Salvaguardar a cibersegurança dos dispositivos médicos na Coreia do Sul

À medida que a tecnologia continua a avançar, o mesmo acontece com os dispositivos médicos utilizados para manter a vida. Embora na Coreia do Sul tenham sido desenvolvidos vários tipos de dispositivos médicos capazes de comunicar, o desenvolvimento é acompanhado pelo risco de ameaças à cibersegurança, como a pirataria informática de dispositivos médicos e fugas de informação. Estas ameaças não se aplicam apenas à perda de bens, mas também à vida dos pacientes, e é por isso que a proteção da cibersegurança dos dispositivos médicos é uma preocupação central.

Para responder a estas preocupações, o governo sul-coreano estabeleceu diretrizes para a aprovação da cibersegurança (Guia-0995-03 2023.07.13) e para a revisão dos dispositivos médicos. Os regulamentos sul-coreanos relativos aos dispositivos médicos visam garantir a gestão da segurança dos dispositivos médicos capazes de comunicar e, por sua vez, sublinham a importância da cibersegurança para os dispositivos médicos.

Porque são necessárias diretrizes de cibersegurança?

Os dispositivos médicos são frequentemente implantados no interior do corpo dos doentes para assegurar funções de manutenção da vida, o que significa que qualquer ameaça à cibersegurança pode ter consequências terríveis, ou mesmo fatais. As orientações sobre a cibersegurança dos dispositivos médicos procuram evitar essas ameaças, garantindo que os dispositivos são seguros e que os dados que transmitem estão protegidos.

Considerações fundamentais para a adoção de novas diretrizes e guias

As principais considerações a ter em conta ao adotar novas orientações e guias de cibersegurança são a importância de clarificar o objetivo do dispositivo médico, aplicar o dispositivo de acordo com as suas caraterísticas e garantir a gestão da segurança se o dispositivo for capaz de comunicar. As diretrizes, destinadas a alcançar uma harmonização internacional, tomaram emprestadas e aplicaram considerações dos Princípios e Diretrizes de Cibersegurança dos Dispositivos Médicos estabelecidos pelo Fórum Internacional de Reguladores de Dispositivos Médicos (IMDRF) (Principles and Practices for Medical Device Cybersecurity, IMDRF [2020]).

Princípios básicos da cibersegurança dos dispositivos médicos

Os princípios básicos da cibersegurança dos dispositivos médicos compreendem um conjunto de diretrizes que definem as principais considerações para garantir a cibersegurança dos dispositivos médicos. Estes princípios incluem a disponibilidade, a confidencialidade e a integridade. Vejamos brevemente estes três (03) princípios:

• A disponibilidade refere-se à disponibilização imediata dos dados aos utilizadores autorizados.
• A confidencialidade refere-se à proteção dos dados contra o acesso não autorizado.
• A integridade refere-se à garantia de que os dados são exactos e não foram adulterados.

Estes princípios são fundamentais para a gestão da cibersegurança dos dispositivos médicos, uma vez que ajudam a garantir a segurança e a proteção dos dispositivos e dos dados que transmitem.

Processo de gestão do risco para a cibersegurança dos dispositivos médicos

As diretrizes especificam que os fabricantes têm de levar a cabo processos adequados de gestão do risco de cibersegurança para a cibersegurança dos dispositivos médicos na Coreia do Sul. Seguem-se alguns aspectos fundamentais do processo de gestão de riscos:

• O processo deve envolver a identificação de potenciais ameaças à cibersegurança, a avaliação dos riscos associados a essas ameaças e o desenvolvimento de estratégias para atenuar os riscos.
• Os fabricantes devem registar o processo no relatório de gestão do risco.
• Os fabricantes devem estabelecer e manter um procedimento sistemático de análise da informação sobre cibersegurança durante as fases de produção e pós-produção.
• Os fabricantes devem definir objectivos de cibersegurança com funções e níveis adequados. Além disso, devem ter em conta as consequências da avaliação e do tratamento dos riscos.
• A tónica é colocada na recolha e análise contínuas de informações sobre as intenções dos clientes internos e externos ao longo do ciclo de vida dos dispositivos médicos. Além disso, é importante que essas informações se reflictam na gestão dos riscos de cibersegurança dos dispositivos médicos.

