医療機器サイバーセキュリティにおけるOWASPとCSAの連携

www.cloudsecurityalliance.orgCopyright © 2011 Cloud Security Alliance
February 5, 2020
米国OWASP Los Angeles Chapter & CSA HIM WG
@esasahara

www.cloudsecurityalliance.orgCopyright © 2012 Cloud Security Alliance www.cloudsecurityalliance.orgCopyright © 2012 Cloud Security Alliance
1. 輸出戦略に赤信号が灯る
日本の医療機器
2. 医療機器開発におけるOWASPと
CSAの連携活動
3. まとめ／Q&A
～薬害エイズ事件の教訓を活かす～

国際医療機器規制当局フォーラム（IMDRF)
「DRAFT DOCUMENT: Principles and Practices
for Medical Device Cybersecurity」
（2019年10月1日）
(http://www.imdrf.org/consultations/cons-ppmdc.asp)
• 米国食品医薬品局（FDA）とカナダ保健省を共同座長とする
IMDRF医療機器サイバーセキュリティ作業部会が策定
• 医療機器リスクマネジメントに関する国際標準規格「ISO
14971」および医療機器の品質マネジメントシステムに関する
国際標準規格「ISO 13485」に準拠

1. 一般原則
(1)トータル製品ライフサイクル（TPLC）
セキュリティ・リスクマネジメント・プロセス
• セキュリティリスク分析
• セキュリティリスク評価
• セキュリティリスクコントロール
• 全体の残余セキュリティリスク受容可能性評価
• セキュリティリスクマネジメント報告
• 生産および生産後の情報
医療機器製造業者の対策
• あらゆるサイバーセキュリティ脆弱性の特定
• 関連するリスクの推定と評価
• これらのリスクを許容できるレベルまでのコントロール
• リスクコントロールの有効性のモニタリング

(2)共有された責任
主要なステークホルダー
• 医療機器製造業者
• 医療機関
• ユーザー
• 規制当局
• 脆弱性の発見者（ホワイトハッカー含む）
全てのステークホルダーが、医療機器のライフサイクル全体に
わたって、潜在的なサイバーセキュリティリスクと脅威に関する
継続的なモニタリング、評価、低減、伝達の責任を有する

(3)情報共有
全てのステークホルダーが積極的に情報共有分析組織
（ISAOs）へ参画するよう推奨
(4)特定、保護、検知、対応、復旧する能力
NISTサイバーセキュリティフレームワークとのマッピング
(5)国際調和
イノベーションを促進し、安全性および有効性のある医療
機器への迅速な患者のアクセスを可能にする
患者安全の維持を保証するために、世界の医療サイバー
セキュリティへの取り組みが集約される必要がある

2. 医療機器製造業者向けの市販前考慮事項
(1)セキュリティ要求事項とアーキテクチャ設計
セキュアな通信
データの機密性
データの完全性
ユーザーアクセス
ソフトウェアのメンテナンス
ハードウェアまたは物理的設計
信頼性と可用性
(2)リスクマネジメント
セキュリティリスク評価
脅威モデル
脆弱性スコアリング

(3)セキュリティテスト
医療機器の設計フェーズのバリデーションの要求事項
ーソフトウェアコンポーネント／モジュールにおける既知の
脆弱性またはソフトウェアの弱点に関するターゲット
検索の実行（例：静的コード解析、動的解析、堅牢性
テスト、脆弱性スキャニング、ソフトウェア・コンポジション
分析
ー技術的セキュリティ分析の実行（例：ペネトレーション
テスト）
ー脆弱性評価の遂行（例：脆弱性影響度評価）

(4)市販後管理戦略
市販後監視計画
脆弱性開示プロセス
パッチ当て・アップデート計画
復旧計画（例：サイバーインシデント対応）
情報共有（例：ISAOsへの参画）
(5)表示または利用者セキュリティ文書
製造業者による文書（例：機器のインストール・構成
文書、稼働環境の技術要件文書、ソフトウェア部品表
（SBOM））

(5)規制提出要求事項
設計文書
ーサイバーセキュリティリスク・脅威を低減する設計機能
リスクマネジメント文書
ー包括的なリスクマネジメント文書（例：脅威モデリング、
特定可能なサイバーセキュリティ脅威）
ー他のリスクに対するセキュリティリスク低減の影響度
ー製品ライフサイクル全体を通して、機器のサイバーセキュリティ・
リジエンシーを維持するための計画
セキュリティテスト文書
ーテスト手法、結果、結論の記述
ーセキュリティリスク、セキュリティコントロール、コントロールを検証
するテストの間のトレーサビリティ・マトリックス表
市販後管理計画
表示または利用者セキュリティ文書

3. 医療機器サイバーセキュリティの市販後考慮事項
(1)意図する使用環境で作動する機器
医療機関・患者向け：
a. 医療機関が採用すべきサイバーセキュリティのベストプラクティス
b. 全ユーザー向けの訓練／教育
医療機器製造業者向け：
・医療機関、再販業者、消費者との連携
(2)情報共有
主要なステークホルダー
a. 規制当局
b. 医療機関
c. ユーザー
d. 政府機関や情報共有主体などその他のステークホルダー
（ISAOs、CERTsを含む）

