IMDRF เกี่ยวกับความปลอดภัยทางไซเบอร์สำหรับอุปกรณ์รุ่นเก่า (ระยะสนับสนุน – การสื่อสาร) – RegDesk

สารบัญ:

International Medical Device Regulators Forum (IMDRF) ซึ่งเป็นสมาคมของหน่วยงานกำกับดูแลระดับชาติที่ร่วมมือกันเพื่อปรับปรุงกรอบการกำกับดูแลที่มีอยู่ต่อไป ได้เผยแพร่เอกสารคำแนะนำที่เกี่ยวข้องกับหลักการและแนวปฏิบัติสำหรับความปลอดภัยทางไซเบอร์ของอุปกรณ์การแพทย์รุ่นเก่า ซึ่งไม่ใช่ ได้รับการสนับสนุนจากผู้ผลิตเริ่มแรกนานขึ้น เนื่องจากผลิตภัณฑ์ดังกล่าวอาจเสี่ยงต่อภัยคุกคามความปลอดภัยทางไซเบอร์เป็นพิเศษ เนื่องจากไม่ได้รับการอัปเดตและแพตช์ในขณะที่ยังมีการใช้งานอยู่ เอกสารดังกล่าวเน้นประเด็นสำคัญที่ผู้ผลิตอุปกรณ์การแพทย์และผู้เชี่ยวชาญด้านสุขภาพต้องพิจารณา เพื่อรับรองประสิทธิภาพที่เหมาะสมของอุปกรณ์การแพทย์รุ่นเก่าและความปลอดภัยของผู้ป่วย ในเวลาเดียวกัน บทบัญญัติของคำแนะนำไม่มีผลผูกพันในลักษณะทางกฎหมาย และไม่ได้มีวัตถุประสงค์เพื่อแนะนำกฎใหม่หรือกำหนดภาระผูกพันใหม่ นอกจากนี้ IMDRF ยังขอคืนสิทธิในการแก้ไขคำแนะนำและคำแนะนำที่ให้ไว้ในนั้น หากการเปลี่ยนแปลงดังกล่าวมีความจำเป็นตามสมควรเพื่อสะท้อนถึงการแก้ไขกฎระเบียบที่เกี่ยวข้อง หรือมีข้อมูลใหม่เกิดขึ้น 

สิ่งสำคัญที่ต้องกล่าวถึงคือเรื่องความปลอดภัยทางไซเบอร์อยู่ในความรับผิดชอบร่วมกันของทุกฝ่ายที่เกี่ยวข้องกับการปฏิบัติงานเกี่ยวกับอุปกรณ์ทางการแพทย์ ดังนั้นความร่วมมือที่มีประสิทธิภาพของพวกเขาจึงมีความสำคัญอย่างยิ่ง 

เอกสารนี้จะอธิบายรายละเอียดเกี่ยวกับข้อควรพิจารณาหลักๆ ที่เกี่ยวข้องกับแต่ละขั้นตอนของวงจรชีวิตผลิตภัณฑ์ทั้งหมด (TPLC) บทความนี้จัดทำขึ้นโดยเฉพาะสำหรับบทความที่เกี่ยวข้องกับระยะวงจรชีวิตการสนับสนุน และสรุปความรับผิดชอบหลักของทุกฝ่ายที่เกี่ยวข้อง เช่นเดียวกับความคาดหวังที่เกี่ยวข้อง

การสื่อสาร: ทั่วไป

ประการแรก เอกสารนี้จะอธิบายแนวทางที่จะนำไปใช้กับการสื่อสาร ตามที่กล่าวไว้ก่อนหน้านี้ การสื่อสารมีความสำคัญอย่างยิ่งต่อการรับรองความปลอดภัยทางไซเบอร์และทนต่อภัยคุกคามที่เกี่ยวข้อง เอกสารนี้ยังเน้นย้ำถึงความสำคัญของการทำให้แน่ใจว่าการสื่อสารทั้งหมดในระหว่างขั้นตอนการสนับสนุนมีความครอบคลุม ตามคำแนะนำ ในขั้นตอนแรก แต่ละฝ่ายที่เกี่ยวข้องในการใช้งานอุปกรณ์ทางการแพทย์ควรเริ่มต้นด้วยการกำหนดขอบเขตของเอกสารและข้อมูลที่ต้องการ ตลอดจนกำหนดเวลาที่เหมาะสมในการได้รับอุปกรณ์ เมื่อพิจารณาแล้ว ควรสื่อสารข้อกำหนดเหล่านี้และตกลงกับฝ่ายอื่นๆ ที่เกี่ยวข้อง คำแนะนำดังกล่าวให้คำแนะนำทั่วไปที่ต้องพิจารณา ในขณะที่แนวทางเฉพาะที่จะใช้ควรพิจารณาเป็นรายกรณี

