Salvaguardia della sicurezza informatica dei dispositivi medici in Corea del Sud

Con il progredire della tecnologia, anche i dispositivi medici utilizzati per sostenere la vita sono in continuo aumento. In Corea del Sud sono stati sviluppati diversi tipi di dispositivi medici in grado di comunicare, ma questo sviluppo è accompagnato dal rischio di minacce alla sicurezza informatica, come l'hacking dei dispositivi medici e la fuga di informazioni. Queste minacce non riguardano solo la perdita di proprietà, ma anche la vita dei pazienti, ed è per questo che la salvaguardia della sicurezza informatica dei dispositivi medici è una preoccupazione fondamentale.

Per rispondere a queste preoccupazioni, il governo sudcoreano ha stabilito delle linee guida per l'approvazione e la revisione dei dispositivi medici in materia di cybersicurezza (Guide-0995-03 2023.07.13). Le norme sudcoreane sui dispositivi medici mirano a garantire la gestione della sicurezza dei dispositivi medici in grado di comunicare e, a loro volta, evidenziano l'importanza della cybersecurity per i dispositivi medici.

Perché sono necessarie le linee guida sulla sicurezza informatica?

I dispositivi medici sono spesso impiantati all'interno del corpo dei pazienti per svolgere funzioni di supporto vitale, il che significa che qualsiasi minaccia alla sicurezza informatica potrebbe avere conseguenze terribili, persino fatali. Le linee guida sulla sicurezza informatica dei dispositivi medici mirano a prevenire tali minacce garantendo la sicurezza dei dispositivi e la protezione dei dati che trasmettono.

Considerazioni chiave per l'adozione di nuove linee guida e guide

Le considerazioni chiave da tenere a mente quando si emanano nuove linee guida e guide sulla cybersecurity sono che è importante chiarire l'obiettivo del dispositivo medico, applicare il dispositivo in base alle sue caratteristiche e garantire la gestione della sicurezza se il dispositivo è in grado di comunicare. Le linee guida, finalizzate all'armonizzazione internazionale, hanno preso in prestito e applicato considerazioni dai Principi e dalle Linee guida sulla cybersecurity dei dispositivi medici stabiliti dall'International Medical Device Regulators Forum (IMDRF) (Principles and Practices for Medical Device Cybersecurity, IMDRF [2020]).

Principi di base della sicurezza informatica dei dispositivi medici

I principi fondamentali della sicurezza informatica dei dispositivi medici comprendono una serie di linee guida che delineano gli aspetti chiave da considerare per garantire la sicurezza informatica dei dispositivi medici. Essi includono disponibilità, riservatezza e integrità. us questi tre (03) principi:

• La disponibilità si riferisce alla messa a disposizione immediata dei dati agli utenti autorizzati.
• La riservatezza si riferisce alla protezione dei dati da accessi non autorizzati.
• L'integrità si riferisce alla garanzia che i dati siano accurati e non siano stati manomessi.

Questi principi sono fondamentali per la gestione della cybersecurity dei dispositivi medici, in quanto contribuiscono a garantire la sicurezza dei dispositivi e dei dati che trasmettono.

Processo di gestione del rischio per la sicurezza informatica dei dispositivi medici

Le linee guida specificano che produttori attuare adeguati processi di gestione dei rischi di sicurezza informatica per i dispositivi medici in Corea del Sud. Di seguito sono riportati alcuni aspetti chiave del processo di gestione dei rischi:

• Il processo dovrebbe prevedere l'identificazione delle potenziali minacce alla sicurezza informatica, la valutazione dei rischi associati alle minacce e lo sviluppo di strategie per mitigare i rischi.
• produttori registrare il processo nel rapporto sulla gestione dei rischi.
• produttori stabilire e mantenere una procedura sistematica per la revisione delle informazioni relative alla sicurezza informatica durante le fasi di produzione e post-produzione.
• produttori stabilire obiettivi di sicurezza informatica con funzioni e livelli adeguati. Inoltre, devono considerare le conseguenze della valutazione e del trattamento dei rischi.
• L'accento è posto sulla raccolta e l'analisi continua di informazioni sulle intenzioni dei clienti interni ed esterni durante l'intero ciclo di vita dei dispositivi medici. Inoltre, è importante che queste informazioni si riflettano nella gestione del rischio di cybersecurity dei dispositivi medici.

