2 min ler
Embora a digitalização e a Internet das Coisas (IoT) tenham, em conjunto, melhorado o desempenho dos dispositivos médicos, também tornaram os dispositivos propensos a vulnerabilidades cibernéticas. O malware e o spyware que invadem os dispositivos estão a aumentar. Os hackers estão à procura de lacunas nos dispositivos e no software relacionado que lhes permitam corromper os dispositivos para comprometer os dados do utilizador através do mau funcionamento dos dispositivos. Todas estas adversidades estão a dificultar os esforços das organizações para proteger os dados dos utilizadores e evitar os danos.
Para fazer face à ameaça da cibersegurança nos dispositivos médicos, todas as autoridades de saúde membros do Fórum Internacional de Reguladores de Dispositivos Médicos (IMDRF) publicaram projectos de documentos de orientação com políticas regulamentares para a fase de pré-comercialização. No entanto, a Therapeutic Goods Administration (TGA) da Austrália antecipou a necessidade de regulamentação mesmo na fase pós-comercialização dos dispositivos e publicou um projeto de orientações que abrange todo o ciclo de vida do produto (TPLC).
A quem se aplicam as orientações?
A abordagem TPLC proposta pela TGA centra-se na atualização contínua dos sistemas de gestão da qualidade, dos procedimentos de gestão do risco e dos procedimentos de gestão da mudança. Uma vez que as orientações abrangem aspectos do cenário pré e pós-comercialização, os seus regulamentos destinam-se a várias partes interessadas, a seguir enumeradas.
- Fabricantes que desenvolvem software como dispositivos médicos (SaMD)
- Fabricantes de dispositivos que incluem componentes de software vulneráveis à cibersegurança
- Patrocinadores responsáveis pelo fornecimento de dispositivos na Austrália
- Profissionais de saúde que utilizam dispositivos médicos para diagnosticar e tratar doentes
- Engenheiros clínicos e biomédicos responsáveis pela gestão de activos de dispositivos em ambientes médicos e de saúde
- Administração geral e informática responsável pelos sistemas, procedimentos e processos no domínio da saúde e dos serviços médicos
- Consumidores que utilizam um dispositivo médico registado
- sob a orientação do seu profissional de saúde e médico
- que não requerem controlo médico
Orientações para a indústria de dispositivos médicos:
Ao mesmo tempo que ajuda a indústria de dispositivos médicos a manter-se preparada para a cibersegurança, as orientações também sublinham que os dispositivos devem ser incluídos no Registo Australiano de Produtos Terapêuticos (ATRG) para serem comercializados no país. No entanto, a inclusão no ARTG exige considerações que abrangem toda a extensão da vida útil de um dispositivo médico, que se divide nas quatro fases seguintes:
- Pré-comercialização através da avaliação da conformidade
- Autorização de comercialização através da inclusão no ARTG
- Monitorização pós-comercialização
- Fim de vida / retirada de apoio
As orientações também referem que os fabricantes são os únicos responsáveis por avaliar e abordar o risco de cibersegurança do dispositivo nas configurações pré e pós-comercialização. Ao fazê-lo, devem ter em conta determinadas considerações em ambas as configurações, que incluem:
- Considerações antes da comercialização: Estas considerações incluem riscos durante a conceção e o desenvolvimento de dispositivos médicos. São de carácter geral e técnico.
- Considerações gerais como a abordagem de desenvolvimento, a aplicação de normas, as estratégias de gestão de riscos, a avaliação da cadeia de abastecimento e a prestação de informações aos utilizadores
- Considerações técnicas como os testes de desempenho da cibersegurança, a arquitetura de conceção modular, a segurança da plataforma operativa, o software emergente e o acesso e fornecimento de conteúdos de confiança
- Considerações pós-comercialização: Ao abrigo do regime pós-comercialização, os fabricantes e patrocinadores de dispositivos são obrigados a avaliar e a atuar continuamente em relação ao risco de cibersegurança. Isto inclui compreender os riscos e as ameaças e responder-lhes quando ocorrem.
Destaques das orientações:
Enquanto outros reguladores da IMDRF enumeraram os princípios de cibersegurança antes da comercialização, a TGA foi mais longe e enumerou 15 "princípios essenciais", incluindo a ênfase na segurança a longo prazo. Além disso, foram acrescentados mais oito princípios essenciais às orientações para abordar a prevenção de malware. As orientações destacam o quadro de segurança cibernética desenvolvido pelo Instituto Nacional de Normas e Tecnologia dos EUA. Inclui também exemplos comuns de vulnerabilidades, normas conhecidas que ajudam a reforçar a segurança e instruções para os utilizadores finais, ensaios clínicos e estabelecimentos de cuidados de saúde que utilizam os dispositivos.
O projeto de orientações engloba uma vasta gama de informações para pôr em prática a abordagem TLPC para os fabricantes de dispositivos médicos. No entanto, a forma atual das orientações destina-se a comentários e são esperadas alterações nas próximas versões. Para se manterem em conformidade e seguras, as partes interessadas devem tomar as medidas necessárias com bastante antecedência, com a ajuda de um especialista em regulamentação de dispositivos médicos. Estar em conformidade.