คำแนะนำ: ผู้ผลิตอุปกรณ์การแพทย์

IMDRF เริ่มต้นด้วยการสรุปคำแนะนำที่ผู้ผลิตอุปกรณ์ทางการแพทย์ควรปฏิบัติตาม ตามคำแนะนำหลังควร:

1. จัดเตรียมเอกสารด้านความปลอดภัยของผลิตภัณฑ์ที่บุคคลอื่นจำเป็นตามสมควร เพื่อให้มั่นใจในความปลอดภัยและประสิทธิภาพที่เหมาะสมของอุปกรณ์ทางการแพทย์ที่เป็นปัญหาเมื่อใช้ตามวัตถุประสงค์ที่ตั้งใจไว้ และครอบคลุมเรื่องที่เกี่ยวข้องกับความเสี่ยงด้วย ตามคำแนะนำ เอกสารที่เหมาะสมอาจรวมถึง:
1. คำชี้แจงการเปิดเผยข้อมูลของผู้ผลิตสำหรับความปลอดภัยของอุปกรณ์การแพทย์ (MDS2);
2. รายการวัสดุซอฟต์แวร์ (SBOM);
3. สรุปรายงานการทดสอบความปลอดภัย ใบรับรองความปลอดภัยจากบุคคลที่สาม หรือที่คล้ายกัน
4. เอกสารประกอบการรักษาความปลอดภัยของลูกค้า (เช่น คำแนะนำทางเทคนิคเพื่อให้แน่ใจว่าการใช้งาน การทำงาน และการบริการมีความปลอดภัย รวมถึงข้อมูลเกี่ยวกับอินเทอร์เฟซ โปรโตคอลการสื่อสาร และเครือข่าย ระบบคลาวด์ หรือการพึ่งพาการสื่อสารสำหรับระบบ)  
2. จัดทำเอกสารวงจรชีวิตผลิตภัณฑ์ ซึ่งเกี่ยวข้องกับเหตุการณ์สำคัญที่สำคัญที่ส่งผลต่อสถานะของอุปกรณ์ (เช่น วันที่สิ้นสุดการสนับสนุนปัจจุบัน) รวมถึงรายละเอียดเกี่ยวกับขั้นตอนการติดตั้ง คำแนะนำนี้ยังเน้นย้ำถึงความสำคัญของการให้ข้อมูลล่วงหน้ามากที่สุดเท่าที่เป็นไปได้ โดยให้จำนวน 2 ปีไว้เป็นข้อมูลอ้างอิงตามแนวทางปฏิบัติในปัจจุบัน โดยเฉพาะอย่างยิ่ง ผู้ผลิตอุปกรณ์ทางการแพทย์ควรให้ข้อมูลที่เกี่ยวข้องกับ:

• อุปกรณ์ที่ได้รับผลกระทบ

• ระบบปฏิบัติการของอุปกรณ์

• เวอร์ชันของอุปกรณ์ที่ใช้งาน

• การระบุส่วนประกอบซอฟต์แวร์

• วันที่คาดว่าจะมีการเปลี่ยนแปลงการให้บริการ

• ขอบเขตของการบำรุงรักษาที่มีอยู่หลังจากการเปลี่ยนแปลงเหล่านั้น

• การควบคุมการชดเชยเพิ่มเติม 

1. จัดเตรียมเอกสารประกอบด้านความปลอดภัยของผลิตภัณฑ์และวงจรการใช้งานที่ได้รับการอัปเดตที่เกี่ยวข้อง IMDRF รับทราบว่าเอกสารที่เกี่ยวข้องกับความปลอดภัยอาจมีการเปลี่ยนแปลงตลอดวงจรชีวิตของผลิตภัณฑ์ เพื่อให้มั่นใจว่าการเปลี่ยนแปลงที่สำคัญได้รับการสื่อสารอย่างถูกต้องไปยังทุกฝ่ายที่เกี่ยวข้อง ผู้ผลิตอุปกรณ์การแพทย์มีหน้าที่รับผิดชอบในการออกและเผยแพร่ข้อมูลอัปเดต (อาจอยู่ในรูปแบบอิเล็กทรอนิกส์) โดยอธิบายแนวทางที่จะนำไปใช้เพื่อจัดการกับความเสี่ยงที่ระบุใหม่ 
2. ให้ข้อมูลช่องโหว่และการแก้ไข ตามคำแนะนำดังกล่าว เมื่อมีการค้นพบช่องโหว่ใหม่ ผู้ผลิตอุปกรณ์ทางการแพทย์มีหน้าที่รับผิดชอบในการให้ข้อมูลที่เกี่ยวข้อง ตลอดจนรายละเอียดเกี่ยวกับวิธีการบรรเทาช่องโหว่ดังกล่าวได้สำเร็จ ตามที่ IMDRF อธิบายเพิ่มเติม เป็นที่คาดหวังว่าควรให้ความสำคัญกับช่องโหว่ที่มีความเสี่ยงสูงซึ่งจำเป็นต้องมีการสื่อสารอย่างทันท่วงทีเพื่อป้องกันอันตรายต่อผู้ป่วยหรือการหยุดชะงักของอุปกรณ์ นอกจากนี้ ควรจัดเตรียมวิธีการบรรเทาผลกระทบ (เช่น การอัปเดตผ่านทางอากาศ การปรับใช้บุคลากรบริการเพื่อติดตั้ง) และเครื่องมือการใช้งานแก่ผู้ปฏิบัติงานอุปกรณ์ 
3. ให้การสื่อสารเชิงรุกสำหรับส่วนประกอบของบุคคลที่สาม บางครั้งส่วนประกอบที่ใช้สำหรับอุปกรณ์จะสิ้นสุดการสนับสนุนก่อนอุปกรณ์โดยรวม ทำให้เกิดความเสี่ยงเพิ่มเติมเนื่องจากขาดการสนับสนุนส่วนประกอบดังกล่าว เพื่อจัดการกับความเสี่ยงดังกล่าว ผู้ผลิตอุปกรณ์การแพทย์ควร:

