Ciberseguridad poscomercialización de productos sanitarios conforme a la FDA
Sytance · Actualizado
La gestión de ciberseguridad posterior a la comercialización de la FDA evalúa nuevas vulnerabilidades en dispositivos que ya están en uso. Los fabricantes deben determinar el posible daño a pacientes, decidir cómo abordar el riesgo y comunicar las medidas que deben tomar los usuarios. La respuesta puede incluir una corrección de software, un control temporal o una acción de campo.
Riesgos durante el ciclo de vida
Los productos sanitarios pueden seguir utilizándose durante años después de su lanzamiento. La guía de la FDA para la fase posterior a la comercialización aborda las nuevas vulnerabilidades, técnicas de ataque, problemas de componentes y cambios de despliegue que surgen durante ese período.
El equipo necesita los registros de diseño y lanzamiento para investigar una nueva vulnerabilidad. Identifique qué versiones compatibles contienen el componente afectado, cómo se utiliza la función vulnerable y qué controles se aplican. Esto permite evaluar los dispositivos que los clientes están utilizando realmente.
Evaluación de posibles daños a pacientes
La decisión de la FDA sobre los riesgos de ciberseguridad posteriores a la comercialización se centra en si una vulnerabilidad podría causar daños a pacientes, incluida la muerte o lesiones físicas. Las cuestiones de privacidad o impacto empresarial también pueden ser pertinentes, pero no son el criterio de daño a pacientes de esta guía.
Mantenimiento durante el ciclo de vida
Un proceso posterior a la comercialización supervisa las fuentes de vulnerabilidades, evalúa nueva información, valida correcciones, se comunica con los usuarios y actualiza los dispositivos en uso mediante vías planificadas y urgentes.
Versiones en uso
La misma vulnerabilidad de un componente puede tener distintas consecuencias de riesgo según la versión, la configuración, el entorno de uso y los controles compensatorios. La evaluación debe conservar ese contexto.
Riesgo controlado y no controlado
La FDA divide el riesgo de vulnerabilidad de ciberseguridad posterior a la comercialización en riesgo controlado y no controlado. La cuestión no es si existe una vulnerabilidad, sino si el riesgo residual de daños a pacientes es aceptable tras considerar los controles existentes o disponibles.
Riesgo controlado
El riesgo controlado significa que el riesgo residual de daños a pacientes es suficientemente bajo o aceptable. Las actualizaciones de seguridad rutinarias, los parches rutinarios y los cambios de etiquetado recomendados como buenas prácticas suelen pertenecer a esta categoría cuando solo abordan un riesgo controlado.
Riesgo no controlado
El riesgo no controlado significa que los controles existentes dejan un riesgo residual inaceptable de daños a pacientes. La FDA recomienda corregirlo sin demora. Según 21 CFR 806.10, los fabricantes o importadores deben notificar las correcciones o retiradas iniciadas para reducir un riesgo para la salud o remediar una infracción del dispositivo que pueda presentar dicho riesgo, dentro de los 10 días hábiles siguientes al inicio. Deben tenerse en cuenta las exenciones y los informes ya presentados conforme a las partes 803 o 1004. Por separado, la guía de la FDA describe condiciones para no aplicar las medidas de cumplimiento relativas a la notificación de la parte 806; esas condiciones no eliminan la obligación normativa.
Existe un riesgo no controlado cuando hay un riesgo residual inaceptable de daños a pacientes debido a mitigaciones de riesgos y controles compensatorios insuficientes.
Guía de ciberseguridad posterior a la comercialización de la FDA, diciembre de 2016 (original en inglés)
Actualizaciones y parches rutinarios
La FDA considera muchas actualizaciones y parches de ciberseguridad mejoras ordinarias del dispositivo cuando refuerzan la seguridad o corrigen vulnerabilidades asociadas a un riesgo controlado. Por lo general, esas actualizaciones rutinarias no son el tipo de corrección o retirada que debe notificarse conforme a la parte 806 del título 21 del CFR.
Una actualización necesaria para reducir un riesgo no controlado requiere un análisis distinto de las obligaciones de notificación. Esto también se aplica cuando la explotación tiene una probabilidad razonable de causar consecuencias graves para la salud o la muerte. Aunque no se prevea un informe conforme a la parte 806, el fabricante sigue teniendo que validar la actualización y gestionar su distribución y comunicación.