(2)情報共有（続き）
情報のタイプ
信頼できるコミュニケーション
(3)協調的な脆弱性の公開（CVD）
マルチステークホルダー環境下のプロアクティブな情報共有を
可能にするCVDポリシーおよび手順の採用を推奨
医療機器製造業者（製品CERT含む）
規制当局（当局間のグローバル連携含む）
脆弱性の報告者（セキュリティ研究者およびその他の脆弱性
発見者＝ホワイトハッカー含む）

(4)脆弱性の救済策
a. リスクマネジメント
b. サードパーティ・コンポーネント（サプライチェーン含む）
c. コミュニケーション
d. 救済行動
医療機関・患者向け：
a. パッチ当て
b. 専門医療施設環境向けの考慮事項
c. 在宅医療環境向けの考慮事項
規制当局：
ー市販後のパッチ当て

(5)インシデント対応
a. 役割と責任（ISO/IEC 27035への準拠）
b. コミュニケーションの期待事項
(CERTやISAOsとの連携含む）
医療機関向け：
a. ポリシーと役割
(CERTやISAOsとの連携含む）
b. 役割ごとの訓練
c. 分析と対応
規制当局向け：
ー患者安全への影響度評価、他の政府機関との連携など

(6)レガシー医療機器
ー機器が最低限のセキュリティ・ベースラインを満たす、
セキュアな開発フレームワークに基づく機器の設計・開発
ーレガシー機器の重大な脆弱性に関するモニタリングと、
製品ライフサイクル管理に基づく最善の努力
ー医療機器ライフサイクル管理や製品寿命に関するコミュ
ニケーションの明確化
医療機関向け：
ー医療機器製造業者との間のコミュニケーションの改善
ーソフトウェア部品表（BOM)の有効活用
ー医療機器ライフサイクル管理に基づく製品寿命の明確化
ー医療機関が使用する医療機器の保守・維持の保証
ー既存環境におけるリスク・コントロールの限界に関する理解

OWASP／Cloud Security Alliance
「OWASP Secure Medical Device Deployment
Standard Version 2.0」（2018年8月7日）
(https://www.owasp.org/images/9/95/OWASP_Secure_Medical_Devices_Deployment_St
andard_7.18.18.pdf)
• 目的：医療施設内における医療機器の
セキュアな導入のための包括的な指針を
提供する
• PROJECT LEAD: Christopher Frenz
• CONTRIBUTORS: K S Abhiraj、Hillary
Baron、Christian Dameff、Aaron
Guzman、Siren Hofvander、Ashish
Mehta、Brian Moussalli、Michael Roza、
Igor Amorim Silva、Srinivas Tatipamula 出典：「OWASP Secure Medical
Device Deployment Standard
Version 2.0」（2018年8月7日）

(1)調達時のコントロール
• セキュリティ監査／評価
• プライバシー・インパクト評価
• サポート評価（例．セキュリティパッチ当て）
(2)境界の防御
• ファイアウォール
• ネットワーク侵入検知／予防システム（NIDS／NIPS）
• プロキシサーバー／Webフィルター

(3)ネットワークセキュリティのコントロール
• ネットワークのセグメント化
• 内部ファイアウォール
• 内部ネットワークのNIDS／NIPS
• Syslogサーバー
• ログのモニタリング
• 脆弱性のスキャニング
• DNSシンクホール

(4)デバイスセキュリティのコントロール
• デフォルト認証情報の変更
• アカウントのロックアウト
• セキュアな転送の実現
• ファームウェア／ソフトウェアのスペア・コピー
• デバイス構成のバックアップ
• ベースライン構成
• 暗号化ストレージ
• 異なるユーザーアカウント（例．特権ユーザー）
• 管理インタフェースへのアクセス制限
• メカニズムの更新
• 法令遵守のモニタリング
• 物理的セキュリティ

(5)インタフェースと中央ステーションのセキュリティ
• OSのハードニング
• 暗号化された転送
• メッセージセキュリティ – HL7 v3セキュリティ標準規格
(6)セキュリティテスト
• ペネトレーションテスト
(7)インシデント対応
• インシデント対応計画
• 模擬的なシンシデント

Cloud Security Alliance 「Cloud Security
Alliance Health Information Management
Working Group Co-Chair Dr. Jim Angle to
Present at HIMSS」（2019年11月20日）
(https://cloudsecurityalliance.org/press-releases/2019/11/20/cloud-security-alliance-health-information-
management-working-group-co-chair-dr-jim-angle-to-present-at-himss/)
• HIMSS Global Health Conference & Exhibition
• 日時：2020年3月11日午後2:30～（現地時間）
• 会場：米国フロリダ州オーランド
• テーマ：“Managing the Risk for Medical Devices
Connected to the Cloud”

薬害エイズ事件の教訓を活かす

医療機器サイバーセキュリティにおけるOWASPとCSAの連携

More Related Content

What's hot (20)

Similar to 医療機器サイバーセキュリティにおけるOWASPとCSAの連携 (20)

More from Eiji Sasahara, Ph.D., MBA 笹原英司 (20)

Recently uploaded (9)

医療機器サイバーセキュリティにおけるOWASPとCSAの連携