2 min de leitura
Embora a digitalização e a Internet das Coisas (IoT) tenham melhorado o desempenho dos dispositivos médicos, também os tornaram mais vulneráveis a ameaças cibernéticas. O software malicioso e o spyware que invadem os dispositivos estão a aumentar. Os piratas informáticos procuram falhas nos dispositivos e respetivos softwares para os corromper, comprometer os dados dos utilizadores e provocar avarias. Todos estes obstáculos dificultam os esforços das organizações para proteger os dados dos utilizadores e evitar danos.
Para combater a ameaça da cibersegurança nos dispositivos médicos, todas as autoridades de saúde membros do Fórum Internacional de Reguladores de Dispositivos Médicos (IMDRF) publicaram projetos de orientação com políticas regulatórias para a fase de pré-comercialização. No entanto, a Administração de Produtos Terapêuticos (TGA) da Austrália antecipou a necessidade de regulamentação também na fase pós-comercialização dos dispositivos e publicou um projeto de orientação que abrange todo o ciclo de vida do produto (TPLC).
A quem se destina esta orientação?
A abordagem TPLC proposta pela TGA foca-se na atualização contínua dos sistemas de gestão da qualidade, dos procedimentos de gestão de riscos e dos procedimentos de gestão de alterações. Uma vez que a orientação abrange tanto a fase de pré como a de pós-comercialização, as suas regras destinam-se a vários intervenientes listados abaixo.
- Fabricantes que desenvolvem software como dispositivo médico (SaMD)
- Fabricantes de dispositivos que incluem componentes de software vulneráveis à cibersegurança
- Patrocinadores responsáveis pelo fornecimento de dispositivos na Austrália
- Profissionais de saúde que utilizam dispositivos médicos para diagnosticar e tratar doentes
- Engenheiros clínicos e biomédicos responsáveis pela gestão de ativos de dispositivos no ambiente médico e de saúde
- Administração geral e de TI responsável pelos sistemas, procedimentos e processos no ambiente de serviços médicos e de saúde
- Consumidores que utilizam um dispositivo médico registado
- sob a orientação do respetivo profissional médico e de saúde
- que não requer supervisão médica
Orientação para a Indústria de Dispositivos Médicos:
Ao ajudar a indústria de dispositivos médicos a se manter preparada para a cibersegurança, a diretriz também enfatiza que os dispositivos devem estar incluídos no Registro Australiano de Bens Terapêuticos (ARTG) para serem comercializados no país. No entanto, a inclusão no ARTG exige considerações que cobrem todo o ciclo de vida de um dispositivo médico, divididas nas seguintes quatro etapas:
- Pré-mercado por meio de avaliação de conformidade
- Autorização de comercialização por meio de inclusão no ARTG
- Monitoramento pós-mercado
- Fim da vida útil / retirada de suporte
A diretriz também afirma que os fabricantes são os únicos responsáveis por avaliar e lidar com o risco de cibersegurança do dispositivo tanto no ambiente de pré-mercado quanto no pós-mercado. Para isso, eles devem levar em conta certas considerações em ambos os ambientes, que incluem:
- Considerações de Pré-mercado: Estas considerações incluem riscos durante o design e o desenvolvimento de dispositivos médicos. Elas são de natureza geral e técnica.
- Considerações gerais, como abordagem de desenvolvimento, aplicação de padrões, estratégias de gestão de riscos, avaliação da cadeia de suprimentos e fornecimento de informações aos usuários
- Considerações técnicas, como testes de desempenho de cibersegurança, arquitetura de design modular, segurança da plataforma operacional, softwares emergentes e acesso seguro e fornecimento de conteúdo
- Considerações Pós-mercado: Sob o regime pós-mercado, os fabricantes e patrocinadores de dispositivos são obrigados a avaliar e agir continuamente sobre o risco de cibersegurança. Isso inclui entender os riscos e ameaças e responder a eles quando ocorrem.
Destaques da Diretriz:
Enquanto outros reguladores do IMDRF listaram princípios de cibersegurança de pré-mercado, a TGA foi além e listou 15 "principais princípios", incluindo o foco na segurança a longo prazo. Além disso, outros oito princípios essenciais foram adicionados à diretriz para tratar da prevenção de malware. A diretriz destaca a estrutura de cibersegurança desenvolvida pelo Instituto Nacional de Padrões e Tecnologia dos US. Ela também inclui exemplos comuns de vulnerabilidades, padrões conhecidos que ajudam a fortalecer a segurança e instruções para usuários finais, ensaios clínicos e ambientes de saúde que utilizam os dispositivos.
A diretriz preliminar abrange uma ampla gama de informações para implementar a abordagem TLPC para fabricantes de dispositivos médicos. No entanto, a forma atual da diretriz destina-se a receber comentários e são esperadas alterações nas próximas versões. Para permanecer em conformidade e seguro, as partes interessadas devem tomar as medidas necessárias com bastante antecedência com a ajuda de um especialista regulatório em dispositivos médicos. Esteja em conformidade.