- Las actualizaciones de seguridad rutinarias pueden incluir parches, cambios de refuerzo y actualizaciones de etiquetado sobre configuración segura o buenas prácticas.
- El carácter rutinario depende del riesgo de daños a pacientes, no de que el cambio sea técnicamente pequeño.
- El mismo parche puede ser rutinario para una configuración de producto y urgente para otra si difiere el riesgo residual de daños a pacientes.
Funcionamiento del proceso posterior a la comercialización
El proceso posterior a la comercialización necesita responsabilidades y recursos definidos para supervisar, recibir informes, evaluar riesgos, validar correcciones y comunicarse con los clientes. Los registros de estas actividades respaldan revisiones posteriores de la FDA.
Supervise los informes de usuarios, investigadores y proveedores de componentes, junto con los hallazgos internos y la información pertinente sobre vulnerabilidades. Un cambio en el entorno de TI sanitario también puede modificar la exposición del dispositivo. Remita la información a quienes puedan evaluar su efecto en los productos compatibles.
La FDA espera que la evaluación de vulnerabilidades considere la posibilidad de explotación y la gravedad de los daños a pacientes. El modelado de amenazas y el análisis de riesgos de seguridad deben utilizarse conjuntamente para determinar si la vulnerabilidad afecta al funcionamiento clínico, la disponibilidad, la integridad, la confidencialidad o el funcionamiento seguro.
Para los riesgos no controlados, las condiciones de discrecionalidad de la FDA en la aplicación de las obligaciones de notificación incluyen comunicarse con los clientes y la comunidad de usuarios, aplicar controles provisionales y preparar un plan de corrección lo antes posible y, como máximo, 30 días después de conocer la vulnerabilidad. Lo antes posible y, como máximo, 60 días después de conocerla, el fabricante debe validar y distribuir una corrección instalable o proporcionar un control compensatorio a largo plazo que haga aceptable el riesgo, con seguimiento a los usuarios finales cuando sea necesario. Las condiciones también incluyen que no haya acontecimientos adversos graves ni muertes asociados conocidos, la participación activa en una ISAO y el intercambio de comunicaciones con los clientes.
El concepto de ISAO de la FDA no consiste en una afiliación pasiva. El fabricante debe compartir información sobre vulnerabilidades y amenazas, aplicar políticas documentadas, vincular la información recibida con las evaluaciones de riesgos y conservar registros trazables de las comunicaciones, contramedidas y mitigaciones.
Vínculo con los expedientes previos a la comercialización
Los registros previos a la comercialización proporcionan el punto de partida para la evaluación posterior. El modelo de amenazas previo a la comercialización sirve de referencia para la clasificación posterior. La SBOM previa a la comercialización se convierte en el inventario de componentes para supervisar vulnerabilidades. La arquitectura de seguridad previa a la comercialización permite determinar si una nueva vulnerabilidad puede alcanzar una función relacionada con la seguridad.
- Mantenga actualizada la SBOM para las configuraciones comercializadas y conserve el contexto de versión de los dispositivos en uso.
- Actualice los modelos de amenazas cuando cambien las hipótesis de despliegue, las vías de actualización, los servicios externos o las vulnerabilidades.
- Utilice los hallazgos posteriores a la comercialización para actualizar la gestión de riesgos, el etiquetado, las instrucciones para clientes, los planes de soporte y las futuras presentaciones previas a la comercialización.
- Antes de distribuir un parche, verifique la corrección y compruebe las funciones del dispositivo a las que podría afectar el cambio.
Fuentes
- 21 CFR 806.10, informes de correcciones y retiradas
21 CFR 806.10, Informes de correcciones y retiradas
- FDA, Gestión posterior a la comercialización de la ciberseguridad en productos sanitarios, guía definitiva, diciembre de 2016
- FDA, Ciberseguridad en productos sanitarios: consideraciones sobre el sistema de gestión de la calidad y contenido de las presentaciones previas a la comercialización, guía definitiva, febrero de 2026
- FDA, Ciberseguridad en productos sanitarios: preguntas frecuentes