Eski cihazlar için siber güvenlik üzerine IMDRF (destek aşaması – iletişim) – RegDesk

İçindekiler:

Mevcut düzenleyici çerçevenin daha da iyileştirilmesi için işbirliği yapan ulusal düzenleyici otoritelerin bir birliği olan Uluslararası Tıbbi Cihaz Düzenleyicileri Forumu (IMDRF), eski tıbbi cihazların siber güvenliğine yönelik ilke ve uygulamalara adanmış bir kılavuz belge yayınladı. Bu tür ürünler, kullanımdayken güncelleme ve yama almamaları nedeniyle siber güvenlik tehditlerine karşı özellikle savunmasız olabileceğinden, ilk üreticileri tarafından daha uzun süre desteklenmektedir. Belgede, eski tıbbi cihazların uygun performansını ve hastaların güvenliğini sağlamak için tıbbi cihaz üreticilerinin yanı sıra sağlık profesyonelleri tarafından da dikkate alınması gereken önemli noktalar vurgulanıyor. Aynı zamanda, rehberin hükümleri hukuki niteliği itibarıyla bağlayıcı değildir ve yeni kurallar getirme veya yeni yükümlülükler getirme amacı taşımamaktadır. IMDRF ayrıca, söz konusu değişikliklerin temel düzenlemelere getirilen değişiklikleri yansıtmak için makul ölçüde gerekli olması veya yeni bilgilerin mevcut olması halinde, burada sağlanan kılavuz ve tavsiyelerde değişiklik yapma hakkını da iptal eder. 

Siber güvenlik konularının, tıbbi cihazlarla yapılan operasyonlarda yer alan tüm tarafların ortak sorumluluğunda olduğunu, dolayısıyla etkin işbirliğinin hayati önem taşıdığını belirtmek de önemlidir. 

Belge, toplam ürün yaşam döngüsünün (TPLC) her bir spesifik aşamasıyla ilgili temel hususları ayrıntılı olarak açıklamaktadır. Mevcut makale, Destek Yaşam Döngüsü Aşaması ile ilgili olanlara ayrılmıştır ve ilgili tarafların temel sorumluluklarının yanı sıra ilgili beklentilerin ana hatlarını çizmektedir.

İletişim: Genel

Belgede öncelikle iletişim konusunda uygulanacak yaklaşım açıklanıyor. Daha önce de belirttiğimiz gibi siber güvenliği sağlamak ve ilgili tehditlere karşı koymak için iletişim hayati önem taşıyor. Belgede ayrıca Destek aşamasındaki tüm iletişimlerin kapsamlı olmasını sağlamanın önemi vurgulanıyor. Rehbere göre, ilk adım olarak tıbbi cihazlarla ilgili operasyonlarda yer alan her bir tarafın, ihtiyaç duyduğu belge ve bilgilerin kapsamını ve bunların elde edilmesi için uygun zamanlamayı belirlemesi gerekiyor. Bu gereklilikler belirlendikten sonra ilgili diğer taraflara iletilmeli ve onlarla mutabakata varılmalıdır. Rehber, dikkate alınması gereken genel tavsiyeler sağlarken, uygulanacak spesifik yaklaşımın duruma göre belirlenmesi gerekmektedir.

Öneriler: Tıbbi Cihaz Üreticileri

IMDRF, tıbbi cihaz üreticilerinin uyması gereken tavsiyelerin ana hatlarını çizerek başlar. Rehbere göre ikincisi şunları yapmalıdır:

1. Söz konusu tıbbi cihazın amacına uygun kullanıldığında güvenliğini ve uygun performansını sağlamak için diğer tarafların makul ölçüde ihtiyaç duyduğu ürün güvenlik belgelerini, riskle ilgili konuları da kapsayacak şekilde sağlayın. Kılavuza göre uygun belgeler şunları içerebilir:
1. Tıbbi Cihaz Güvenliğine İlişkin Üretici Açıklama Beyanı (MDS2);
2. Yazılım Malzeme Listesi (SBOM);
3. Güvenlik testi raporu özetleri, üçüncü taraf güvenlik sertifikaları veya benzeri;
4. Müşteri Güvenliği belgeleri (örneğin, arayüzler, iletişim protokolleri ve ağ oluşturma, Bulut veya sistem için iletişim bağımlılıkları hakkında bilgiler dahil olmak üzere güvenli dağıtım, işletim ve hizmeti sağlamaya yönelik teknik talimatlar).  
2. Cihazın durumunu etkileyen önemli kilometre taşlarıyla (ör. mevcut desteğin sona ereceği tarih) ve kurulum prosedürleriyle ilgili ayrıntılarla ilgili olan Ürün Yaşam Döngüsü Belgelerini sağlayın. Kılavuz ayrıca, mümkün olduğunca önceden bilgi sağlanmasının önemini vurgulamaktadır; mevcut uygulamalara dayalı olarak 2 yıllık süre referans olarak verilmektedir. Tıbbi cihaz üreticilerinin özellikle aşağıdakilerle ilgili bilgi sağlaması beklenmektedir:

• Etkilenen cihaz,

• Cihazın işletim sistemi/sistemleri,

• Dağıtılan cihazın sürümü,

• Yazılım bileşenlerinin tanımlanması,

• Beklenen hizmet değişiklikleri tarihi,

• Bu değişikliklerden sonra mevcut bakımın kapsamı,

• Ek telafi edici kontroller. 

