安全と同様にセキュリティを扱う：FDAによる UL 2900-2-1:2018 認定の開発者にとっての意味

医療機器製造業者とよく話し合う問題のひとつは、変化する脅威の状況にどのように対応するかです。セキュリティの課題は常にニュースで取り上げられており、定期的に新しい脆弱性が公開されています。規制当局は状況の変化に対応する必要のある立場にあり、製造業者もそのように期待しています。つまり、製造業者は絶えることのない脆弱性の進化に対応できるよう、開発プロセスを将来に渡って担保する必要があります。しかし、年単位での機器開発に対して、セキュリティの変化のスピードは早すぎます。果たして適切な対応ができるのでしょうか？

答えはUL 2900のように承認された規格と製造業者の開発プロセスを揃えることです。 また、セキュリティ専門家の専門知識をプロジェクトチームに提供することです。

開発プロセスを将来に渡って担保するために、セキュリティプログラムの作成と成熟のための専門のセキュリティ担当チームが必要です。全体的な取り組みとが必要なのは、UL 2900に基づくさまざまなセキュリティ活動は、互いに補完し合うことで、システム内のさまざまなセキュリティ上の欠陥を見つけられるからです。

UL 2900は、ライフサイクルのさまざまな局面でセキュリティリスクを発見するのを助けてくれる特定の分析やテストの手法を推奨しており、以下を含みます：

• セキュリティに特化した静的解析（SAST）：バッファオーバーフローのようにソースコード内の問題を検知。
• ソフトウェア・コンポジション解析（SCA）：サードパーティやオープンソース・ソフトウェアの仕様における問題の検知。
• ファジングテスト：予期せぬ入力を処理する際の問題の検知。
• 動的アプリケーション・セキュリティ・テスト（DAST）：アプリケーションの実行に伴う問題、例えば認証に関連する問題の検知。
• インタラクティブ・アプリケーション・セキュリティ・テスト（IAST）：Webアプリケーションの脆弱性を確認して検知。

単にテスト技術を組み合わせるだけでは、医療機器の提出または寿命におけるセキュリティを確保するには不十分です。セキュリティを適切に検討するには、設計段階で特定のスキルや専門知識が必要です。たとえば、暗号化などの領域は、効果的に適用するためによく理解していなければなりません。