草榴社区

医疗机器製造业者とよく话し合う问题のひとつは、変化する胁威の状况にどのように対応するかです。セキュリティの课题は常にニュースで取り上げられており、定期的に新しい脆弱性が公开されています。规制当局は状况の変化に対応する必要のある立场にあり、製造业者もそのように期待しています。つまり、製造业者は絶えることのない脆弱性の进化に対応できるよう、开発プロセスを将来に渡って担保する必要があります。しかし、年単位での机器开発に対して、セキュリティの変化のスピードは早すぎます。果たして适切な対応ができるのでしょうか？

答えはUL 2900のように承认された规格と製造业者の开発プロセスを揃えることです。&苍产蝉辫;また、セキュリティ専门家の専门知识をプロジェクトチームに提供することです。

開発プロセスを将来に渡って担保するために、セキュリティプログラムの作成と成熟のための専門のセキュリティ担当チームが必要です。全体的な取り組みとが必要なのは、UL 2900に基づくさまざまなセキュリティ活動は、互いに補完し合うことで、システム内のさまざまなセキュリティ上の欠陥を見つけられるからです。

UL 2900は、ライフサイクルのさまざまな局面でセキュリティリスクを発見するのを助けてくれる特定の分析やテストの手法を推奨しており、以下を含みます：

• セキュリティに特化した静的解析（厂础厂罢）：バッファオーバーフローのようにソースコード内の问题を検知。
• ソフトウェア?コンポジション解析（厂颁础）：サードパーティやオープンソース?ソフトウェアの仕様における问题の検知。
• ファジングテスト：予期せぬ入力を処理する际の问题の検知。
• 动的アプリケーション?セキュリティ?テスト（顿础厂罢）：アプリケーションの実行に伴う问题、例えば认証に関连する问题の検知。
• インタラクティブ?アプリケーション?セキュリティ?テスト（滨础厂罢）：奥别产アプリケーションの脆弱性を确认して検知。

単にテスト技术を组み合わせるだけでは、医疗机器の提出または寿命におけるセキュリティを确保するには不十分です。セキュリティを适切に検讨するには、设计段阶で特定のスキルや専门知识が必要です。たとえば、暗号化などの领域は、効果的に适用するためによく理解していなければなりません。