【CIO 誌報道】コネクテッド医療機器のセキュリティが新段階へ！SV Surveillance が Applus+ と提携、現地ワンストップのコンプライアンス支援を展開

CIO 誌 2026 年 7 月号｜取材：施鑫澤　文：林裕洋

スマート医療の普及とデジタル化、コネクテッド医療機器の主流化に伴い、医療セキュリティの攻撃対象領域は拡大し、インシデントは急増しています。医療データ伝送やソフトウェア更新、外部接続に広く使われる USB インターフェースは、悪意ある攻撃とファジングの標的になっています。機器とコンピュータ間で Bluetooth（BLE）、Wi-Fi、LTE を介してやり取りされるユーザーデータと制御コマンドは、エンドツーエンドの暗号化と保護がなければ、中間者攻撃やデータの窃取・改ざんの格好の獲物となります。

医療機器のソフトウェアはオープンソースのサードパーティ部品（Apache Log4j など）に大きく依存しており、ゼロデイ脆弱性が一つ発生すればメーカーのクラウド資産と医療ネットワークが重大な脅威にさらされます。各国の保健当局は受動的なガイダンスから強制的な法制化へ転換しており、米 FDA、EU、台湾 TFDA などが相次いで関連規制を制定しています。

Secure Vectors Surveillance（SV Surveillance）の Vincent Huang CEO は、金融のセキュリティ事故は財産の損失や情報漏えいにとどまるが、医療の事故は「人の命」に直結すると指摘します。ICU で稼働中のインスリンポンプや高周波治療システムが中間者攻撃を受ければ、投与量や装置パラメータが改ざんされ、臨床的にはショックや死亡に至りかねません。SV Surveillance のサイバーセキュリティラボはスペインの Applus+ Laboratories と手を組み、現地サービスと国際的信頼性を兼ね備えた「台湾セキュリティラボ」を構築。台湾の医療機器メーカーのセキュリティ検証を支援し、国際市場の獲得を後押しします。

世界の医療セキュリティ規制が加速、一回限りの認証の時代は終焉

米国は医療セキュリティ立法の先駆けです。連邦議会が Section 524B を可決して以降、完全なサイバーセキュリティ管理計画、SBOM、継続的な脆弱性監視・修正の証拠を欠く市販前申請は、実質審査に入る前に即座に不受理（Refuse to Accept, RTA）となります。EU は MDR により、一般安全・性能要件（GSPR）の情報セキュリティとソフトウェアライフサイクル規定への適合を義務付け、2026 年 9 月にはサイバーレジリエンス法の本格実施が控えます。台湾 TFDA もコネクテッド医療機器とソフトウェア医療機器向けのサイバーセキュリティ審査ガイダンスを導入しました。

「一度認証すれば生涯適合」という従来モデルは終わり、市販前審査、市販後の継続監視（PMS）、脆弱性修正、期限付き報告を含む「動的コンプライアンス」に置き換わりました。こうした複雑な要件を社内の IT や開発チームだけで満たそうとするメーカーは多いものの、実際には規制の水準に届かないのが実情です。

Huang 氏によれば、自前対応と専門的な第三者ラボの差は歴然です。ペネトレーションテストでは開発チームに盲点がある一方、ラボのエンジニアはハッカーの視点でハードウェア、チップ、ネットワーク層、アプリケーション層、ファームウェア、API、アプリ、バックエンドクラウドまで侵入を模擬します。ファジングは極めて高価なフレームワークと自動化環境を要し、一般の開発チームが自前で揃えるのはほぼ不可能。ファームウェアのリバース解析ではチップや MCU を物理的に分解し、STM32 の読み出し保護のような保護機構を回避する深いハードウェアリバースの経験が必要です。だからこそ FDA や EU ノーティファイボディは、独立した第三者ラボによるセキュリティ評価報告書を強く信頼するのです。

SV Surveillance と Applus+ Laboratories が台湾の医療機器セキュリティ検証プラットフォームを構築

スペインの Applus+ Laboratories は、自動車、航空、エネルギー、インフラなどにまたがる試験・検査・認証企業です。セキュリティリスクが指数関数的に増大し、手術機器から診断装置、埋め込み型機器までが接続機能を持ついま、米 FDA、EU、中国 NMPA、台湾 TFDA のいずれも強制的なセキュリティ審査基準を打ち出しています。

AI 活用の急拡大は新たな課題ももたらしました。申請書類の作成側も審査側も AI を補助ツールとして多用していますが、厳格な環境隔離とデータ管理がなければ AI は「ハルシネーション」を起こし、臨床研究報告に他製品のデータを混入させ、FDA 審査で大量の誤りが見つかる事態を招きます。EU は「AI Act」で先行し、世界でも ISO 42001 などによる AI モデルのトレーサビリティとリスク評価が求められつつあります。

