2 min read
Chociaż cyfryzacja i Internet rzeczy (IoT) wspólnie poprawiły wydajność wyroby medyczne, sprawiły one również, że urządzenia stały się podatne na cyberzagrożenia. Coraz częściej dochodzi do ataków złośliwego oprogramowania i programów szpiegujących na urządzenia. Hakerzy poszukują luk w zabezpieczeniach urządzeń i powiązanego oprogramowania, które pozwalają im uszkodzić urządzenia i naruszyć bezpieczeństwo danych użytkowników poprzez spowodowanie ich nieprawidłowego działania. Wszystkie te niekorzystne czynniki utrudniają organizacjom podejmowanie działań mających na celu zabezpieczenie danych użytkowników i zapobieganie szkodom.
Aby przeciwdziałać zagrożeniom dla bezpieczeństwa cybernetycznego wyroby medyczne, wszystkie organy ds. zdrowia będące członkami Międzynarodowego Forum Organów Regulacyjnych ds. Wyrobów Medycznych (IMDRF) opublikowały projekty wytycznych zawierających zasady regulacyjne dotyczące etapu przed wprowadzeniem wyrobów do obrotu. Jednak australijska agencja Therapeutic Goods Administration (TGA) przewidziała potrzebę regulacji nawet na etapie po wprowadzeniu wyrobów do obrotu i opublikowała projekt wytycznych obejmujących cały cykl życia produktu (TPLC).
Kogo dotyczą wytyczne?
Podejście TPLC zaproponowane przez TGA koncentruje się na ciągłej aktualizacji systemów zarządzania jakością, procedur zarządzania ryzykiem i procedur zarządzania zmianą. Ponieważ wytyczne obejmują aspekty zarówno scenariusza przed-, jak i pozarynkowego, ich regulacje są przeznaczone dla wielu zainteresowanych stron, które wymieniono poniżej.
- Producenci tworzący oprogramowanie jako urządzenia medyczneSaMD)
- Producenci urządzeń zawierających komponenty oprogramowania podatne na zagrożenia cybernetyczne
- Sponsorzy odpowiedzialni za dostawy urządzeń w Australii
- Pracownicy służby zdrowia, którzy używają wyroby medyczne diagnozowania i leczenia pacjentów
- Inżynierowie kliniczni i biomedyczni, którzy są odpowiedzialni za zarządzanie zasobami urządzeń w środowisku medycznym i zdrowotnym
- Administracja ogólna i informatyczna odpowiedzialna za systemy, procedury i procesy w środowisku usług zdrowotnych i medycznych
- Konsumenci korzystający z zarejestrowanego wyrobu medycznego
- pod kierunkiem ich pracowników służby zdrowia i lekarzy
- które nie wymagają nadzoru medycznego
Wytyczne dla branży wyrobów medycznych:
Pomagając branży wyrobów medycznych w przygotowaniu się na cyberbezpieczeństwo, wytyczne podkreślają również, że urządzenia muszą być wpisane do australijskiego rejestru towarów terapeutycznych (ATRG), aby można je było wprowadzać do obrotu w kraju. Włączenie do ARTG wymaga jednak uwzględnienia pełnego zakresu życia wyrobu medycznego, który podzielony jest na następujące cztery etapy:
- Ocena zgodności przed wprowadzeniem do obrotu
- Autoryzacja rynkowa poprzez włączenie do ARTG
- Monitorowanie po wprowadzeniu do obrotu
- Koniec życia / wycofanie wsparcia
Wytyczne stanowią również, że producenci ponoszą wyłączną odpowiedzialność za ocenę i uwzględnienie ryzyka cyberbezpieczeństwa urządzenia zarówno w konfiguracji przed, jak i po wprowadzeniu do obrotu. Czyniąc to, muszą wziąć pod uwagę pewne kwestie w obu konfiguracjach, które obejmują:
- Uwagi przed wprowadzeniem na rynek: Rozważania te obejmują ryzyko związane z projektowaniem i opracowywaniem wyroby medyczne. Mają one charakter ogólny i techniczny.
- Ogólne kwestie, takie jak podejście do rozwoju, stosowanie norm, strategie zarządzania ryzykiem, ocena łańcucha dostaw i dostarczanie informacji użytkownikom.
- Kwestie techniczne, takie jak testowanie wydajności cyberbezpieczeństwa, modularna architektura projektu, bezpieczeństwo platformy operacyjnej, nowe oprogramowanie oraz zaufany dostęp i dostarczanie treści.
- Rozważania po wprowadzeniu do obrotu: W ramach systemu po wprowadzeniu do obrotu producenci i sponsorzy urządzeń są zobowiązani do ciągłej oceny ryzyka związanego z cyberbezpieczeństwem i podejmowania działań w tym zakresie. Obejmuje to zrozumienie ryzyka i zagrożeń oraz reagowanie na nie w przypadku ich wystąpienia.
Najważniejsze informacje dotyczące wytycznych:
Podczas gdy inne organy regulacyjne IMDRF wymieniły zasady bezpieczeństwa cybernetycznego obowiązujące przed wprowadzeniem produktu na rynek, TGA poszła o krok dalej i wymieniła 15 „zasad podstawowych”, w tym skupienie się na długoterminowym bezpieczeństwie. Ponadto do wytycznych dodano osiem kolejnych zasad podstawowych dotyczących zapobiegania złośliwemu oprogramowaniu. W wytycznych podkreślono ramy bezpieczeństwa cybernetycznego opracowane przez US Instytut Standardów i Technologii. Zawierają one również typowe przykłady podatności, znane standardy pomagające wzmocnić bezpieczeństwo oraz instrukcje dla użytkowników końcowych, badań klinicznych i placówek opieki zdrowotnej korzystających z tych urządzeń.
Projekt wytycznych obejmuje kompleksowy zakres informacji w celu wdrożenia podejścia TLPC dla producentów wyrobów medycznych. Jednak obecna forma wytycznych jest przeznaczona do komentowania i spodziewane są zmiany w kolejnych wersjach. Aby zachować zgodność i bezpieczeństwo, zainteresowane strony muszą podjąć wymagane działania z wyprzedzeniem, korzystając z pomocy eksperta ds. przepisów dotyczących wyrobów medycznych. Bądź zgodny z przepisami.