Aplicação dos requisitos de cibersegurança dos dispositivos médicos

As orientações consistem num quadro com exemplos de considerações para a aplicação dos requisitos de cibersegurança dos dispositivos médicos no que respeita à garantia de qualidade e à conformidade regulamentar dos dispositivos médicos. O quadro inclui três (03) categorias de considerações - principais, moderadas e menores - que são elucidadas de seguida:

• Consideração importante: A principal consideração é a possibilidade de ferimentos graves nos doentes, ou mesmo a morte, a deterioração permanente das funções do corpo e danos permanentes na estrutura do corpo devido a violações da cibersegurança dos dispositivos médicos.
• Consideração moderada: A consideração moderada é que as violações da cibersegurança dos dispositivos médicos podem resultar em lesões menores ou temporárias nos doentes, que podem exigir intervenção médica.
• Consideração menor: A consideração menor é que as violações da cibersegurança dos dispositivos médicos podem causar incómodos temporários ou reversíveis, menores e de curto prazo aos doentes, que não requerem intervenção médica.

Para além das categorias acima referidas, o quadro inclui também considerações relacionadas com a comunicação por cabo, a comunicação sem fios e os riscos de cibersegurança decorrentes de infracções.

Duas (02) listas de verificação fundamentais para a cibersegurança dos dispositivos médicos

Lista de verificação dos requisitos de cibersegurança dos dispositivos médicos:

• Os fabricantes têm de utilizar este formulário de lista de verificação quando analisam os seus dispositivos médicos em termos de requisitos de cibersegurança.
• Devem preencher o formulário de acordo com as caraterísticas dos respectivos dispositivos.
• O formulário é a base para confirmar que os fabricantes cumpriram todos os requisitos de cibersegurança.
• A lista de controlo inclui o "Documento de gestão dos riscos de cibersegurança" e os "Dados de verificação e validação do software".

O quadro seguinte (quadro 1) ilustra a lista de verificação da cibersegurança dos dispositivos médicos na Coreia do Sul.

Quadro 1: Lista de verificação da cibersegurança dos dispositivos médicos na Coreia do Sul

Lista de controlo para a elaboração/revisão de diretrizes/guias:

• Os fabricantes devem utilizar esta lista de controlo ao estabelecerem ou reverem diretrizes ou guias.
• Devem verificar se o conteúdo se desvia das leis superiores e se estabelece/reforça novas regulamentações ou restringe queixas civis sensíveis.
• Se a resposta for "sim" à questão de saber se estabelece/reforça novos regulamentos, devem eliminar o conteúdo que se afasta do estatuto superior e prosseguir com o processo de estabelecimento e revisão das diretrizes e guias.
• A lista de controlo inclui a designação das diretrizes ou guias e a verificação dos itens relacionados com as considerações de aplicação.

Envio de dados para a cibersegurança dos dispositivos médicos

As orientações estabelecem requisitos específicos para a apresentação de dados relacionados com a cibersegurança dos dispositivos médicos. Os dados apresentados devem satisfazer os seguintes critérios para a aprovação de dispositivos médicos:

• Os dados devem estar relacionados com dispositivos médicos capazes de comunicação sem fios ou com uma via de comunicação.
• Entre os dados sobre o desempenho do convite, os fabricantes devem apresentar os "Dados de Verificação e Validação de Software" e o "Relatório de Verificação da Conformidade do Software de Dispositivos Médicos".
• As informações apresentadas não devem ser falsificadas, não devem funcionar mal nem devem ser aprovadas para dispositivos médicos.
• Os fabricantes devem aplicar os requisitos de cibersegurança como uma contramedida para impedir o acesso não autorizado aos dispositivos médicos.
• Os fabricantes devem confirmar a conformidade com os requisitos de cibersegurança dos dispositivos médicos através da apresentação da "Lista de verificação dos requisitos de cibersegurança dos dispositivos médicos" e de materiais que comprovem os requisitos da lista de verificação.
• Os fabricantes podem candidatar-se excluindo ou modificando alguns dos requisitos através de uma análise de risco; os dados relevantes devem ser apresentados com o "Documento de gestão dos riscos de cibersegurança", de acordo com o artigo 26.

De um modo geral, as diretrizes para a aprovação e revisão da cibersegurança dos dispositivos médicos constituem um recurso valioso para fabricantes, utilizadores e reguladores, uma vez que ajudam a garantir a segurança e a proteção dos dispositivos médicos. Se é um fabricante que pretende vender os seus dispositivos médicos na Coreia do Sul, deve garantir que os seus dispositivos cumprem os requisitos de cibersegurança descritos nas diretrizes. A nossa equipa de especialistas pode ajudá-lo a navegar pela regulamentação sul-coreana relativa aos dispositivos médicos; garantirão que os seus dispositivos cumprem os requisitos de cibersegurança e que apresenta os dados necessários para aprovação e análise. Contacte a Freyr para saber mais sobre como o podemos ajudar a salvaguardar a cibersegurança dos seus dispositivos médicos na Coreia do Sul. Mantenha-se informado! Mantenha-se em conformidade!