Etiquetado e información para el usuario sobre la ciberseguridad de productos sanitarios

La información para el usuario como medida de control del riesgo

La FDA considera que la transparencia en materia de ciberseguridad forma parte del uso e integración seguros y eficaces de los productos sanitarios. Según el usuario previsto y el tipo de información, esta puede incluirse en el etiquetado del producto, los manuales de funcionamiento, las guías para administradores, la documentación de seguridad para clientes, un MDS2, los portales en línea u otros canales controlados.

Los expedientes de la UE conforme al MDR y al IVDR siguen una estructura jurídica distinta. El fabricante debe indicar los requisitos mínimos de hardware, las características de la red informática y las medidas de seguridad informática necesarias para que el software funcione según lo previsto. A continuación, MDCG 2019-16 explica cómo se relaciona esa información con el entorno operativo previsto, la configuración segura, los parches, la información para administradores y las responsabilidades de los proveedores de asistencia sanitaria.

For devices that incorporate software or for software that are devices in themselves, the software shall be developed and manufactured in accordance with the state of the art taking into account the principles of development life cycle, risk management, including information security, verification and validation.

Reglamento (UE) 2017/745, anexo I, apartado 17.2 (original en inglés)

Contenido del etiquetado de la FDA

La guía precomercialización vigente de la FDA ofrece ejemplos de información de seguridad que puede ayudar a los usuarios a gestionar los riesgos de ciberseguridad. El nivel de detalle adecuado depende del público destinatario. Una instrucción dirigida a pacientes no debería parecer una guía de refuerzo de seguridad de la red hospitalaria, ni una guía para administradores debería ocultar detalles operativos tras advertencias de seguridad genéricas.

Información para el usuario en la UE

El expediente de la UE debe vincular la información para el usuario con el anexo I del MDR o del IVDR. En el caso del software y los sistemas programables, los aspectos clave de ciberseguridad son el estado de la técnica, la gestión de riesgos, la seguridad de la información, la verificación, la validación, los factores propios de las plataformas móviles, los requisitos informáticos mínimos y la protección frente al acceso no autorizado.

• Requisitos mínimos de hardware y estaciones de trabajo para el uso previsto.
• Características de la red informática, incluida la segmentación, las vías de comunicación, los servicios compatibles y los protocolos admitidos.
• Medidas de seguridad informática, como el control de acceso, las expectativas relativas a la protección contra malware, las reglas del cortafuegos, las hipótesis sobre la aplicación de parches, el registro y las copias de seguridad.
• Restricciones de compatibilidad para dispositivos conectados, plataformas móviles, servicios en la nube, navegadores, sistemas operativos y herramientas de seguridad.
• Riesgos de utilizar el producto fuera del entorno operativo previsto.

MDCG 2019-16 también reconoce que cierta información de seguridad detallada puede figurar fuera de las instrucciones de uso (IFU), por ejemplo, en instrucciones para administradores, manuales de operaciones de seguridad, declaraciones de tipo MDS2 o guías de instalación. Aun así, la información debe estar controlada, actualizada y ser coherente con el expediente técnico.

Responsabilidad compartida con las organizaciones sanitarias

MDCG 2019-16 describe las responsabilidades que comparten quienes suministran y utilizan un producto sanitario. El fabricante debe comunicar los controles externos de los que depende su diseño. La organización sanitaria, a su vez, necesita información suficiente para proporcionar y mantener esos controles en su propio entorno.

Comunicación de actualizaciones y parches

La información sobre actualizaciones debe ser práctica antes de que aparezca una vulnerabilidad. La FDA espera información dirigida al usuario sobre el software y firmware autorizados por el fabricante, cómo saber si hay una actualización disponible, el soporte y el fin de vida útil, y cómo se transfieren o comunican los riesgos cuando termina el soporte. Los productos sanitarios cibernéticos sujetos a la sección 524B también deben contar con planes para gestionar vulnerabilidades poscomercialización, actualizaciones y parches.