「IEC 81001-5-1の実装論」ISO13485・IEC 62304との接続＿医療機器サイバーセキュリティの本当の課題 第３回

執筆者：酒井 由夫　Medical Software Consulting（MSC）

はじめに

前回は、米国FDA Section 524Bが「reasonable assurance（合理的保証）」を文書と成果物で証明させる法的基準であることを解説しました。

今回は視点を日本に戻し、実装論に踏み込みます。
日本の規制要件はあくまで基本要件基準第12条第3項ですが、
条文だけでは何を作ればよいのか分かりません。

ここで厚生労働省・PMDAが示しているのが、
JIS T 81001-5-1（IEC 81001-5-1）のプロセスと
その実施結果で第12条第3項の充足を説明する
という道筋です。

第3回では、
この条文と規格の接続構造、
そしてIEC 81001-5-1を既存のISO 13485／IEC 62304の枠組みにどう実装するのかを整理します。
あわせて、策定が進むISO/CD 81001-5-2の動きを紹介します。

1. 第12条第3項とIEC 81001-5-1の接続

1-1 条文は4つの要求に分解できる

第12条第3項の適用対象は、
他の機器・ネットワーク等と接続する、
または外部からの不正アクセスが想定される機器です。

そのうえで条文は、

1. 動作環境・ネットワークの使用環境等を踏まえた要件の特定

2. サイバーセキュリティに係る危険性の特定・評価とその低減管理

3. そしてライフサイクルの全てにおける計画に基づく設計・製造

を求めています。

リスクの特定・評価はISO 14971の枠組みで実施し、
ライフサイクル計画には脆弱性の監視やEOL／EOSの通知といった
市販後の活動が含まれます。

1-2 「規格のプロセスと実施結果で説明する」という運用

令和5年5月23日付け薬生機審発0523第1号
「医療機器の基本要件基準第12条第3項の適合性の確認について」は、
承認・認証申請を行う製造販売業者等に対し、
JIS T 81001-5-1等への適合性を確認する際の留意事項を示し、
その結果または結果をまとめた社内文書等を特定することを求めています。

一般医療機器についても同様の確認が必要とされています。

つまり実務上は、
第12条第3項という抽象的な要求を、
IEC 81001-5-1の箇条4〜9のプロセスとその実施結果に翻訳して説明することが
標準ルートになっているということです。

2. IEC 81001-5-1は「新しい手順書」ではない

2-1 スコープはISO 13485 7.3／IEC 62304と重なる

多くの企業がここでつまずきます。
IEC 81001-5-1を独立したセキュリティ規格として読み、
既存のQMSとは別立ての「セキュリティ手順書」を作ってしまうのです。

しかしIEC 81001-5-1が対象とする領域は、
ISO 13485の7.3（設計・開発）のなかで
IEC 62304が担っている範囲と重なっています。

2-2 正解は「並列」ではなく「追加」

IEC 81001-5-1の構造は、
IEC 62304のライフサイクルプロセスと
ISO 14971のリスクマネジメントプロセスに対して、
セキュリティに必要なアクティビティを追加するというものです。

したがって実装の正解は「追加」であって「並列」ではありません。

開発計画書、
要求仕様書、
アーキテクチャ設計書、
検証計画、
構成管理手順、
問題解決手順など、
すでにあるドキュメントの中にセキュリティのアクティビティを埋め込む。

これが第1回で指摘した「開発と規制の分断」を生まない実装です。

3. 箇条ごとに「何を示すか」

通知が求める実施結果を箇条ごとに整理すると、次のようになります。

注目すべきは箇条8です。
通知は構成管理プロセスの確認方法として、
当該医療機器のSBOMを適切に作成することを明記しています。
SBOMは米国524Bだけの話ではないということです。

また箇条5では、
意図する使用環境をシステム構成図やネットワーク構成図等で明示することが求められています。

4. 策定中：ISO/CD 81001-5-2

4-1 何が標準化されようとしているのか

もうひとつ重要な動きがあります。

ISO/CD 81001-5-2
"Health software and health IT systems safety, effectiveness and security
― Part 5-2: Security Risk Management for Manufacturers"
が策定中です。

ISO/TC 215で2026年7月10日にCD（委員会原案）が登録され、
7月17日からCDコンサルテーションが開始されました。

IEC 81001-5-1が
「開発プロセスにセキュリティを埋め込む規格」だとすれば、
ISO 81001-5-2は
「セキュリティリスクをどう管理するかの規格」です。

発行後は両者を併用することになります。

4-2 いま打つべき手

打つべき手は、発行を待つことではありません。

箇条7のセキュリティリスクマネジメントを、
自社のISO 14971 リスクマネジメントファイルとどう接続するかをいま決めておくことです。

決まっていればISO 81001-5-2は「増築」で済み、
決まっていなければ「建て直し」になります。

まとめ：今回の要点

次回予告：第4回「SBOM実装論 ― 日本版ガイドラインとFDA要求をどう1本にまとめるか」

《著者プロフィール》酒井 由夫｜Medical Software Consulting（MSC）

IEC 62304・ISO 14971・IEC 81001-5-1・FDAサイバーセキュリティ規制・SaMD規制を専門とする医療機器ソフトウェア規制コンサルタント。
日本のスタートアップから大手医療機器メーカー、海外展開を目指す企業まで、規制対応と製品戦略の統合支援を行う。

詳細プロフィール・個別相談をご希望の方は：
酒井さんのコンサルティング会社サイトはこちら

医療機器ソフトウェア開発でお困りの方へ

「自社の開発体制、このままで本当に大丈夫だろうか？」
「海外規制も見据えた設計・文書化ができているか不安…」
そんな医療機器スタートアップ・開発チームの皆さまへ。
xCAREでは、実務経験豊富なエキスパートが並走し、後悔しない開発体制づくりを支援しています。
まずはお気軽に、現在の課題や懸念をお聞かせください。

xCAREへのご相談はこちら（無料個別相談あり）