IMDRF privind securitatea cibernetică pentru dispozitivele vechi (etapa suport – comunicare) – RegDesk

Cuprins:

International Medical Device Regulators Forum (IMDRF), o asociație a autorităților naționale de reglementare care colaborează pentru îmbunătățirea în continuare a cadrului de reglementare existent, a publicat un document de orientare dedicat principiilor și practicilor pentru securitatea cibernetică a dispozitivelor medicale vechi – cele care nu sunt mai susținute de producătorii inițiali – deoarece astfel de produse ar putea fi deosebit de vulnerabile la amenințările de securitate cibernetică din cauza faptului că nu primesc actualizări și corecții în timp ce sunt încă în uz. Documentul evidențiază punctele cheie care trebuie luate în considerare de producătorii de dispozitive medicale, precum și de profesioniștii din domeniul sănătății, pentru a asigura performanța corespunzătoare a dispozitivelor medicale vechi și siguranța pacienților. În același timp, prevederile ghidului nu sunt obligatorii prin natura lor juridică și nici nu au scopul de a introduce noi reguli sau de a impune noi obligații. IMDRF anulează, de asemenea, dreptul de a modifica îndrumările și recomandările furnizate în acestea, în cazul în care astfel de modificări sunt necesare în mod rezonabil pentru a reflecta modificările introduse în reglementările subiacente sau noile informații devin disponibile. 

De asemenea, este important de menționat că problemele de securitate cibernetică sunt în responsabilitatea comună a tuturor părților implicate în operațiunile cu dispozitive medicale, astfel încât cooperarea eficientă a acestora este de o importanță vitală. 

Documentul descrie în detaliu considerentele cheie legate de fiecare etapă specifică a ciclului total de viață al produsului (TPLC). Prezentul articol este dedicat celor legate de Etapa ciclului de viață a suportului și prezintă principalele responsabilități ale părților implicate, precum și așteptările relevante.

Comunicații: general

În primul rând, documentul descrie abordarea care trebuie aplicată în ceea ce privește comunicațiile. După cum sa menționat anterior, comunicațiile sunt de o importanță vitală pentru a asigura securitatea cibernetică și pentru a face față amenințărilor relevante. În plus, documentul subliniază importanța asigurării faptului că toate comunicările din timpul etapei de Suport sunt cuprinzătoare. Conform ghidului, ca prim pas, fiecare parte implicată în operațiunile cu dispozitive medicale ar trebui să înceapă cu determinarea domeniului de aplicare a documentației și a informațiilor de care are nevoie, precum și momentul potrivit pentru obținerea acestora. Odată stabilite, aceste cerințe ar trebui comunicate și convenite cu celelalte părți implicate. Ghidul oferă recomandări generale care trebuie luate în considerare, în timp ce abordarea specifică care trebuie aplicată ar trebui determinată de la caz la caz.

Recomandări: Producători de dispozitive medicale

IMDRF începe cu evidențierea recomandărilor care trebuie urmate de producătorii de dispozitive medicale. Conform ghidului, acesta din urmă ar trebui:

1. Furnizați documentația de securitate a produsului necesară în mod rezonabil de către alte părți pentru a asigura siguranța și performanța corespunzătoare a dispozitivului medical în cauză atunci când este utilizat în scopul pentru care a fost prevăzut, acoperind și chestiunile legate de risc. Conform ghidului, documentația adecvată poate include:
1. Declarația de divulgare a producătorului pentru securitatea dispozitivelor medicale (MDS2);
2. Lista materialelor software (SBOM);
3. Rezumate ale rapoartelor de testare de securitate, certificări de securitate de la terți sau similare;
4. Documentația de securitate a clienților (de exemplu, instrucțiuni tehnice pentru a asigura implementarea, operarea și întreținerea în siguranță, inclusiv informații despre interfețe, protocoale de comunicație și dependențe de rețea, cloud sau de comunicare pentru sistem).  
2. Furnizați documentația ciclului de viață al produsului – cea legată de reperele cheie care influențează starea dispozitivului (de exemplu, data la care asistența curentă va înceta), precum și detalii despre procedurile de instalare. Îndrumarea subliniază în plus importanța furnizării de informații cât mai mult timp posibil – numărul de 2 ani este furnizat ca referință pe baza practicilor actuale. În special, producătorii de dispozitive medicale sunt așteptați să furnizeze informații legate de:

• Dispozitivul afectat,

• Sistemul (sistemele) de operare al dispozitivului,

• Versiunea dispozitivului implementată,

• Identificarea componentelor software,

• Data estimată a modificărilor serviciului,

• Gradul de întreținere disponibil după aceste modificări,

• Controale suplimentare de compensare. 

