CSAジャパンブログページCSAジャパンブログページメニューコンテンツへ移動クラウド接続した医療機器のサイバーセキュリティ対策コメントをどうぞ医療機器サイバーセキュリティに関連して、クラウドセキュリティアライアンスのヘルス・インフォメーション・マネジメント・ワーキンググループ(HIM-WG)は、2020年3月に「クラウドに接続した医療機器のためのリスク管理」(https://cloudsecurityalliance.org/artifacts/managing-the-risk-for-medical-devices-connected-to-the-cloud/)を公開している。この文書は、患者への近接性(Proximity)に基づいて、クラウドに接続した医療機器のリスク管理という考え方を提示し、医療機器向けのクラウドコンピューティング利用におけるセキュリティ強化のためのプラクティスを紹介することを目的としている。医療機器と患者の近接性で異なるセキュリティ責任共有モデルHIM-WGは、機器と患者の近接性を表す隔たりの程度について、機器が患者と相互作用する方法に基づいており、機器が埋め込まれているか、完全に分離しているかによって、以下の0~5の段階を設定している。・段階0=機器が患者に埋め込まれている(機器サポート責任:ベンダーおよび/または医師・医療スタッフ)・段階1=機器が患者に接触する(機器サポート責任:ベンダーまたは臨床工学)・段階2=機器は患者に接触しないが、患者の生命兆候または体液、データを測定する(機器サポート責任:ベンダーまたは臨床工学)・段階3=機器は患者に接触しないが、適切な患者診断に重要なことを行う可能性がある(機器サポート責任:ベンダーまたは臨床工学)・段階4=機器は患者から離され、診断/臨床機器よりも運用ツールである(機器サポート責任:ベンダーまたはIT)このように、患者との近接性によって、医療機関側の機器サポート責任が異なる点が、医療機器サイバーセキュリティの特徴である。/廃棄」の各ステージを挙げている。(FDA)の医療提供組織向け推奨事項を挙げている。個々の文書は、医療提供組織が機器調達に関するリスクベースの意思決定を行うために必要な情報を提供するが、実際の機器調達に際しては、これらのセキュリティ要求事項を契約書に盛り込む必要がある。次に、「調達後/展開前」ステージでは、医療提供組織のネットワークやクラウドに接続する前に要求される機器テストの手法として、以下のようなアプローチを推奨している。1.構成のレビューや、調達前評価の間に収集した構成情報の検証:文書には、すべての相互接続とデータフローダイアグラムに関する一覧表が含まれる。2.利用するすべての公開ポートおよびプロトコルを特定するための「Nmap」のスキャン:「Nmap」は、オープンソースのネットワーク探索・監査ツールである。3.「Nessus」や「Qualys」のような製品を利用した脆弱性スキャン:4.構成スキャン:5.ペネトレーションテスト:発見した脆弱性を有効活用するために、セキュリティエンジニアは、侵害された機器からのインストール、マルウェア、検索、ダウンロードなどのデータや、機能無効化の試みについて調査すべきである。アイデンティティ/アクセス管理と信頼性保証は共通の難題さらに、「展開/運用管理」では、患者との近接性を表す0~5の段階に応じて、様々な医療機器を管理する手法を概説している。「段階0」の埋め込み医療機器をインターネット/クラウドに接続する場合、埋め込み機器に加えて、インターネット/クラウドに接続するベースステーションおよびそれに接続する中間機器など、複数の機器が使用されるため、個々の機器ごとに、アップグレードやパッチ当てを実行する必要がある。医療提供組織が、これらの全テストを完了し、すべての脆弱性を低減したとしても、以下のような課題が残る。1.個々の機器は、どのようにして、アイデンティティ/アクセス管理を遂行するか?2.医療提供組織は、どのようにして、発見された追加的な脆弱性が是正されたかを保証するか?これらアイデンティティ/アクセス管理や信頼性保証は、他の1~5の段階に該当する機器にも共通する課題であるが、解決は容易でない。最後に、本文書では、以下のような推奨事項を挙げている。コメントをキャンセルメールアドレスが公開されることはありません。