別

添

医療機器のサイバーセキュリティ導入に関する手引書
背景
我が国においては、医療機器の製造販売を規制する「医薬品、医療機器等の品質、有効性及び安全性の
確保等に関する法律」
（昭和 35 年法律第 145 号。以下「医薬品医療機器等法」という。）に紐づく「医薬
品、医療機器等の品質、有効性及び安全性の確保等に関する法律第四十一条第三項の規定により厚生労働
大臣が定める医療機器の基準」
（平成 17 年厚生労働省告示第 122 号。以下「基本要件基準」という。
）に
よって、サイバーセキュリティを含むリスクマネジメントが求められ、使用者に対する情報提供や注意喚
起を含めて最新の技術に立脚して医療機器の安全性を確保しなくてはならないこととされている。
具体的には、
「医療機器におけるサイバーセキュリティの確保について」
（平成 27 年４月 28 日付け薬
食機参発 0428 第１号・薬食安発 0428 第１号・厚生労働省大臣官房参事官（医療機器・再生医療等製品
審査管理担当）
・医薬食品局安全対策課長連名通知）によって、サイバーリスクが懸念される医療機器の
うち、少なくとも、無線又は有線により、他の医療機器、医療機器の構成品、インターネットその他のネ
ットワーク、又は USB メモリ等の携帯型メディア（以下「他の機器・ネットワーク等」という。
）との
接続が可能な医療機器について、製造販売業者は、不正なアクセス等が想定される医療機器については、
サイバーリスクを含む危険性を評価・除去し、防護するリスクマネジメントを行い、使用者に対する必要
な情報提供や注意喚起を含めて適切な対策を行うこととしている。また、必要なサイバーセキュリティが
確保されていない医療機器については、使用者に対して必要な注意喚起を行うことや、サイバーセキュリ
ティの確保が適切に実施されるよう、医療機関に対し、必要な情報提供を行うとともに、必要な連携を図
ることが示されている。
さらに、医療機器のサイバーセキュリティに関する具体的なリスクマネジメント、サイバーセキュリテ
ィ対策及び処置の考え方については、
「医療機器のサイバーセキュリティの確保に関するガイダンスにつ
いて」
（平成 30 年 7 月 24 日付け薬生機審発 0724 第１号・薬生安発 0724 第１号・厚生労働省医薬・生
活衛生局医療機器審査管理課長・医薬安全対策課長連名通知）として取りまとめられている。医療機器の
使用環境の特定、意図する使用環境におけるサイバーリスクに対するリスクアセスメントの実施、必要な
対策、その結果リスクが受容可能になることの説明、サイバーリスクに伴う医療機器の不具合等について
も GVP 省令における安全性情報として取り扱い、販売業者・貸与業者や修理業者の協力のもと、医療機
関と連携を取り、適切な市販後の安全確保が求められている。
医療機器製品は、複数国に流通する場合が多いこと、国境の枠組みを超えてサイバー攻撃が行われる可
能性が高いと考えられていることから、サイバーセキュリティ対応の国際調和を図ることを目的として、
国際医療機器規制当局フォーラム（International Medical Device Regulators Forum： IMDRF）におい
て、医療機器サイバーセキュリティガイダンス N60「Principles and Practices for Medical Device
Cybersecurity（医療機器サイバーセキュリティの原則及び実践）
」
（以下「IMDRF ガイダンス」という。
）
が取りまとめられ、
「国際医療機器規制当局フォーラム(IMDRF)による医療機器サイバーセキュリティの
原則及び実践に関するガイダンスの公表について(周知依頼)」(令和 2 年 5 月 13 日付け薬生機審発 0513

1