关于旧设备网络安全的 IMDRF（支持阶段 - 通信） – RegDesk

目录：

国际医疗器械监管机构论坛 (IMDRF) 是一个由国家监管机构组成的协会，旨在进一步改进现有监管框架，该协会发布了一份指导文件，专门讨论传统医疗器械网络安全的原则和实践——这些器械是不被认可的医疗器械。不再受到最初制造商的支持——因为此类产品由于在使用过程中未收到更新和补丁而特别容易受到网络安全威胁。该文件强调了医疗设备制造商和医疗保健专业人员应考虑的要点，以确保传统医疗设备的正常性能和患者的安全。同时，该指南的条款在法律性质上不具有约束力，也无意引入新规则或施加新义务。 IMDRF 还撤销了修改其中提供的指导和建议的权利，如果此类更改是合理必要的，以反映对基本法规的修订或新信息的出现。 

值得一提的是，网络安全问题属于医疗器械运营各方的共同责任，因此他们的有效合作至关重要。 

该文件详细描述了与整个产品生命周期（TPLC）的每个特定阶段相关的关键考虑因素。本文专门讨论与支持生命周期阶段相关的问题，并概述了相关各方的主要职责以及相关期望。

通讯：一般

首先，该文件描述了通信方面适用的方法。正如之前提到的，通信对于确保网络安全和抵御相关威胁至关重要。该文件还强调了确保支持阶段所有沟通全面的重要性。根据该指南，作为第一步，参与医疗器械运营的各方应首先确定所需文件和信息的范围，以及获取这些文件和信息的适当时间。一旦确定，这些要求应传达给其他相关方并征得其同意。该指南提供了需要考虑的一般建议，而具体采用的方法应根据具体情况确定。

建议：医疗器械制造商

IMDRF 首先概述了医疗器械制造商应遵循的建议。根据指导意见，后者应：

1. 提供其他方合理需要的产品安全文件，以确保相关医疗器械在用于其预期目的时的安全性和正常性能，还包括风险相关事项。根据该指南，适当的文件可能包括：
1. 医疗器械安全制造商披露声明 (MDS2)；
2. 软件物料清单 (SBOM)；
3. 安全测试报告摘要、第三方安全认证或类似信息；
4. 客户安全文档（例如，确保安全部署、操作和服务的技术说明，包括有关系统的接口、通信协议以及网络、云或通信依赖性的信息）。  
2. 提供产品生命周期文档 - 与影响设备状态的关键里程碑相关的文档（例如，当前支持停止的日期），以及安装过程的详细信息。该指南还强调了尽可能提前提供信息的重要性——根据当前做法提供了两年作为参考。特别是，医疗器械制造商应提供以下相关信息：

• 受影响的设备，

• 设备的操作系统，

• 部署的设备版本，

• 软件组件的识别，

• 预计服务变更日期，

• 这些更改后任何可用维护的范围，

• 附加补偿控制。 

1. 提供相关更新的产品安全和生命周期文档。 IMDRF 承认与安全相关的文档可能会在产品的整个生命周期中发生变化。为了确保重要的变更及时传达给所有相关方，医疗器械制造商负责发布和分发更新（可以是电子形式），描述用于解决新发现的风险的方法。 
2. 提供漏洞和补丁信息。根据该指南，一旦发现新的漏洞，医疗设备制造商有责任提供相关信息，以及如何成功缓解该漏洞的详细信息。正如 IMDRF 进一步解释的那样， 预计应高度重视需要及时沟通以防止患者伤害或设备中断的高风险漏洞；此外，还应向设备运营商提供缓解方法（例如，无线更新、部署服务人员进行安装）和实施工具。 
3. 为第三方组件提供主动通信。有时，用于设备的组件将在整个设备之前达到支持终止，从而由于缺乏对此类组件的支持而产生额外的风险。为了应对此类风险，医疗器械制造商应该：

• 跟踪其设备中使用的第三方组件的支持状态；

• 评估当这些第三方组件不受支持时可能存在的风险；

• 向医疗保健提供者传达新的风险和任何可用的缓解措施。 

除了上述方面之外，医疗器械制造商还负责向患者传达有关产品生命周期阶段的重要信息。 

建议：医疗保健提供者

该文件还概述了医疗保健提供者在预期使用期限期间和到期后使用医疗设备时应遵循的建议。根据指南，在支持阶段，医疗保健提供者应：

1. 确定他们正在使用的所有产品的信息需求。 
2. 采购前沟通——在采购设备之前提前向医疗设备制造商索取重要信息。 

总之，当前的 IMDRF 指南概述了与整个产品生命周期的支持阶段相关的关键考虑因素。该文件强调了最重要的方面，并描述了所有相关方的责任。

来源：

https://www.imdrf.org/documents/principles-and-practices-cybersecurity-legacy-medical-devices

RegDesk 如何提供帮助？

RegDesk 是一个全面的监管信息管理系统，可为医疗器械和制药公司提供全球 120 多个市场的监管情报。 它可以帮助您准备和发布全球应用程序、管理标准、运行变更评估，并通过集中式平台获得有关监管变更的实时警报。 我们的客户还可以访问我们由全球 4000 多名合规专家组成的网络，以获得关键问题的验证。 全球扩张从未如此简单。