以前の記事で、医療機器のセキュリティのお粗末さを紹介し、2015 年 11 月の Bloomberg の記事を使って、状況は深刻であり、この問題を解決して患者の安全やプライバシーを保護する業界としての取り組みが必要であることを説明しました。その記事の目的は、「過去と現在」という視点からこの問題を明らかにすることでしたが、ある読者から、Bloomberg の古い記事に偏り過ぎであり、この問題を解決しようとする現在の取り組みに言及していないという指摘を受けました。事実、そのブログ記事の発表と同じ日に FDA から声明が発表されており、医療機器のセキュリティ対策を強化するためのロードマップが示されています。この声明は、最近の脅威や調査の詳細だけでなく、医療機器のセキュリティ強化に関する業界の取り組みにも言及しています。

大前提として、セキュリティが欠如した医療機器の脅威が今も現実のものであり、存在することを覚えておく必要があるでしょう。たとえば、この記事(英文)では、サイバーセキュリティ研究者である Joshua Corman 氏の最近の体験が紹介されており、彼の娘さんが輸血後にある病院に入院したところ、使用した輸血ポンプにサイバー攻撃に対する既知の脆弱性があることがわかったそうです。また、最近の Black Hat カンファレンスの Whitescope の Billy Rios 氏と QED Secure Solutions の Jonathan Butts 氏によるライブセッションで実演され、この記事(英文)で解説されている、インスリンポンプのハッキングのような例もあります。

それではここで、前述の FDA のロードマップを検証し、今後の計画や予定を確認してみることにしましょう。このリンク付きの声明文には、2013 年 6 月 13 日に遡ってタイムラインが示されており、この件に関する FDA の見解が明記されています。

FDA は 2018 年 10 月 18 日に、「Content of Premarket Submissions for Management of Cybersecurity in Medical Devices」を発表しましたが、この草案には、サイバーセキュリティの点でのデバイス設計における業界に対する指針や推奨事項が示されています。また、潜在的にサイバーセキュリティのリスクがあるデバイスに対し、発売前に提出するよう FDA が推奨している文書にも言及しています。医療機器のセキュリティに対する市民の懸念を理解する試みとして、FDA は 2019 年 1 月 29 ～ 30 日に公開ワークショップの開催を予定しており、このワークショップでは、医療業界の関係者が上記の草案のガイドラインについて議論され、資産、脅威、脆弱性の特定において重要な要素となる可能性のある、「サイバーセキュリティの BOM（部品表）」に関連する擬態についても話し合われる予定です。

2018 年 10 月には、FDA の支援によって、MITRE Corporation の「Medical Device Cybersecurity Regional Incident Preparedness and Response Playbook」が開発されました。このプレイブックには、医療に携わる組織における具体的な対策が説明されており、これを活用することで、医療機器関連のサイバーセキュリティインシデントへの備えを強化することができます。さらには、製品開発者がこれを参考にすることで、患者のセキュリティに対する懸念に大きく影響する可能性のある潜在的な問題の多くを解決できるでしょう。FDA による「Medical Device Safety Action Plan」の詳細については、こちらのリンク(PDF,英文)を参照してください。

FDA は、過去の議題を記録しているだけでなく、セキュリティ強化の取り組みを前進させるため、業界のエキスパートにチームへの参加を呼びかけています。このことは間違いなく、セキュリティ強化に真剣に取り組み、各分野のエキスパートによる提言をまとめて、デバイス製造元からそれらのデバイスの購入を担当する病院関係者までのあらゆる関係者へと最終リソースを提供するべき時を迎えていることを示しています。このような協力体制のもとでこれらのデバイスのメリットを活かしつつ、セキュリティも確保されるようにするには、精度と妥当性が保証されるようにする必要があります。業界のすべての団体や関係者が協力し、製品のセキュリティを確保するための負担を共有する必要があります。

このような取り組みが成功するまでの間も、以下にご紹介するいくつかの方法を取り入れることで、セキュリティを確保することができます。多層型セキュリティアプローチが間違いなく最良の方法ですが、それは、多層型アプローチの各層によって、攻撃者のプロセスがはるかに困難になるためです。もう 1 つのお勧めする方法は、さまざまなワークステーションやその他のデバイスが接続共有ネットワークではなく、専用のネットワークに医療機器をセグメンテーションして置くことであり、こうすることで、追加のセキュリティ対策を回避しない限り、他のネットワークや機密情報にアクセスできなくなります。