Smernice IMDRF o kibernetski varnosti za starejše naprave: omejena podpora, konec storitve in ocena tveganja | RegDesk

Kazalo:

Mednarodni forum regulatorjev medicinskih pripomočkov (IMDRF), prostovoljno združenje nacionalnih regulativnih organov na področju medicinskih pripomočkov, ki sodelujejo za nadaljnje izboljšave obstoječega regulativnega okvira, je objavil dokument z navodili, posvečen zadevam kibernetske varnosti v kontekstu podedovanih naprav. Dokument ponuja pregled najpomembnejših vidikov, ki jih morajo upoštevati vse vpletene strani, ter podaja dodatna priporočila, ki jih je treba upoštevati, da se zagotovi stalna učinkovitost medicinskih pripomočkov in varnost pacientov. Hkrati je sam dokument po svoji naravi nezavezujoč, niti ni namenjen uvajanju novih pravil ali nalaganju novih obveznosti. Poleg tega se priporočila, navedena v njem, lahko spremenijo, če bi bile takšne spremembe razumno potrebne zaradi novih informacij, ki so na voljo oblastem in IMDRF. 

IMDRF priznava, da bi nekatere medicinske pripomočke, ki jih je dovoljeno tržiti in uporabljati, dejansko lahko uporabljali dlje od pričakovane življenjske dobe, čeprav jih njihovi prvotni proizvajalci celo ne podpirajo. V takem primeru ne prejemajo več posodobitev in varnostnih popravkov, namenjenih reševanju novih kibernetskih groženj, ki se pojavljajo, kar povzroči dodatna kibernetska varnostna tveganja, ki so jim osebe, ki uporabljajo takšne naprave, izpostavljene. Te smernice opisujejo pristop, ki ga morajo upoštevati vse strani, vključene v operacije z medicinskimi pripomočki, vključno s proizvajalci medicinskih pripomočkov in zdravstvenimi ustanovami, saj so zadeve, povezane s kibernetsko varnostjo, v skupni odgovornosti vseh strani. 

Dokument zlasti podrobno opisuje specifične faze celotnega življenjskega cikla izdelka (TPLC) in izpostavlja najpomembnejše zadeve, ki jih je treba upoštevati na vsaki stopnji z vidika kibernetske varnosti.

Omejena podpora

V skladu s smernicami so naprave znotraj stopnje omejene podpore, ki je tretja stopnja, izdelki, ki:

1. Uporabljajo se za oskrbo bolnikov in 
2. jih je proizvajalec medicinskih pripomočkov razglasil za EOL in jih njihov ustrezni proizvajalec medicinskih pripomočkov trenutno ne trži ali prodaja, ali
3. Vsebujejo komponente programske opreme, vdelane programske opreme ali programabilne strojne opreme (npr. CPE), ki (a) jih njihovi razvijalci ne podpirajo in (b) katerih tveganja za varnost in učinkovitost naprave so zmanjšana, kar ima za posledico napravo, ki jo je mogoče razumno zaščititi pred trenutnimi grožnjami kibernetske varnosti. . 

Kot je nadalje pojasnil IMDRF, so na tej stopnji proizvajalci medicinskih pripomočkov še vedno odgovorni za obravnavo groženj kibernetski varnosti, kadar koli je to mogoče. Na primer, če začetni proizvajalec ne bi mogel razviti posodobitev, bi lahko uporabili združljive izdelke tretjih oseb. 

Na tej stopnji je naprava močno odvisna od varnostnih ukrepov in kontrol, ki so vključeni v zasnovo. Obenem mora začetni proizvajalec izdelka ustrezno obvestiti uporabnike o morebitnih omejitvah ali grožnjah, ki bi lahko še obstajale, ter sporočiti informacije o dodatnih ukrepih varnostne zaščite, ki jih je treba sprejeti. V primerjavi z izdelki v drugi stopnji naprave, ki so v tretji stopnji, pogosto zahtevajo dodatne kompenzacijske kontrole.

