示によってでしか危害が避けられない場合、添付文書に使用環境の条件や注意事項を記載する。その他の患者や使用者に対する危害の可能性の低いサイバーリスクに関する注意は取扱説明書や医療機器製造販売業者のホームページ（ウェブサイト）等で各医療機器に対する最新のセキュリティ情報を示すことを推奨する。
Ｑ３-３：サイバーセキュリティに関する使用者への情報提供は、取扱説明書を作成している医療機器においては、添付文書に代えて取扱説明書による情報提供を行うことは可能か?
Ａ３-３：添付文書に最低限の記載は必要であり、その記載事項はガイダンスに従うこと。
なお、例えば、添付文書には「本装置は、医療情報システムの安全管理に関するガイドラインに準拠した環境のネットワークで使用すること。詳細は、取扱説明書の○○項を参照すること。」とし、取扱説明書にて詳細な情報提供が行われることで差し支えない。
Ｑ３-４：サイバーセキュリティに関連する問合せ窓口及びサイバーセキュリティに関連するサービスの照会先として、製造販売業者のホームページ等を利用して提供する旨を添付文書に記載する場合、添付文書のどこに記載すればよいか？
Ａ３-４: 添付文書の「製造販売業者及び製造業者の氏名又は名称等」欄に、分かり易く（例えば、「サイバーセキュリティに関する情報請求先」等と）記載することで差し支えない。
Ｑ３-５：「安全管理ガイドライン」に沿った情報提供とは、「製造業者による医療情報セキュリティ開示書」による提供で良いか？
Ａ３-５:差し支えない。
3

Ｑ３-6:使用者等への情報提供として、ネットワーク接続を意図した機器の使用者側が遵守すべき事項、例えば使用環境は、どこに記載すべきか？
Ａ３-6:添付文書の「使用方法等に関連する使用上の注意」に記載するのが望ましい。
使用者が遵守すべき事項の記載事例としては、「ネットワークに接続する際は、“安全管理ガイドライン”で求められる環境において使用する。」などと記載する。
なお、遵守されなかった際に重篤な健康被害が発生する場合には、「警告」欄や「禁忌・禁止」欄に記載する必要があることに注意すること。

４．市販後対応について
Ｑ４-１：ガイダンスの「4. 市販後の安全性確保について」に「…サイバーリスクに基づく不具合等についても、GVP 省令における安全性情報として扱い、」とあるが、安全性情報として扱う判定基準や不具合報告の報告先やルールは従来通りと考えてよいか？
Ａ４-１: 貴見のとおり。
Ｑ４-２：医療機器（機械器具）において、サイバーセキュリティ対応として、OS 等のアップデートを行う行為は、回収（改修）に該当しないと考えてよいか？
Ａ４-２：発生する事象により回収への該当性を判断すること。
また、平成 27 年 9 月 1 日

薬食監麻発 0901 第 5 号 医療機器及び体外診断用医薬品の製造管理及び品質管理の基準等に係る質疑応答集（Q&A）について（その 3）通知の“医療機関等でのバージョンアップ関係”Q9～Ｑ１2 を参照すること。
Ｑ４-３：医療機器プログラムにおいて、サイバーセキュリティ対応として、OS 等のアップデートを使用者に注意喚起する行為は、回収（改修）に該当しないと考えてよいか？
Ａ４-３：貴見のとおり。
なお、必要に応じ添付文書の使用環境として指定した OS 等の記載事項を改訂すること。
Ｑ４-４：サイバーセキュリティ対応の為、ウイルス対策ソフトウエアをインストール後、定期的な定義ファイル等の更新は改修に該当しないと考えてよいか？
Ａ４-４：貴見のとおり。
なお、更新により医療機器の動作に影響ないことを更新プログラムの市場への供給前に検証しておくこと。
4Ｑ４-５：医療機器添付文書の使用上の注意欄において、対策ソフトウエアインストール等のセキュリティ対策を行うよう注意喚起しているにも関らず、医療機関がセキュかいざんリティ対策を怠った結果として、情報の改竄、漏えい等の事象が発生した場合については、改修の対応は必要ないと考えてよいか？
Ａ４-５：貴見のとおり。
Ｑ４-６:サイバーセキュリティに関する使用者への情報提供のためだけに、添付文書を改訂する際は、禁忌・警告などにも変更がないため PMDA 等への相談は不要という理解でよいか？
Ａ４-６：「添付文書等記載事項の改訂等に伴う相談に関する留意点等について」（H26-１0３1 付け事務連絡）の記載に基づき、製品のクラス分類及び改訂箇所に応じて、相談の要否を確認すること。

５．その他
Ｑ５-１：（市販の）既製ソフトウエアを医療機器の構成品として使用している場合、既製ソフトウエアのサイバーセキュリティ対応を含めた稼働確認（バリデーション）は、医療機器の製造販売業者が実施すべきか？
Ａ５-１：医療機器の製造販売業者は、医療機器製品のライフサイクルを通して、既製ソフトウエアに関する供給者、バージョン、パッチ等の最新の情報を管理し、適用した製品について必要なセキュリティ対応及びバリデーションを行う。
Ａ５-２：製造販売業者が汎用コンピュータを使用した医療機器のサイバーセキュリティ対応のために市販のウイルス対策ソフトウエアを推奨する場合、インストール作業は、製造販売業者が行わなければならいないのか？
Ａ５-２：医療機器（機械器具、医療機器プログラム以外）の場合は、バージョンアップと同様に製造販売業者が認めた者が行い、医療機器プログラムの場合は、ユーザがインストールする事を推奨する。
なお、医療機器プログラムにおいても、製造販売業者はウイルス対策ソフトウエアのインストール作業手順書を作成し、提供する事を推奨する。

5

参考
サイバーセキュリティについては、下記に参考情報が掲載されているので必要に応じ参考にすること。
（医療機器のサイバーセキュリティの確保に関するガイダンスの参考情報に記載されていないもの）
・内閣サイバーセキュリティセンター（NISC）http://www.nisc.go.jp/about/index.html
・独立行政法人

情報処理推進機構 (IPA) https://www.ipa.go.jp/security/

・医療機関等におけるサイバーセキュリティ対策の強化について（周知依頼）平成 30 年
10 月 30 日付け、医政局研究開発振興課

事務連絡・セプター特性把握マップ-2018 年 9 月末
https://www.nisc.go.jp/active/infra/pdf/cc_ceptoar.pdf

6