Applicazione dei requisiti di sicurezza informatica dei dispositivi medici

Le linee guida consistono in una tabella con esempi di considerazioni per l'applicazione dei requisiti di cybersecurity dei dispositivi medici in relazione all'assicurazione della qualità dei dispositivi medici e alla conformità normativa. La tabella comprende tre (03) categorie di considerazioni - maggiori, moderate e minori - che vengono illustrate di seguito:

• Considerazione principale: La considerazione principale è la possibilità di lesioni gravi ai pazienti, o addirittura di morte, di compromissione permanente delle funzioni corporee e di danni permanenti alla struttura corporea a causa di violazioni della sicurezza informatica dei dispositivi medici.
• Considerazione moderata: La considerazione moderata è che le violazioni della cybersicurezza dei dispositivi medici possono causare lesioni minori o temporanee ai pazienti, che possono richiedere un intervento medico.
• Considerazione minore: La considerazione minore è che le violazioni della cybersicurezza dei dispositivi medici possono causare inconvenienti temporanei o disagi reversibili, minori e di breve durata ai pazienti, che non richiedono un intervento medico.

Oltre alle categorie di cui sopra, la tabella include anche considerazioni relative alle comunicazioni via cavo, alle comunicazioni wireless e ai rischi di cybersecurity che si verificano a causa di una violazione.

Due (02) liste di controllo fondamentali per la sicurezza informatica dei dispositivi medici

Lista di controllo per i requisiti di sicurezza informatica dei dispositivi medici:

• produttori utilizzare questo modulo di checklist quando verificano i requisiti di sicurezza informatica dei propri dispositivi medici.
• Essi devono compilare il modulo in base alle caratteristiche dei rispettivi dispositivi.
• Il modulo costituisce la base per confermare che produttori soddisfatto tutti i requisiti di sicurezza informatica.
• La lista di controllo comprende il "Documento di gestione del rischio di sicurezza informatica" e i "Dati di verifica e convalida del software".

La tabella seguente (Tabella 1) illustra la lista di controllo della cybersecurity dei dispositivi medici in Corea del Sud.

Tabella 1: Lista di controllo per la sicurezza informatica dei dispositivi medici in Corea del Sud

Lista di controllo per la creazione/revisione di linee guida/manuali:

• produttori utilizzare questa lista di controllo quando stabiliscono o rivedono linee guida o manuali.
• Devono verificare se il contenuto si discosta dalle leggi superiori e se stabilisce/rafforza nuove norme o limita le denunce civili sensibili.
• Se la risposta è "sì" alla domanda se stabilisce/rafforza nuovi regolamenti, devono eliminare i contenuti che si discostano dallo statuto superiore e procedere con il processo di definizione e revisione delle linee guida e delle guide.
• La lista di controllo comprende la designazione delle linee guida o dei manuali e la verifica delle voci relative alle considerazioni sull'applicazione.

Presentazione dei dati per la sicurezza informatica dei dispositivi medici

Le linee guida stabiliscono requisiti specifici per la presentazione di dati relativi alla cybersicurezza dei dispositivi medici. I dati presentati devono soddisfare i seguenti criteri per l'approvazione dei dispositivi medici:

• I dati devono essere relativi a dispositivi medici in grado di comunicare senza fili o dotati di un percorso di comunicazione.
• Tra i dati relativi alle prestazioni di chiamata, produttori presentare i "Dati di verifica e convalida del software" e il "Rapporto di verifica della conformità del software del dispositivo medico".
• Le informazioni presentate non devono essere falsificate, malfunzionanti o approvate per i dispositivi medici.
• produttori applicare i requisiti di sicurezza informatica come contromisura per impedire l'accesso non autorizzato ai dispositivi medici.
• produttori confermare la conformità ai requisiti di sicurezza informatica dei dispositivi medici presentando la "Lista di controllo dei requisiti di sicurezza informatica dei dispositivi medici" e i materiali che verificano i requisiti della lista di controllo.
• produttori richiedere l'esclusione o la modifica di alcuni requisiti attraverso un'analisi dei rischi; i dati pertinenti devono essere presentati insieme al "Documento di gestione dei rischi per la sicurezza informatica", ai sensi dell'articolo 26 delle linee guida.

Nel complesso, le linee guida per l'approvazione e la revisione della sicurezza informatica dei dispositivi medici costituiscono una risorsa preziosa per produttori, utenti e autorità di regolamentazione, poiché contribuiscono a garantire la sicurezza e la protezione dei dispositivi medici. Se sei un produttore che desidera vendere i propri dispositivi medici in Corea del Sud, devi assicurarti che i tuoi dispositivi soddisfino i requisiti di sicurezza informatica indicati nelle linee guida.Il nostro team di espertipuò aiutarti a orientarti nella normativa sudcoreana sui dispositivi medici; si assicurerà che i tuoi dispositivi soddisfino i requisiti di sicurezza informatica e che tu presenti i dati necessari per l'approvazione e la revisione.Contatta Freyrper saperne di più su come possiamo aiutarti a salvaguardare la sicurezza informatica dei tuoi dispositivi medici in Corea del Sud. Rimani informato! Rimani conforme!