(公印省略)

その適合性の確認について、下記のとおりとするので、御了知の上、貴管内関係団体、関係業者等への周知徹底をお願いします。

また、本通知の写しを独立行政法人医薬品医療機器総合機構理事長、一般社団法人日本医療機器産業連合会会長、一般社団法人米国医療機器・IVD工業会会長、欧州ビジネス協会医療機器・IVD委員会委員長、一般社団法人日本臨床検査薬協会会長及び医薬品医療機器等法登録認証機関協議会代表幹事宛て送付することを申し添えます。

記

高度管理医療機器若しくは管理医療機器の承認申請又は認証申請を行う製造販売業者等は、当該医療機器について基本要件基準第12条第3項への適合を示すため、JIS T 81001―5―1等への適合性を確認する際には、次の事項について留意して、当該結果を示すか又は当該結果をまとめた社内文書等を特定すること。なお、一般医療機器についても同様に確認が必要であること。

1．JISに関連する要求事項

(1)　JIS T 81001―5―1の箇条4の一般要求事項について

・サイバーセキュリティの確保に係る活動は、品質マネジメントシステムに基づいて行われていること。

・規制当局及び顧客に対して脆弱性を適時に通知する活動を確立すること。

・医療機器のリスクマネジメントは、セキュリティの脆弱性、脅威等を考慮したものであること。

(2)　JIS T 81001―5―1の箇条5のソフトウェア開発プロセスについて

JIS T 81001―5―1の規定に基づき、ソフトウェア開発プロセスに対して、次の配慮が行われていること。

・開発計画において、セキュリティ更新や開発環境等のセキュリティについて考慮すること。

・製品のセキュリティ機能を含むセキュリティ要求事項を特定すること。

・意図する使用環境、信頼境界、多層防御等を考慮してアーキテクチャー設計を行うこと。

・セキュリティ設計のベストプラクティスを考慮した設計及び実装を行うこと。

・ソフトウェアシステム試験を行って、セキュリティ要求事項が満たされ、リスクマネジメントプロセスで特定した脅威に対応する方法が設計に実装され、有効であることを確認すること。

(3)　JIS T 81001―5―1の箇条6のソフトウェア保守プロセスについて

顧客に対するセキュリティ更新の通知方針について定めておくこと。

(4)　JIS T 81001―5―1の箇条7のセキュリティに関連するリスクマネジメントプロセスについて

医療機器のリスクマネジメントにおいて、医療機器の意図する使用及び使用環境を考慮して、関連する脆弱性を特定し、関連する脅威を推定して評価し、リスクコントロール手段によって脅威をコントロールし、その有効性を監視すること。

(5)　JIS T 81001―5―1の箇条8のソフトウェア構成管理プロセスについて

医療機器の開発、保守及びサポートのための、変更管理及び変更履歴を伴う構成管理プロセスを確立すること。

(6)　JIS T 81001―5―1の箇条9のソフトウェア問題解決プロセスについて

セキュリティの脆弱性に関する情報伝達及び処理の手順を定め、セキュリティ問題に対して、情報開示を含めて手順に従って実施すること。

2．JISに関連する既存通知等の要求事項

下記の項目については、規格への適合性を確認する際、追加で確認すること。

(1)　JIS T 81001―5―1の箇条4の一般要求事項について

規制当局及び顧客に対して脆弱性を適時に通知する活動は、「医療機器のサイバーセキュリティの確保に関するガイダンスについて」(平成30年7月24日付け薬生機審発0724第1号及び薬生安発0724第1号)に求める通り、品質マネジメントシステムにおいて、セキュリティに対する対応方針、セキュリティに対する問い合わせ窓口を明確化し、顧客に対する脆弱性等の開示手順が定められていることによって確認すること。

(2)　JIS T 81001―5―1の箇条5のソフトウェア開発プロセスについて

セキュリティ要求事項の特定においては、基本要件基準第12条第3項に規定する通り、当該医療機器における動作環境及びネットワークの使用環境等を踏まえて行うことが必要であり、意図する使用環境をシステム構成図やネットワーク構成図等を用いて明示することで確認すること。

(3)　JIS T 81001―5―1の箇条6のソフトウェア保守プロセスについて

基本要件基準第12条第3項に規定する「医療機器のライフサイクルの全てにおいて、サイバーセキュリティを確保するための計画」として、ソフトウェア保守計画において、サポート終了等の製品寿命に対して計画し、脆弱性の監視、セキュリティ更新等の将来的な脆弱性対策の実施計画等をあらかじめ定めておき、その計画の一環として顧客に対するセキュリティ更新の通知方針を明確化すること。

(4)　JIS T 81001―5―1の箇条8のソフトウェア構成管理プロセスについて

構成管理プロセスは、当該医療機器のソフトウェア部品表(SBOM)を適切に作成することによって確認すること。