【ITニュース解説】[PR]改正薬機法への対応を機にセキュリティを強化—積水メディカルのSBOM管理

積水メディカルが改正薬機法への対応をきっかけに、ソフトウェアのセキュリティ強化を行った事例は、現代のシステム開発における重要な課題と解決策を示している。特に、医療分野のような人命に関わるシステムでは、その信頼性と安全性が何よりも求められる。

まず、改正薬機法について説明する。薬機法とは「医薬品、医療機器等の品質、有効性及び安全性の確保等に関する法律」の略称だ。この法律が改正され、医療機器として利用される「プログラム」が新たに規制対象となった。これは、ソフトウェアが医療行為に直接影響を与えるケースが増え、そのサイバーセキュリティ対策が必須になったことを意味する。例えば、診断支援を行うAIプログラムや、治療機器を制御するソフトウェアなどがこれに該当する。これらのプログラムに脆弱性があれば、誤作動や情報漏洩といった重大な事故につながる可能性があるため、国としてその安全性と信頼性を保証する必要があるのだ。

積水メディカルは以前から医療機器プログラムを開発していたが、この法改正を受けて、改めて自社のソフトウェアセキュリティ体制を見直すことになった。彼らが直面した課題の一つは、現代のソフトウェア開発において不可欠となっているオープンソースソフトウェア（OSS）の利用と、それに伴うセキュリティリスクの管理だった。

オープンソースソフトウェアとは、ソースコードが一般に公開され、誰もが自由に使用、改変、再配布できるソフトウェアのことだ。多くのソフトウェア開発で、ゼロからすべてを作るのではなく、既存のOSSコンポーネント（部品）を組み合わせて効率的に開発が進められている。これは開発コストや時間を大幅に削減できるメリットがある一方で、新たなセキュリティ上の課題を生み出す。OSSは世界中の開発者によって改善されていくが、その分、未知の脆弱性が発見される可能性も常に存在する。従来のセキュリティ対策は、自社で開発した部分の脆弱性診断が中心だったため、組み込んだOSSの脆弱性まで網羅的に把握し、管理することは非常に困難だった。膨大な数のOSSを一つ一つ手動で調べていくのは現実的ではない。

そこで登場するのが、SBOM（Software Bill of Materials）という概念だ。SBOMとは、ソフトウェアに含まれるすべてのコンポーネント（部品）とその依存関係、バージョン情報などをリスト化したもの、いわば「ソフトウェアの部品表」だ。製品にどのOSSが、どのバージョンで、どのように利用されているかを明確にすることで、もしあるOSSに脆弱性が発見された場合でも、その影響を受けるソフトウェアを迅速に特定し、対処することが可能になる。これは、製造業である特定の部品に欠陥が見つかった際、その部品がどの製品の、どの製造番号に搭載されているかを知っていれば、対象となる製品だけを効率的に回収・修理できるのと同様だ。ソフトウェアも同様で、SBOMがあれば、特定の脆弱性を持つ部品が使われているソフトウェアを素早く見つけ出し、修正パッチの適用などの対策を講じられるのだ。

積水メディカルは、このSBOM管理を導入することで、法規制への対応と、継続的なセキュリティ強化を目指した。彼らは自社での脆弱性診断やOSS管理が困難であると判断し、外部の専門家であるVeriserve社に協力を依頼した。Veriserveは当初、手動でOSSのリストアップや脆弱性確認を行っていたが、作業の膨大さから、より効率的なSBOM管理ツールの導入を提案した。

導入されたのは、Veriserveが提供するSBOM管理ツール「Vex」だ。Vexは、ソフトウェアのソースコードを解析し、含まれるOSSを自動的に特定し、それらの既知の脆弱性情報をデータベースと照合して検出する。これにより、積水メディカルの医療機器プログラムにどんなOSSが使われていて、それぞれにどんな脆弱性が潜んでいるのかが、これまでになく明確に可視化されるようになった。

このSBOM管理の導入によって、積水メディカルは複数のメリットを得られた。第一に、法改正で求められるサイバーセキュリティ対策に効率的に対応できるようになったこと。第二に、ソフトウェア内の潜在的な脆弱性を早期に発見し、対応できるようになり、製品の安全性を飛躍的に高められたこと。第三に、脆弱性対応のプロセスが標準化・効率化され、開発チームの負担が軽減されたこと。そして何よりも、単なる一時的な法対応に終わらず、将来にわたってソフトウェアのセキュリティ水準を維持・向上させるための継続的な基盤を構築できた点だ。SBOMは一度作成して終わりではなく、ソフトウェアの更新や改変があるたびに最新の状態を維持することが重要となる。Vexのようなツールを使うことで、この継続的な管理が容易になる。

システムエンジニアを目指す皆さんにとって、この積水メディカルの事例は非常に示唆に富んでいる。今後、あらゆる産業分野でソフトウェアが中心的な役割を担い、その安全性と信頼性がますます重要になる。ソフトウェアを構成する部品を正確に把握し、その脆弱性を管理するSBOMの考え方は、これからのシステム開発において不可欠なスキルとなるだろう。法規制の遵守はもちろんのこと、顧客からの信頼を得て、安全なシステムを提供するためには、SBOMのような具体的な技術と管理体制を理解し、活用していくことが求められる。ソフトウェアサプライチェーン全体のセキュリティを確保するという視点は、現代のシステムエンジニアにとって避けて通れないテーマとなるはずだ。