ソフトウェア部品管理
ソリューション

• 医療機器メーカーの方
• 医療機関の方
• 医療系サービスの提供事業者の方
• 上記に対してソフトウェア開発をおこなう受託企業の方

など

医療およびヘルスケアの業界では、デジタルヘルスの文脈でAIやIoTなどIT技術を活用する動きが活発になっています。一方で、昨今はサイバーセキュリティに関連する被害が増加しており、特に医療の現場においては病院など医療機関におけるランサムウェアの被害なども報告されています。このような医療にかかわるITシステムや医療機器に問題が生じると、人体、そして人命に影響を及ぼす可能性があります。そのため医療機関および医療機器メーカー、医療系サービス提供事業者などは、これまで以上のサイバーセキュリティ対策が求められています。

特に医療機器については世界中で使われる製品が増加していることから、各国の共通認識のもとでサイバーセキュリティに取り組む必要があります。

JIS T 81001-5-1（IEC 81001-5-1）は医療機器向けのサイバーセキュリティ規格（プロセス規格）です。医療機器ソフトウェアライフサイクルプロセスであるJIS T 2304（IEC 62304）に規定される要求事項とともに実施するサイバーセキュリティ関連の取り組みが規定されています。規定されるアクティビティはIEC 62443（制御システムセキュリティプロセス）の内容に由来しています。（参考１、参考２）

なお本規格の「8 ソフトウェア構成管理プロセス」がSBOM関連の項目となっています。医療機器の基本要件基準の適合性確認に関しても、本プロセスにおいてSBOMを適切に作成することが規定されています。

IMDRFガイダンスの要求事項をふまえ、日本国内では「医療機器のサイバーセキュリティ導入に関する手引書」が作成されています。2021年に作成された初版ではSBOMに関してその立ち位置と重要性などが記載されるのみに留まっていましたが、2023年に作成された第2版ではIMDRFの追補ガイダンスの内容をふまえてSBOMに関する詳細が記載されています。

特に附属書にはSBOMに関する具体的な内容が記載されており、以下の内容が記載されています。

• A. ソフトウェア部品表（SBOM）の扱い

  • A.1 SBOMの全体的なフレームワーク

  • A.2 SBOMの作成

  • A.3 SBOMの要素と推奨フォーマット

  • A.4 SBOMの提供

  • A.5 SBOMの事例

    • A.5.1 SBOMの構成（アーキテクチャーの展開）

これらを参照することによって、SBOM対応の具体的な内容がおおむね把握できるものと思われます。

一方、本手引書では「具体的にどんなツールを使ってSBOMを作るべきか？」「ソフトウェアコンポーネントリポジトリはどんな構成にすべきか？」といった、より突っ込んだ内容までは記載されていません。このあたりは各企業・各製品開発チームによって事情が異なることから、それぞれの組織に委ねられている部分ではないかと思われます。自身の組織や製品・サービスに適したSBOM導入と運用について、それぞれが最適なものを検討して構築していく必要があります。

SBOMは医療機器メーカーにとってはもちろん、医療業界全体のサイバーセキュリティにおいて重要な役割を担います。一方で、具体的な対応方法については単一のベストプラクティスが存在せず、企業ごとに最適な戦略を構築する必要があります。

日立ソリューションズではSBOMに関するコンサルティングからツール販売・導入支援などをワンストップで提供しています。SBOMに関するお困りごとがありましたら本ページお問い合わせからお気軽にご連絡ください。