「約 20 年前、セキュリティコンプライアンスは金融・決済分野に集中していました。しかしこの 5 年であらゆるコネクテッド機器産業に広がりました。だからこそ今、台湾市場に参入し、豊富な経験と技術力で台湾の医療機器産業に必要なコンプライアンスサービスを提供したいのです」と Applus+ Laboratories アジア地区ゼネラルマネージャーの Josep Prat 氏は説明します。「SV Surveillance のサイバーセキュリティラボとの協働により、台湾の医療機器メーカーは現地でコンプライアンス試験を行え、製品を欧州に送る煩雑なプロセスと時間コストを省けます。」

ギャップアセスメントから上市まで、ワンストップの国際コンプライアンス支援

規制が高速で更新されるなか、メーカーは審査で鉛いセキュリティの問いに直面します。台湾セキュリティラボは国際的なワンストップソリューションを三つの強みで提供します。

第一に、Applus+ Laboratories の自動車、決済、チップハードウェア、通信暗号、医療機器に精通する世界 200 名超の専門家ネットワークと連携し、国際暗号規格やブラックボックス／ホワイトボックスセキュリティ試験に基づく最深度の試験支援を提供します。第二に、グループは EU MDR のダブルノーティファイボディ証明書（NB 2764／NB 3121）を直接保有しており、SV Surveillance ラボが現地で技術文書審査と技術試験を完了すれば、セキュリティ評価報告書はダブル NB の適合性評価に直接接続され、国際間の調整と規制対応の時間を大幅に短縮できます。

第三はライフサイクル全体にわたる是正支援です。初期の要求仕様書（SRS）・設計文書（SDD）段階のセキュリティアーキテクチャ設計コンサルティング、中期の脅威モデリングと SBOM 作成、上市前の技術試験、そして万一の追加資料要求の際の「コンプライアンスギャップ是正と補完試験」支援まで専門家が伴走します。Huang 氏は、多くのメーカーが FDA の追加資料要求や EU NB の指摘を受けて 30 日以内の補正を求められて初めてラボを探すと指摘します。その時点では基盤アーキテクチャや安全制御の変更が必要になり、上市スケジュールが大幅に遅延しがちです。ワンストップサービスなら是正対応を適切に処理し、スケジュールを守れます。

Security by Design が新しい標準に

医療機器がサイバーデバイスの時代に入るなか、真の課題は試験を数項目足すことではなく、製品開発プロセス全体の見直しです。開発完了後にペネテストや脆弱性スキャンを実施すれば十分と考えがちですが、現行の国際規制は設計・開発・検証・上市・運用を網羅する完全なセキュリティ管理体制を求めており、セキュリティは設計の最初期から組み込む必要があります。

要求定義の段階から、接続機能の有無、個人情報の有無、潜在的な攻撃面、そして攻撃を受けた場合に患者の安全に及ぶ影響を同時に考慮しなければなりません。「スマート血圧計を例にすると、ハードウェア本体に加え、ファームウェア、スマホアプリ、クラウドプラットフォーム、バックエンドデータベース、さらに AI 分析サービスまで含まれます。本体だけを試験してもシステム全体の安全は確認できません」と Huang 氏は説明します。「全体アーキテクチャから出発し、コンポーネント間のデータフロー、権限管理、通信方式を分析し、脅威モデリングで攻撃され得る箇所を特定して初めて、完全な防護が成立します。」

ISO、SBOM、リスクマネジメントを統合したセキュア開発プロセス

医療機器のセキュリティ設計は単一の法規ではなく複数の国際規格の統合です。ISO 13485 が品質管理を、IEC 62304 が医療ソフトウェアのライフサイクルを、IEC 81001-5-1 がソフトウェア開発へのセキュリティ組み込みを担い、ISO 14971 はセキュリティリスクと臨床リスクを統合的に評価します。リスクマネジメントこそが今の医療機器セキュリティの核心です。Bluetooth 通信が中間者攻撃を受ければ医師は誤った情報を受け取り、誤診や誤治療につながりかねません。セキュリティ脅威と臨床リスクを紐づけ、リスクの大小に応じて暗号化、相互認証、電子署名、リプレイ防止、異常検知などの対策を設計する必要があります。

製品の安全設計に加え、サプライチェーンセキュリティも当局の重点となりました。SBOM（ソフトウェア部品表）はハードウェアの BOM に相当し、製品内の全ソフトウェアコンポーネント、サードパーティライブラリ、OSS パッケージ、依存関係、バージョンを記録します。重大な脆弱性が世界で公表された際、影響の有無を即座に確認し修正に着手できます。

規制の進化が続くなか、医療機器産業の競争の重心は機能・性能・価格から、完全なセキュア開発能力の有無へと移っています。これからの勝負は革新的な機器を作れるかだけでなく、品質管理、ソフトウェア工学、リスクマネジメント、情報セキュリティを真に一つの開発体系に統合できるかにかかっています。セキュリティを規制要件から製品競争力へ転換することが鍵です。

SV Surveillance 公式サイトでは医療機器セキュリティコンプライアンスに関するリソースをご案内しています（www.securevectorlab.com）。研修の日程・お申し込みは「CRA・MDR・ISO 13485 研修」ページを、CRA 規制の詳細解説は「CRA カウントダウン：台湾 ICT メーカーのコンプライアンスガイド」をご覧ください。