Konec storitve

Četrta stopnja – konec storitve (EOS) – velja za medicinske pripomočke, ki:

• Uporabljajo se za oskrbo bolnikov in
• jih je proizvajalec medicinskih pripomočkov razglasil za EOS in jih njihovi ustrezni proizvajalci medicinskih pripomočkov trenutno ne tržijo ali prodajajo, ali
• Vsebujejo programsko opremo, vdelano programsko opremo ali komponente strojne opreme, ki jih je mogoče programirati (npr. CPE), ki (a) jih njihovi razvijalci ne podpirajo in (b) katerih tveganja za varnost in učinkovitost naprave niso zmanjšana, zaradi česar naprave ni mogoče razumno zaščititi pred trenutno kibernetsko varnostjo. grožnje. 

Navedeno je tudi, da bi morali proizvajalci medicinskih pripomočkov obvestiti uporabnike, da zadevni pripomoček ne bo več podprt, ter sporočiti informacije o morebitnih tveganjih in načinih, kako jih je mogoče ublažiti.

Ocena tveganja

Dokument opisuje tudi pristop, ki ga je treba uporabiti pri ocenjevanju tveganja za sprožitev prehoda v različne faze življenjskega cikla. Zlasti IMDRF omenja, da so lahko datumi, ko je EOS dosežen za medicinski pripomoček in njegove komponente programske opreme, različni – na primer, komponenta programske opreme tretje osebe ima lahko zavestno krajšo podprto življenjsko dobo, ko je naprava prodana, ali pa je lahko nenadoma razglašena za nepodprto leta, preden je proizvajalec medicinske naprave objavil datum konca storitve. Tako mora v primerih, ko je podpora programski komponenti, ki jo je razvila tretja oseba, vnaprej znana, proizvajalec pripraviti načrte, ki pokrivajo tveganja, ki nastanejo v zvezi s tem. IMDRF dodatno poudarja pomen obvladovanja tveganj, povezanih z morebitno nenadno nesinhronizacijo izjave EOS s samo napravo. V zvezi s tem je treba upoštevati naslednji pristop:

• Če ena sama pripomba v napravi postane EOL/EOS, potem to služi kot sprožilec za MDM, da izvede oceno tveganja, da ugotovi, ali obstaja tveganje za varnost pacienta, in če obstaja, kakšno. 
• Če obstajajo vplivi na varnost pacientov in je naprava v fazi podpore, morajo MDM-ji poskušati zmanjšati tveganje nepodprte komponente s posodobitvijo ali drugo spremembo zasnove. 
• Če obstajajo vplivi na varnost pacienta in je pripomoček v fazi omejene podpore, morajo MDM poskušati ublažiti tveganje nepodprte komponente (npr. s spremembo zasnove ali kompenzacijskim nadzorom). 

Če povzamemo, ta dokument s smernicami IMDRF podrobno opisuje pristop, ki ga je treba uporabiti v okviru ocene tveganja, in zagotavlja tudi dodatna pojasnila v zvezi s stopnjama »Omejena podpora« in »Konec storitve« celotnega življenjskega cikla izdelka. Dokument poudarja pomen uvedbe dodatnih ukrepov, potrebnih za zagotavljanje varnosti in pravilnega delovanja medicinskega pripomočka, ko ga proizvajalec ne podpira več.

Viri:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

Kako lahko RegDesk pomaga?

RegDesk je holistični sistem za upravljanje regulativnih informacij, ki podjetjem za medicinske pripomočke in farmacevtska podjetja zagotavlja regulativne informacije za več kot 120 trgov po vsem svetu. Pomaga vam lahko pri pripravi in ​​objavi globalnih aplikacij, upravljanju standardov, izvajanju ocen sprememb in prejemanju opozoril v realnem času o regulativnih spremembah prek centralizirane platforme. Naše stranke imajo tudi dostop do naše mreže več kot 4000 strokovnjakov za skladnost po vsem svetu, da pridobijo preverjanje kritičnih vprašanj. Globalna širitev še nikoli ni bila tako preprosta.