Papel da cibersegurança no processo de autorização 510(k)

Qual é o papel da cibersegurança nos dispositivos médicos?

O processo de autorização 510(k) é uma via regulamentar utilizada pela Food and Drug Administration (FDA) dos Estados Unidos para avaliar e autorizar a distribuição comercial de dispositivos médicos. O processo tem por objetivo garantir que os dispositivos médicos são seguros e eficazes para utilização pelos pacientes. A FDA dos EUA define cibersegurança como "[o] processo de prevenção do acesso não autorizado, modificação, utilização indevida ou recusa de utilização, ou a utilização não autorizada de informações armazenadas, acedidas ou transferidas de um dispositivo médico para um destinatário externo".

Os dispositivos médicos estão cada vez mais ligados a redes e, por isso, são vulneráveis a ameaças de cibersegurança, como pirataria informática, violações de dados e ataques de malware. Abordar a cibersegurança na fase de conceção e desenvolvimento é fundamental para garantir que os dispositivos médicos dispõem de controlos de segurança adequados. As ameaças e vulnerabilidades não podem ser eliminadas, e a redução dos riscos de cibersegurança é especialmente difícil. Se a cibersegurança não for mantida corretamente, pode levar ao comprometimento da funcionalidade dos dispositivos, à perda de dados pessoais ou médicos e à possibilidade de as ameaças à segurança se propagarem a outras redes ou dispositivos interligados.

Incidentes causados por cibersegurança comprometida

Os incidentes de cibersegurança provocaram a inoperacionalidade de dispositivos médicos e redes hospitalares, o que resultou na interrupção da prestação de cuidados de saúde aos doentes em todos os estabelecimentos de saúde nos EUA. Esses ciberataques e explorações podem também causar danos aos doentes devido a riscos clínicos, por exemplo, um atraso no diagnóstico e/ou no tratamento dos doentes.

A lista abaixo apresenta os principais incidentes ocorridos no sector da saúde que sublinham a importância da cibersegurança para a segurança dos doentes.

• Em 2017, o ataque de ransomware WannaCry afectou sistemas hospitalares e dispositivos médicos em todo o mundo.
• Em 2020, um ataque de ransomware a um hospital alemão pôs em evidência os potenciais oitenta e três (83) impactos do atraso nos cuidados aos doentes, uma vez que o ataque obrigou a desviar os doentes para outro hospital.

As principais considerações de cibersegurança para a autorização 510(k)

Seguem-se os princípios gerais de cibersegurança para os fabricantes de dispositivos médicos, de acordo com as orientações de cibersegurança da FDA dos EUA específicas para as apresentações antes da comercialização.

• Regulamento do Sistema de Qualidade (QSR).. : Os fabricantes devem abordar as questões de cibersegurança na fase de conceção e desenvolvimento do dispositivo médico, uma vez que tal pode resultar numa atenuação mais sólida e eficiente dos riscos para os doentes. Os fabricantes devem estabelecer entradas de conceção relacionadas com a cibersegurança para o seu dispositivo e uma abordagem de gestão e vulnerabilidade da cibersegurança como parte da validação do software e da análise de risco exigida pelo 21 CFR 820.30(g).
• Segurança de conceção: Os fabricantes de dispositivos devem garantir que os seus produtos são concebidos tendo em conta a segurança do dispositivo. A FDA dos EUA avaliará a adequação da segurança, com base na capacidade do dispositivo para fornecer e implementar objectivos de segurança, tais como autenticidade, autorização, disponibilidade, confidencialidade e segurança, e actualizabilidade atempada em toda a arquitetura do sistema.
• Transparência: A falta de informação sobre cibersegurança no dispositivo, como a informação necessária para integrar o dispositivo no ambiente de utilização, bem como a informação necessária aos utilizadores para manter a cibersegurança durante o ciclo de vida do dispositivo, pode afetar a sua segurança e eficácia. Para responder a estas preocupações, é importante que os utilizadores dos dispositivos tenham acesso às informações relativas aos controlos de cibersegurança, aos riscos potenciais e a outras informações pertinentes.
• Documentação de apresentação: Espera-se que a conceção e a documentação da cibersegurança dos dispositivos sejam dimensionadas de acordo com o risco de cibersegurança de um dispositivo. Os fabricantes devem ter em conta o sistema mais alargado em que um dispositivo pode ser utilizado.

Figura 1: Desafios e soluções comuns em matéria de cibersegurança

Conclusão

Em resumo, a cibersegurança dos dispositivos médicos é crucial para garantir a segurança dos doentes e evitar incidentes que possam perturbar a prestação de cuidados de saúde. Os regulamentos de cibersegurança da FDA dos EUA sublinham a necessidade de os fabricantes abordarem as questões de cibersegurança durante a conceção e o desenvolvimento dos dispositivos médicos e fornecerem informações transparentes sobre os controlos de cibersegurança. O QSR, a segurança da conceção, a transparência e a documentação de apresentação são considerações fundamentais para a autorização 510(k). É igualmente importante abordar os desafios comuns em matéria de cibersegurança, como as vulnerabilidades dos componentes de terceiros e os ataques de ransomware, e implementar soluções como uma análise de risco sólida e actualizações regulares do software.

Para experimentar um processo de autorização 510(k) sem complicações e em conformidade, entre em contacto com os nossos especialistas em regulamentação. Mantenha-se informado! Mantenha-se em conformidade!