3 min de leitura
Com a convergência de tecnologias e a conectividade de dispositivos médicos a várias redes, existe um risco aumentado de exploração da cibersegurança, o que afeta o funcionamento do dispositivo. Por conseguinte, é essencial dispor de um sistema eficaz de cibersegurança para dispositivos médicos, de modo a evitar ciberataques e a garantir o funcionamento seguro dos dispositivos médicos. Recomenda-se que todas as partes interessadas em dispositivos médicos harmonizem as suas abordagens de cibersegurança ao longo do ciclo de vida dos dispositivos médicos, desde a conceção do produto, atividades de gestão de riscos, rotulagem do dispositivo, requisitos de submissão regulatória até à partilha de informações e atividades pós-comercialização.
Existem alguns princípios regulatórios gerais para a cibersegurança dos dispositivos durante o seu desenvolvimento, regulação, utilização e monitorização. Espera-se que estes princípios tenham um impacto positivo na segurança do paciente quando seguidos e implementados sem falhas. Vamos analisá-los aqui.
Princípios Regulatórios para a Cibersegurança de Dispositivos Médicos
Considerações Pré-mercado: Existem alguns elementos que o fabricante deve abordar durante a conceção e o desenvolvimento de um dispositivo médico antes da sua entrada no mercado, que são designados por elementos pré-mercado, e que incluem:
- Conceção de recursos de segurança para o produto
- A aplicação de estratégias de gestão de risco aceites
- Testes de segurança
- Fornecimento de informações úteis para que os utilizadores operem o dispositivo com segurança
- Um plano abrangente para atividades pós-mercado
Gestão de Risco para o Ciclo de Vida Total do Produto (TPLC): Ao longo do ciclo de vida de um dispositivo médico, os fabricantes devem considerar a incorporação de princípios sólidos de gestão de risco, que abordem os aspetos de segurança e proteção. No processo de gestão de risco de um dispositivo médico, deve considerar-se o seguinte:
- Um risco de cibersegurança que afete a segurança do dispositivo e o desempenho essencial e
- Afete negativamente as operações clínicas ou resulte em erros de diagnóstico ou terapêuticos
Os fabricantes devem utilizar os seguintes passos como parte do seu processo de gestão de risco:
- Identificar todas as vulnerabilidades de cibersegurança
- Estimar e avaliar os riscos associados
- Controlar os riscos para um nível aceitável
- Monitorizar e avaliar a eficácia dos controlos de risco
- Comunicar os riscos às partes interessadas principais através de divulgação coordenada
Rotulagem: Relativamente aos riscos de cibersegurança, a rotulagem desempenha um papel importante na comunicação de informações de segurança relevantes aos utilizadores finais. Inclui os seguintes elementos:
- Instruções do dispositivo e especificações do produto relacionadas com os controlos de cibersegurança recomendados
- adequadas para o ambiente de uso pretendido
- Descrição das funções de cópia de segurança e restauro e procedimentos para recuperar configurações
- Uma lista de portas de rede e outras interfaces que se espera que recebam e/ou enviem dados,
- descrição da funcionalidade das portas e se as portas são de entrada ou de saída
- Diagramas de sistema suficientemente detalhados para os utilizadores finais
Documentação para Submissões Regulatórias: Os fabricantes de dispositivos médicos devem documentar e resumir claramente as atividades relacionadas com a cibersegurança. Para avaliar o dispositivo médico antes da entrada no mercado, a entidade reguladora pode exigir este tipo de documentação, dependendo da classe de risco do dispositivo, ou pode solicitá-la durante a fase pós-mercado do ciclo de vida do produto. Deve ser submetida uma documentação clara pelo fabricante, descrevendo as características de conceção do dispositivo, as atividades de gestão de risco, os testes, a rotulagem e evidências de um plano para monitorizar e responder a ameaças emergentes ao longo do ciclo de vida do produto.
Considerações Pós-mercado: Com o passar do tempo, as vulnerabilidades mudam e os controlos pré-mercado concebidos e implementados podem tornar-se inadequados para manter um perfil de risco aceitável. Por conseguinte, uma abordagem pós-mercado é muito importante e necessária, na qual várias partes interessadas desempenham um papel fundamental. A abordagem pós-mercado abrange vários elementos e inclui a operação do dispositivo no ambiente pretendido, a partilha de informações, a divulgação coordenada de vulnerabilidades, a melhoria das capacidades de segurança, a remediação de vulnerabilidades, a resposta a incidentes e os dispositivos legados. Dependendo da classe do dispositivo, deve ser elaborado um relatório de Vigilância Pós-mercado (PMS), resumindo os resultados e conclusões de toda a análise de dados do mercado.
Após conhecer alguns dos princípios da cibersegurança de dispositivos, recomenda-se que os fabricantes implementem um enquadramento regulamentar definido para a cibersegurança de dispositivos médicos. Com o aumento de dispositivos médicos ligados à internet e a outras redes, existe o risco de os piratas informáticos se envolverem em atividades maliciosas. Por conseguinte, aconselha-se os fabricantes de dispositivos médicos a permanecerem vigilantes e a seguirem os melhores princípios regulamentares para a cibersegurança. Enfrenta alguma falha de cibersegurança na sua linha de dispositivos médicos? Consulte um especialista em dispositivos. Mantenha-se informado. Mantenha-se em conformidade.
