リティに係る危険性を特定及び評価
するとともに、当該危険性が低減す
る管理が行われていなければならな
い。また、当該医療機器は、当該医
療機器のライフサイクルの全てにお
いて、サイバーセキュリティを確保
するための計画に基づいて設計及び
製造されていなければならない。
5

「危険性」と表現しているが、少し
リスクマネジメントにおいては、
誤解を招きやすい表現に思えます。 「危害」の他にも「ハザード」や「危
特定、識別するのは危害の大きさ
険状態」の特定を行いますが、そ
で、評価するのはその確率も考慮し れらを代表して「危険性の特定及
たリスクで、そのリスクの低減が望 び評価」と表現しているところで
まれる。「医療機器のサイバーセキ
す。また、基本要件基準において、
ュリティの確保に関するガイダンス 一貫して「リスク」を「危険性」
について」(平成３０年７月２４日
と記載しており、これらと整合を
付け薬生機審発０７２４第１号、薬 とるため「危険性」については元
生安発０７２４第１号)において
の記載のままとさせていただきま
は、「サイバーリスクとは、そうし
す。
た安全性や信頼性が損なわれ、危害
（harm）が生じるリスクと考えられ
る。」と記載され、現在作成中の手
引書においては、「サイバーセキュ
リティに関するリスク」と表現して
いる。
さらに、「医療機器におけるサイバ
ーセキュリティの確保について」
(平 成 2 7 年 ４ 月 2 8 日付け、
薬食機参発 0428 第１号、薬食安発
0428 第１号)においては、「サイバ
ーリスクについても既知又は予見し
得る危害としてこれを識別し、」と
記載している。
これらとも整合のある記載にしたほ
うがいいのではないか。
(変更案)
当該医療機器の機能に支障が生じる
又は安全性の懸念が生じるサイバー
セキュリティに係る危害を特定及び
そのリスクを評価するとともに、当

8 / 29