2 min di lettura
Sebbene la digitalizzazione e l'Internet delle cose (IoT) abbiano migliorato le prestazioni dei dispositivi medici, li hanno anche resi vulnerabili alle minacce informatiche. I malware e gli spyware che colpiscono i dispositivi sono in aumento. Gli hacker cercano falle nei dispositivi e nei software correlati per manometterli e compromettere i dati degli utenti alterandone il funzionamento. Tutte queste avversità ostacolano gli sforzi delle organizzazioni per proteggere i dati degli utenti e prevenire i danni.
Per affrontare la minaccia della cybersicurezza sui dispositivi medici, tutte le autorità sanitarie membri dell'International Medical Device Regulators Forum (IMDRF) hanno pubblicato bozze di linee guida con politiche normative per le fasi precedenti la commercializzazione. Tuttavia, la Therapeutic Goods Administration (TGA) australiana ha anticipato la necessità di regolamentazione anche nella fase successiva alla commercializzazione dei dispositivi, pubblicando una bozza di linea guida che copre l'intero ciclo di vita del prodotto (TPLC).
A chi si applicano le linee guida?
L'approccio TPLC proposto dalla TGA si concentra sul costante aggiornamento dei sistemi di gestione della qualità, delle procedure di gestione dei rischi e delle procedure di gestione delle modifiche. Poiché le linee guida coprono gli aspetti sia precedenti che successivi alla commercializzazione, le loro normative sono destinate ai vari soggetti interessati elencati di seguito.
- Produttori che sviluppano software come dispositivi medici (SaMD)
- Produttori di dispositivi che includono componenti software vulnerabili alla cybersicurezza
- Sponsor responsabili della fornitura di dispositivi in Australia
- Professionisti sanitari che utilizzano dispositivi medici per diagnosticare e trattare i pazienti
- Ingegneri clinici e biomedici responsabili della gestione dei dispositivi in ambito sanitario e medico
- Personale amministrativo generale e IT responsabile di sistemi, procedure e processi nell'ambito dei servizi sanitari e medici
- Consumatori che utilizzano un dispositivo medico registrato
- sotto la guida del proprio professionista sanitario e medico
- che non richiede supervisione medica
Guida per il settore dei dispositivi medici:
Nel contempo, la guida aiuta il settore dei dispositivi medici a prepararsi ad affrontare i problemi di sicurezza informatica, sottolineando inoltre che i dispositivi devono essere inclusi nell'Australian Register of Therapeutic Goods (ARTG) per poter essere commercializzati nel paese. Tuttavia, l'inclusione nell'ARTG richiede valutazioni che coprono l'intero ciclo di vita di un dispositivo medico, suddiviso nelle seguenti quattro fasi:
- Fase pre-commercializzazione tramite valutazione della conformità
- Autorizzazione alla commercializzazione tramite inclusione nell'ARTG
- Monitoraggio post-commercializzazione
- Fine vita / revoca del supporto
La guida afferma inoltre che i produttori sono gli unici responsabili della valutazione e della gestione dei rischi legati alla sicurezza informatica del dispositivo sia nella fase pre-commercializzazione sia in quella post-commercializzazione. A tal fine, devono tenere conto di determinati aspetti in entrambe le fasi, tra cui:
- Considerazioni pre-commercializzazione: Queste considerazioni includono i rischi durante la progettazione e lo sviluppo dei dispositivi medici e sono di tipo generale e tecnico.
- Considerazioni generali come l'approccio di sviluppo, l'applicazione degli standard, le strategie di gestione del rischio, la valutazione della catena di fornitura e la fornitura di informazioni per gli utenti
- Considerazioni tecniche come i test sulle prestazioni di sicurezza informatica, l'architettura di design modulare, la sicurezza della piattaforma operativa, il software emergente e l'accesso sicuro e la fornitura di contenuti
- Considerazioni post-commercializzazione: Nell'ambito del regime post-commercializzazione, i produttori e gli sponsor dei dispositivi sono tenuti a valutare e ad affrontare continuamente i rischi legati alla sicurezza informatica. Ciò include la comprensione dei rischi e delle minacce e la risposta agli stessi quando si verificano.
Punti salienti della guida:
Mentre altri enti di regolamentazione dell'IMDRF hanno elencato i principi di sicurezza informatica pre-commercializzazione, la TGA ha fatto un passo in più elencando 15 "principi essenziali", tra cui l'attenzione alla sicurezza a lungo termine. Inoltre, sono stati aggiunti altri otto principi essenziali alla guida per affrontare la prevenzione dei malware. La guida evidenzia il quadro di sicurezza informatica sviluppato dal National Institute of Standards and Technology degli US. Include inoltre esempi comuni di vulnerabilità, standard noti che aiutano a rafforzare la sicurezza e istruzioni per gli utenti finali, le sperimentazioni cliniche e le strutture sanitarie che utilizzano i dispositivi.
La bozza di guida comprende una gamma completa di informazioni per implementare l'approccio TLPC per i produttori di dispositivi medici. Tuttavia, la versione attuale della guida è intesa per raccogliere commenti e sono previste modifiche nelle prossime versioni. Per rimanere conformi e sicuri, le parti interessate devono agire con dovuto anticipo con l'ausilio di un esperto regolatorio in dispositivi medici. Resta conforme.
