何が決まったか

独立行政法人医薬品医療機器総合機構（PMDA）は令和8年10月26日、「サイバー攻撃による情報漏えい等の事案を踏まえたPMDAにおけるセキュリティ対策方針について」を公表した。要点は一つで、情報を守るために緊急の対応が必要なときは、必要なセキュリティ対策を優先し、十分な事前のお知らせができないまま情報システムの全部または一部を一時的に停止することがある、という点である。

PMDAは各種情報システムを通じて、医薬品・医療機器等に関する情報提供や、申請・報告等の手続きを行っている。今回の方針は、その情報システムの運用に関するもので、利用者に対して、予告なしの停止がありうることをあらかじめ周知する内容となっている。

対策の対象として具体的に挙げられているのは、更新プログラムの適用、外部からのアクセス制限、その他の予防的な措置である。これらを緊急に講じる必要がある場合に、システム停止が選択肢に入る。停止の判断基準として示されているのは「重大な脆弱性が確認された場合など、情報を守るために緊急の対応が必要なとき」であり、目的は「被害の発生又は拡大を防止するため」とされている。

あわせて、システムを停止した場合の案内方法や、停止期間中の代替手段・対応手順については、情報・手続きごとに異なるため、それぞれの情報・手続きに応じて別途案内するとしている。つまり、今回の文書は停止の可能性を包括的に予告するものであり、個別の手続きごとの具体的な運用は、この文書では示されていない。

背景にあるもの

方針の背景としてPMDAが挙げているのは、二つの事情である。

一つは、AI技術の急速な高度化である。文書では、悪用によってサイバー攻撃がこれまで以上に高速かつ大規模に行われるおそれが指摘されている、としている。もう一つは、最近サイバー攻撃による情報漏えい事案が相次いでいるという状況である。

こうした脅威の変化を踏まえ、政府は政府全体の対策パッケージ「Project YATA-Shield」等により、政府機関や重要インフラ事業者等に対して、基本的なサイバーセキュリティ対策を徹底することと、脆弱性に対し必要な対策を速やかに行うことなどを求めている。PMDAは参照先として、国家サイバー統括室の「Project YATA-Shield 概要」と、「不正アクセスによる漏えい等の事案を踏まえた各機関による注意喚起等について」の二つを示している。

PMDAの今回の方針は、こうした政府の方針とサイバーセキュリティを取り巻く状況を踏まえたものと位置づけられている。独自の判断というよりも、政府全体の要請に沿って、自らの情報システム運用における優先順位を明示した文書と読むことができる。

業界にとって何が変わるか

PMDAの情報システムは、医薬品・医療機器等の申請や報告の手続きに使われている。製薬企業や医療機器メーカーにとって、これらは日常業務の経路そのものである。今回の方針が示したのは、その経路が、事前の十分な告知なしに一時的に止まりうるという前提である。

ここで重要なのは、PMDAが停止と事前告知のどちらを優先するかを明確にした点だ。文書は「必要なセキュリティ対策を優先して実施します」と書いている。従来、システムの計画停止は事前に日程が示されるのが通例だが、重大な脆弱性への対応では、その手順を踏む時間的余裕がない場合がある。PMDAはその場合に停止を選ぶと宣言した。利用する側は、申請・報告のスケジュールを組むにあたり、予告なき停止がありうることを織り込んで考える必要が生じる。

もっとも、停止時の案内方法や代替手段・対応手順は「情報・手続きごとに異なる」として、別途案内するとされている。言い換えれば、個々の手続きについて、止まったときにどうすればよいかは、この文書だけでは分からない。利用者としては、自社が使っている手続きごとに、今後示される案内を確認していくことになる。

PMDAは文書の末尾で、不便をかける場合があることを認めたうえで、預かった情報を守り安全に業務を実施するための取組として理解と協力を求めている。利便性と安全性のどちらを優先するかという問いに対し、緊急時には安全性を取る、という立場を文書の形で示したことが、今回の公表の意味である。