背景
我が国においては、医療機器の製造販売を規制する「医薬品、医療機器等の品質、有効性及び安全性の
確保等に関する法律」（昭和 35 年法律第 145 号。以下「医薬品医療機器等法」という）に紐づく「医薬
品、医療機器等の品質、有効性及び安全性の確保等に関する法律第四十一条第三項の規定により厚生労働
大臣が定める医療機器の基準」
（平成 17 年厚生労働省告示第 122 号。以下「基本要件基準」という）に
よって、サイバーセキュリティを含むリスクマネジメントが求められ、使用者に対する情報提供や注意喚
起を含めて最新の技術（State of the Art）に立脚して医療機器の安全性を確保しなくてはならないこと
とされている。
具体的には、
「医療機器におけるサイバーセキュリティの確保について」（平成 27 年４月 28 日付け薬
食機参発 0428 第１号・薬食安発 0428 第１号・厚生労働省大臣官房参事官（医療機器・再生医療等製品
審査管理担当）
・医薬食品局安全対策課長連名通知）によって、サイバーリスクが懸念される医療機器の
うち、少なくとも、無線又は有線により、他の医療機器、医療機器の構成品、インターネットその他のネ
ットワーク、又は USB メモリ等の携帯型メディア（以下「他の機器・ネットワーク等」という）との接
続が可能な医療機器のうち、不正なアクセス等が想定されるものについて、製造販売業者は、サイバーリ
スクを含む危険性を評価・除去し、防護するリスクマネジメントを行い、使用者に対する必要な情報提供
や注意喚起を含めて適切な対策を行うこととしている。また、必要なサイバーセキュリティが確保されて
いない医療機器については、使用者（患者が使用者である場合も含む）に対して必要な注意喚起を行うこ
と、及び医療機関に対して、サイバーセキュリティの確保が適切に実施されるよう必要な情報提供を行う
こと並びに必要な連携を図ることが示されている。
さらに、医療機器のサイバーセキュリティに関する具体的なリスクマネジメント並びにサイバーセキ
ュリティ対策及び処置の考え方については、
「医療機器のサイバーセキュリティの確保に関するガイダン
スについて」（平成 30 年 7 月 24 日付け薬生機審発 0724 第１号・薬生安発 0724 第１号・厚生労働省医
薬・生活衛生局医療機器審査管理課長・医薬安全対策課長連名通知）として取りまとめられている。製造
販売業者は、医療機器の使用環境の特定、意図する使用環境におけるサイバーリスクに対するリスクアセ
スメントの実施、必要な対策、その結果リスクが受容可能になることの説明、サイバーリスクに伴う医療
機器の不具合等についても GVP 省令における安全管理情報として取り扱い、販売業者、貸与業者及び修
理業者の協力のもと、医療機関と連携を取り、適切な市販後の安全確保が求められている。
医療機器製品は、複数国に流通する場合が多いこと、国境の枠組みを超えてサイバー攻撃が行われる可
能性が高いと考えられていることから、サイバーセキュリティ対応の国際調和を図ることを目的として、
国際医療機器規制当局フォーラム（International Medical Device Regulators Forum： 以下「IMDRF」
という）において、医療機器サイバーセキュリティガイダンス N60「Principles and Practices for Medical
Device Cybersecurity（医療機器サイバーセキュリティの原則及び実践）」
（以下「IMDRF ガイダンス」
という）が取りまとめられ、
「国際医療機器規制当局フォーラム（IMDRF)による医療機器サイバーセキュ

3

4 / 39