• ติดตามสถานะการสนับสนุนของส่วนประกอบของบุคคลที่สามที่ใช้ภายในอุปกรณ์ของพวกเขา

• ประเมินความเสี่ยงที่อาจเกิดขึ้นหากและเมื่อส่วนประกอบของบุคคลที่สามเหล่านั้นไม่รองรับ

• สื่อสารความเสี่ยงใหม่ ๆ และการบรรเทาผลกระทบใด ๆ ที่มีอยู่ให้กับผู้ให้บริการด้านการดูแลสุขภาพ 

นอกเหนือจากประเด็นที่กล่าวมาข้างต้น ผู้ผลิตอุปกรณ์การแพทย์ยังต้องรับผิดชอบในการสื่อสารข้อมูลที่สำคัญเกี่ยวกับระยะวงจรชีวิตผลิตภัณฑ์ให้กับผู้ป่วยอีกด้วย 

คำแนะนำ: ผู้ให้บริการด้านการดูแลสุขภาพ

เอกสารยังสรุปคำแนะนำที่ต้องปฏิบัติตามโดยผู้ให้บริการด้านการแพทย์ที่ใช้อุปกรณ์ทางการแพทย์ในระหว่างและหลังสิ้นสุดระยะเวลาการใช้งานที่กำหนด ตามคำแนะนำ ในส่วนที่เกี่ยวกับระยะการสนับสนุน ผู้ให้บริการด้านสุขภาพควร:

1. ระบุความต้องการข้อมูลสำหรับผลิตภัณฑ์ทั้งหมดที่พวกเขาใช้ 
2. การสื่อสารก่อนการจัดซื้อ – การขอข้อมูลสำคัญแก่ผู้ผลิตอุปกรณ์การแพทย์ล่วงหน้าก่อนจัดซื้ออุปกรณ์ 

โดยสรุป คำแนะนำ IMDRF ฉบับปัจจุบันได้สรุปข้อควรพิจารณาที่สำคัญที่เกี่ยวข้องกับระยะการสนับสนุนของวงจรชีวิตผลิตภัณฑ์ทั้งหมด เอกสารนี้เน้นประเด็นที่สำคัญที่สุดและยังอธิบายถึงความรับผิดชอบของทุกฝ่ายที่เกี่ยวข้อง

แหล่งที่มา:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

RegDesk สามารถช่วยได้อย่างไร?

RegDesk เป็นระบบการจัดการข้อมูลกฎระเบียบแบบองค์รวมที่จัดหาอุปกรณ์การแพทย์และบริษัทยาด้วยข่าวกรองด้านกฎระเบียบสำหรับตลาดกว่า 120 แห่งทั่วโลก สามารถช่วยคุณจัดเตรียมและเผยแพร่แอปพลิเคชันทั่วโลก จัดการมาตรฐาน ดำเนินการประเมินการเปลี่ยนแปลง และรับการแจ้งเตือนตามเวลาจริงเกี่ยวกับการเปลี่ยนแปลงกฎระเบียบผ่านแพลตฟอร์มส่วนกลาง ลูกค้าของเรายังสามารถเข้าถึงเครือข่ายผู้เชี่ยวชาญด้านการปฏิบัติตามกฎระเบียบกว่า 4000 แห่งทั่วโลกเพื่อรับการยืนยันสำหรับคำถามที่สำคัญ การขยายตัวทั่วโลกไม่เคยง่ายอย่างนี้มาก่อน