1. Furnizați documentația actualizată relevantă privind securitatea produsului și ciclul de viață. IMDRF recunoaște că documentația legată de securitate ar putea face obiectul unor modificări pe parcursul ciclului de viață al produsului. Pentru a se asigura că modificările importante sunt comunicate în mod corespunzător tuturor părților implicate, producătorul dispozitivelor medicale este responsabil pentru emiterea și distribuirea actualizărilor (ar putea fi în formă electronică) care descriu abordarea care trebuie aplicată pentru abordarea riscurilor nou identificate. 
2. Furnizați informații despre vulnerabilități și corecții. Conform ghidului, odată ce o nouă vulnerabilitate este descoperită, un producător de dispozitive medicale este responsabil pentru furnizarea informațiilor relevante, precum și a detaliilor despre modul în care vulnerabilitatea menționată ar putea fi atenuată cu succes. După cum a explicat în continuare IMDRF, se așteaptă ca o prioritate ridicată să fie acordată vulnerabilităților cu risc ridicat în care este necesară comunicarea în timp util pentru a preveni deteriorarea pacientului sau întreruperea dispozitivului; în plus, ar trebui furnizate operatorilor dispozitivelor metoda de atenuare (de exemplu, actualizarea prin aer, desfășurarea personalului de service pentru a instala) și instrumentele de implementare. 
3. Furnizați comunicații proactive pentru componente terțe. Uneori, componentele utilizate pentru dispozitiv vor ajunge la sfârșitul suportului înaintea dispozitivelor generale, creând riscuri suplimentare din cauza lipsei suportului pentru astfel de componente. Pentru a aborda astfel de riscuri, producătorii de dispozitive medicale ar trebui:

• Urmăriți starea de asistență a componentelor terțe utilizate în dispozitivul lor;

• Evaluați riscurile care pot exista dacă și când acele componente terțe devin neacceptate;

• Comunicați furnizorii de servicii medicale noile riscuri și orice măsuri de atenuare disponibile. 

Pe lângă aspectele menționate mai sus, producătorii de dispozitive medicale sunt, de asemenea, responsabili pentru comunicarea informațiilor importante despre etapele ciclului de viață al produsului către pacienți. 

Recomandări: Furnizorii de servicii medicale

Documentul prezintă, de asemenea, recomandările care trebuie urmate de furnizorii de servicii medicale care utilizează dispozitive medicale în timpul și după expirarea perioadei de utilizare prevăzute. Conform ghidului, în ceea ce privește etapa de sprijin, furnizorii de asistență medicală ar trebui:

1. Identificați nevoile de informații pentru toate produsele pe care le folosesc. 
2. Comunicații pre-procurement – ​​solicitarea de informații importante pentru producătorii de dispozitive medicale în prealabil, înainte de a achiziționa dispozitivul. 

Pe scurt, prezentul ghid IMDRF subliniază considerentele cheie legate de etapa de suport a ciclului total de viață al produsului. Documentul evidențiază cele mai importante aspecte și, de asemenea, descrie responsabilitățile tuturor părților implicate.

Surse:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Cum poate ajuta RegDesk?

RegDesk este un sistem holistic de management al informațiilor de reglementare care oferă companiilor de dispozitive medicale și farmaceutice informații de reglementare pentru peste 120 de piețe din întreaga lume. Vă poate ajuta să pregătiți și să publicați aplicații globale, să gestionați standarde, să efectuați evaluări ale schimbărilor și să obțineți alerte în timp real privind modificările de reglementare printr-o platformă centralizată. Clienții noștri au, de asemenea, acces la rețeaua noastră de peste 4000 de experți în conformitate din întreaga lume pentru a obține verificarea întrebărilor critice. Expansiunea globală nu a fost niciodată atât de simplă.