2 min read
Chociaż cyfryzacja i Internet rzeczy (IoT) wspólnie zwiększyły wydajność urządzeń medycznych, sprawiły one również, że urządzenia są podatne na cyberataki. Liczba złośliwego oprogramowania i programów szpiegujących atakujących urządzenia rośnie. Hakerzy szukają luk w urządzeniach i powiązanym oprogramowaniu, które pozwalają im na uszkodzenie urządzeń w celu naruszenia danych użytkownika poprzez nieprawidłowe działanie urządzeń. Wszystkie te przeciwności utrudniają wysiłki organizacji na rzecz zabezpieczenia danych użytkowników i zapobiegania szkodom.
Aby stawić czoła zagrożeniu cyberbezpieczeństwa urządzeń medycznych, wszystkie organy ds. zdrowia należące do Międzynarodowego Forum Regulatorów Wyrobów Medycznych (IMDRF) opublikowały projekty wytycznych z politykami regulacyjnymi dotyczącymi ustawień przed wprowadzeniem do obrotu. Jednak australijski Therapeutic Goods Administration (TGA) przewidział potrzebę regulacji nawet na etapie po wprowadzeniu urządzeń do obrotu i opublikował projekt wytycznych, które obejmują cały cykl życia produktu (TPLC).
Kogo dotyczą wytyczne?
Podejście TPLC zaproponowane przez TGA koncentruje się na ciągłej aktualizacji systemów zarządzania jakością, procedur zarządzania ryzykiem i procedur zarządzania zmianą. Ponieważ wytyczne obejmują aspekty zarówno scenariusza przed-, jak i pozarynkowego, ich regulacje są przeznaczone dla wielu zainteresowanych stron, które wymieniono poniżej.
- Producenci tworzący oprogramowanie jako urządzenia medyczne (SaMD)
- Producenci urządzeń zawierających komponenty oprogramowania podatne na zagrożenia cybernetyczne
- Sponsorzy odpowiedzialni za dostawy urządzeń w Australii
- Pracownicy służby zdrowia, którzy używają urządzeń medycznych do diagnozowania i leczenia pacjentów
- Inżynierowie kliniczni i biomedyczni, którzy są odpowiedzialni za zarządzanie zasobami urządzeń w służbie zdrowia i środowisku medycznym
- Administracja ogólna i informatyczna odpowiedzialna za systemy, procedury i procesy w środowisku usług zdrowotnych i medycznych
- Konsumenci korzystający z zarejestrowanego wyrobu medycznego
- pod kierunkiem ich pracowników służby zdrowia i lekarzy
- które nie wymagają nadzoru medycznego
Wytyczne dla branży wyrobów medycznych:
Pomagając branży wyrobów medycznych w przygotowaniu się na cyberbezpieczeństwo, wytyczne podkreślają również, że urządzenia muszą być wpisane do australijskiego rejestru towarów terapeutycznych (ATRG), aby można je było wprowadzać do obrotu w kraju. Włączenie do ARTG wymaga jednak uwzględnienia pełnego zakresu życia wyrobu medycznego, który podzielony jest na następujące cztery etapy:
- Ocena zgodności przed wprowadzeniem do obrotu
- Autoryzacja rynkowa poprzez włączenie do ARTG
- Monitorowanie po wprowadzeniu do obrotu
- Koniec życia / wycofanie wsparcia
Wytyczne stanowią również, że producenci ponoszą wyłączną odpowiedzialność za ocenę i uwzględnienie ryzyka cyberbezpieczeństwa urządzenia zarówno w konfiguracji przed, jak i po wprowadzeniu do obrotu. Czyniąc to, muszą wziąć pod uwagę pewne kwestie w obu konfiguracjach, które obejmują:
- Uwagi przed wprowadzeniem na rynek: Rozważania te obejmują ryzyko podczas projektowania i opracowywania wyrobów medycznych. Mają one charakter ogólny i techniczny.
- Ogólne kwestie, takie jak podejście do rozwoju, stosowanie norm, strategie zarządzania ryzykiem, ocena łańcucha dostaw i dostarczanie informacji użytkownikom.
- Kwestie techniczne, takie jak testowanie wydajności cyberbezpieczeństwa, modularna architektura projektu, bezpieczeństwo platformy operacyjnej, nowe oprogramowanie oraz zaufany dostęp i dostarczanie treści.
- Rozważania po wprowadzeniu do obrotu: W ramach systemu po wprowadzeniu do obrotu producenci i sponsorzy urządzeń są zobowiązani do ciągłej oceny ryzyka związanego z cyberbezpieczeństwem i podejmowania działań w tym zakresie. Obejmuje to zrozumienie ryzyka i zagrożeń oraz reagowanie na nie w przypadku ich wystąpienia.
Najważniejsze informacje dotyczące wytycznych:
Podczas gdy inne organy regulacyjne IMDRF wymieniły zasady cyberbezpieczeństwa przed wprowadzeniem na rynek, TGA poszło o krok dalej i wymieniło 15 "podstawowych zasad", w tym skupienie się na długoterminowym bezpieczeństwie. Ponadto do wytycznych dodano osiem kolejnych podstawowych zasad dotyczących zapobiegania złośliwemu oprogramowaniu. Wytyczne podkreślają ramy bezpieczeństwa cybernetycznego opracowane przez amerykański Narodowy Instytut Standardów i Technologii. Zawierają również typowe przykłady luk w zabezpieczeniach, znane standardy, które pomagają wzmocnić bezpieczeństwo, oraz instrukcje dla użytkowników końcowych, badań klinicznych i placówek opieki zdrowotnej korzystających z urządzeń.
Projekt wytycznych obejmuje kompleksowy zakres informacji w celu wdrożenia podejścia TLPC dla producentów wyrobów medycznych. Jednak obecna forma wytycznych jest przeznaczona do komentowania i spodziewane są zmiany w kolejnych wersjach. Aby zachować zgodność i bezpieczeństwo, zainteresowane strony muszą podjąć wymagane działania z wyprzedzeniem, korzystając z pomocy eksperta ds. przepisów dotyczących wyrobów medycznych. Bądź zgodny z przepisami.
