医療機関における医療機器のサイバーセキュリティの確保等のために必要な取組の研究

文献情報

文献番号

202406013A

報告書区分

総括

研究課題名

医療機関における医療機器のサイバーセキュリティの確保等のために必要な取組の研究

研究課題名（英字）

課題番号

24CA2013

研究年度

令和6(2024)年度

研究代表者(所属機関)

塩﨑　英司(一般社団法人　国立大学病院長会議（事務局）)

研究分担者(所属機関)

新　秀直(東京大学医学部附属病院企画情報運営部)
中野　壮陛(公益財団法人医療機器センター　医療機器産業研究所)
池田　浩治(国立大学法人東北大学　病院臨床研究推進センター)
宮本　裕一(埼玉医科大学　保健医療学部　医用生体工学科)
三宅　学(独立行政法人医薬品医療機器総合機構　医療機器調査部)

研究区分

厚生労働行政推進調査事業費補助金行政政策研究分野厚生労働科学特別研究

研究開始年度

令和6(2024)年度

研究終了予定年度

令和6(2024)年度

研究費

5,937,000円

研究者交替、所属機関変更

研究報告書（概要版）

研究目的

本研究は、国の重要インフラである医療分野における、医療機器のサイバーセキュリティ対策（CS）の体制を整えることを目的にして、医療機関及び製造販売業者の連携における課題と、医療機関内における対策と内部連携（医療機器安全管理責任者と医療情報システム安全管理責任者及び、各医療機器の担当部門間）の課題、及び製造管理や品質管理で確認するべき医療機器のサイバーセキュリティ対策等の課題について取り組んだ。

研究方法

研究班を医療機器提供側である製造販売業者からアプローチするグループと、使用者である医療機関側からアプローチするグループに分け、2方向から研究を進めた。製造販売業者からのアプローチでは、大学関係者と医薬品医療機器総合機構の研究者と、研究協力者として一般社団法人日本医療機器産業連合会、一般社団法人米国医療機器・IVD工業会、欧州ビジネス協会医療機器・IVD委員会、医薬品医療機器等法登録認証機関協議会、独立行政法人医薬品医療機器総合機構の関係者による協議に基づき、医療機器関連の業界団体、都道府県衛生主管部等の管理するメーリングリストから、全国の医療機器製造販売業者等宛てに「医療機関における医療機器のCSの確保等のために必要な取組の研究に対する協力について」のアンケートを実施した。次に医療機関側からアプローチでは、関係者へのヒアリングとして、日本医師会にCS対策に関する体制の把握と医療者への周知方法、日本臨床工学技士教育施設協議会には人材育成の観点から、臨床工学技士養成課程におけるCS対策の教育状況の確認と今後の見通しについて把握、その後に大学病院からCS対策に関する先進的な取組みを把握、以上のヒアリングを参考に、調査票を作成して、研究協力団体（四病協：日本医療法人協会、日本精神科病院協会、日本病院会、全日本病院協会）から推薦された9医療機関と、国立大学法人病院、1県立病院に対して課題を実地調査した。また、厚生労働科学研究の「安全な地域医療の継続性確保に資する医療機関における情報セキュリティ人材の育成と配置に関する研究」の研究班との意見交換を行った。以上のヒアリングと実地調査を基にして、研究協力団体と国立大学病院に対してアンケート調査を行い、その結果をグループで討議して分析を進めた。

結果と考察

製造販売業者からアプローチしたグループは、全国の医療機器製造販売業者等441社からWEBシステムを利用したアンケート調査で有効な回答を得た。その結果を分析し、次の課題及び問題点が考えられた。①CS対策に関連する活動及びCS対策に関連するリスクマネジメント活動を実施する要員の拡充の必要性②医療機器製造販売業者等におけるCS対策の運用の適切性に関する確認方法の検討が必要である。③ 医療機器製造販売業者等と使用者である医療機関との連携不足の課題。④第三種医療機器製造販売業許可取得者に対する支援については課題ごとに具体策を検討する事が必要である。以上4点の課題が確認された。
医療機関側からアプローチするグループは、①医療機関に対して製造販売業者からの情報提供は、情報システム系については、徐々になされている傾向にあるが、医療機器関係については、①問いかけても情報提供がないことが多い。②何をどこまでやれば良いか医療機関側でも把握ができ、他院との相対化ができるような情報システム全体の内容と医療機器を整合させた形での医療機関向けのチェックリストが必要である。③信頼境界（責任分解点に近い概念）を明示した契約書のひな型については、専門家を交えて医療機関の機能に応じて複数のパターン作成し公開することが有益である。④院内のシステム担当者と医療機器担当者の連携については、情報システムについて、責任を持つ体制が構築されつつあるが、医療機器等については、各部門での対応に委ねているところが多かった。

結論

製造販売業者としては、①CS対策に関連するリスクマネジメント活動を実施する要員の拡充、②CS対策の運用の適切性に関する確認方法の検討、③使用者である医療機関との連携、および④第三種医療機器製造販売業許可取得者に対する支援、の４点については、今後更なる検討が必要であると考えられた。
　また、医療機関側としては医療機器のCS対策が実際の対応まで落とし込めている状況ではないことが浮き彫りとなった。今後、人材や予算、手段なども含めて、取り組める内容を検討し分かりやすく示すとともに、自動化できる仕組みの検討も必要であると考えられた。