Papel da Cibersegurança no Processo de Aprovação 510(k)

Qual é o Papel da Cibersegurança em Dispositivos Médicos?

O processo de aprovação 510(k) é uma via regulamentar utilizada pela Food and Drug Administration dos Estados Unidos (FDA dos US) para avaliar e conceder aprovação para a distribuição comercial de dispositivos médicos. O processo visa garantir que os dispositivos médicos são seguros e eficazes para uso dos pacientes. A FDA dos US define cibersegurança como “[o] processo de prevenção de acesso não autorizado, modificação, uso indevido ou negação de uso, ou o uso não autorizado de informações que são armazenadas, acedidas ou transferidas de um dispositivo médico para um destinatário externo.”

Os dispositivos médicos estão cada vez mais ligados a redes e, consequentemente, são vulneráveis a ameaças de cibersegurança, como pirataria informática, violações de dados e ataques de malware. Abordar a cibersegurança na fase de conceção e desenvolvimento é fundamental para garantir que os dispositivos médicos possuem controlos de segurança adequados. As ameaças e vulnerabilidades não podem ser eliminadas, e reduzir os riscos de cibersegurança é particularmente desafiador. Se a cibersegurança não for mantida adequadamente, poderá levar a uma funcionalidade comprometida dos dispositivos, à perda de dados pessoais ou médicos e à possibilidade de ameaças de segurança se espalharem para outras redes ou dispositivos interligados.

Incidentes Causados por Cibersegurança Comprometida

Incidentes de cibersegurança têm causado a inoperatividade de dispositivos médicos e redes hospitalares, resultando na interrupção da prestação de cuidados de saúde em instalações de saúde nos US. Tais ciberataques e explorações podem também levar a danos para os pacientes devido a riscos clínicos, por exemplo, um atraso no diagnóstico e/ou tratamento de pacientes.

Abaixo estão listados os principais incidentes no setor da saúde que realçam a importância da cibersegurança para a segurança do paciente.

• Em 2017, o ataque de ransomware WannaCry afetou sistemas hospitalares e dispositivos médicos em todo o mundo.
• Em 2020, um ataque de ransomware a um hospital alemão destacou os potenciais impactos do atraso nos cuidados aos pacientes, uma vez que o ataque forçou o desvio de pacientes para outro hospital.

As Principais Considerações de Cibersegurança para a Aprovação 510(k)

Os seguintes são os princípios gerais de cibersegurança para fabricantes de dispositivos médicos, de acordo com a orientação de cibersegurança da US FDA específica para submissões pré-comercialização.

• Regulamento do Sistema de Qualidade (QSR).: Os fabricantes devem abordar as questões de cibersegurança na fase de conceção e desenvolvimento do dispositivo médico, uma vez que isso pode resultar numa mitigação mais robusta e eficiente dos riscos para o doente. Os fabricantes devem estabelecer entradas de conceção relacionadas com a cibersegurança para o seu dispositivo e uma abordagem de gestão de vulnerabilidades de cibersegurança como parte da validação de software e análise de risco exigidas pelo 21 CFR 820.30(g).
• Segurança do Design: Os fabricantes de dispositivos devem garantir que os seus produtos são concebidos tendo em mente a segurança do dispositivo. A FDA dos US avaliará a adequação da segurança, com base na capacidade do dispositivo de fornecer e implementar objetivos de segurança, tais como autenticidade, autorização, disponibilidade, confidencialidade e segurança, e capacidade de atualização atempada em toda a arquitetura do sistema.
• Transparência: A falta de informação de cibersegurança no dispositivo, como a informação necessária para integrar o dispositivo no ambiente de utilização, bem como a informação necessária aos utilizadores para manter a cibersegurança ao longo do ciclo de vida do dispositivo, tem o potencial de afetar a sua segurança e eficácia. Para abordar estas preocupações, é importante que os utilizadores do dispositivo tenham acesso à informação relativa aos controlos de cibersegurança, riscos potenciais e outras informações relevantes.
• Documentação de Submissão: O design e a documentação de cibersegurança do dispositivo devem ser proporcionais ao risco de cibersegurança de um dispositivo. Os fabricantes devem considerar o sistema mais abrangente no qual um dispositivo pode ser utilizado.

Figura 1: Desafios Comuns de Cibersegurança e Soluções

Conclusão

Para resumir, a cibersegurança em dispositivos médicos é crucial para garantir a segurança do paciente e prevenir incidentes que possam perturbar a prestação de cuidados de saúde. Os regulamentos de cibersegurança da US FDA enfatizam a necessidade de os fabricantes abordarem as questões de cibersegurança durante o projeto e desenvolvimento de dispositivos médicos e fornecerem informações transparentes sobre os controlos de cibersegurança. O QSR, a segurança do projeto, a transparência e a documentação de submissão são considerações chave para a aprovação 510(k). É também importante abordar desafios comuns de cibersegurança, como vulnerabilidades em componentes de terceiros e ataques de ransomware, e implementar soluções como análise de risco robusta e atualizações regulares de software.

Para ter um processo de aprovação 510(k) sem complicações e em conformidade, entre em contacto com os nossos especialistas em Regulamentação. Mantenha-se informado! Mantenha-se em conformidade!