1. İlgili güncellenmiş Ürün Güvenliği ve Yaşam Döngüsü Belgelerini sağlayın. IMDRF, güvenlikle ilgili belgelerin ürünün yaşam döngüsü boyunca değişikliklere tabi olabileceğini kabul eder. Önemli değişikliklerin ilgili tüm taraflara usulüne uygun olarak iletilmesini sağlamak amacıyla, tıbbi cihaz üreticisi, yeni tanımlanan riskleri ele almak için uygulanacak yaklaşımı açıklayan güncellemeleri (elektronik biçimde olabilir) yayınlamak ve dağıtmaktan sorumludur. 
2. Güvenlik Açığı ve Yama Bilgilerini Sağlayın. Kılavuza göre, yeni bir güvenlik açığı keşfedildiğinde tıbbi cihaz üreticisi ilgili bilgilerin yanı sıra söz konusu güvenlik açığının başarılı bir şekilde nasıl azaltılabileceğine ilişkin ayrıntıları sağlamaktan sorumludur. IMDRF tarafından daha ayrıntılı olarak açıklandığı gibi, hastanın zarar görmesini veya cihazın bozulmasını önlemek için zamanında iletişimin gerekli olduğu durumlarda yüksek riskli güvenlik açıklarına yüksek öncelik verilmesi beklenmektedir; ek olarak, azaltma yöntemi (örneğin, kablosuz güncelleme, kurulum için servis personelinin görevlendirilmesi) ve uygulama araçları cihaz operatörlerine sağlanmalıdır. 
3. Üçüncü Taraf Bileşenler için Proaktif İletişim Sağlayın. Bazen cihaz için kullanılan bileşenler, genel cihazlardan önce desteğin sonuna ulaşacak ve bu tür bileşenlerin desteğinin olmaması nedeniyle ek riskler oluşturacaktır. Bu tür riskleri ele almak için tıbbi cihaz üreticileri şunları yapmalıdır:

• Cihazlarında kullanılan üçüncü taraf bileşenlerin destek durumunu takip edin;

• Bu üçüncü taraf bileşenlerin desteklenmemesi durumunda ortaya çıkabilecek riskleri değerlendirin;

• Yeni riskleri ve mevcut hafifletici önlemleri sağlık hizmeti sağlayıcılarına bildirin. 

Tıbbi cihaz üreticilerinin yukarıda sayılanların yanı sıra ürün yaşam döngüsü aşamalarına ilişkin önemli bilgileri hastalara aktarma sorumluluğu da bulunmaktadır. 

Öneriler: Sağlık Hizmeti Sağlayıcıları

Belgede ayrıca, tıbbi cihazları amaçlanan kullanım süresi boyunca ve kullanım süresi dolduktan sonra kullanan sağlık hizmeti sağlayıcılarının uyması gereken öneriler de özetleniyor. Rehbere göre destek aşamasına ilişkin olarak sağlık hizmeti sunucularının şunları yapması gerekiyor:

1. Kullandıkları tüm ürünler için Bilgi İhtiyaçlarını belirleyin. 
2. Tedarik Öncesi İletişim – cihazı tedarik etmeden önce tıbbi cihaz üreticilerinden önemli bilgilerin önceden talep edilmesi. 

Özetle, mevcut IMDRF kılavuzu, toplam ürün yaşam döngüsünün destek aşamasıyla ilgili temel hususları özetlemektedir. Belgede en önemli hususlar vurgulanmakta ve ayrıca ilgili tüm tarafların sorumlulukları açıklanmaktadır.

kaynaklar:

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

RegDesk Nasıl Yardımcı Olabilir?

RegDesk, tıbbi cihaz ve ilaç şirketlerine dünya çapında 120'den fazla pazar için düzenleyici zeka sağlayan bütünsel bir Düzenleyici Bilgi Yönetim Sistemidir. Küresel uygulamaları hazırlamanıza ve yayınlamanıza, standartları yönetmenize, değişiklik değerlendirmeleri yapmanıza ve merkezi bir platform aracılığıyla mevzuat değişiklikleri hakkında gerçek zamanlı uyarılar almanıza yardımcı olabilir. Müşterilerimiz ayrıca kritik sorularda doğrulama almak için dünya çapında 4000'den fazla uyum uzmanı ağımıza erişebilir. Küresel genişleme hiç bu kadar basit olmamıştı.