Gestione dei rischi di cybersicurezza dei dispositivi medici
Sytance · Aggiornato
La gestione dei rischi di cibersicurezza dei dispositivi medici valuta in che modo minacce e vulnerabilità possano incidere su sicurezza, efficacia e prestazioni. Un modello delle minacce, una SBOM, una scansione delle vulnerabilità o un test di penetrazione possono supportare la valutazione, ma nessuno di essi costituisce da solo la valutazione dei rischi.
Ruolo della gestione dei rischi
La FDA considera la gestione dei rischi di sicurezza parte del sistema di qualità e del ciclo di vita del dispositivo. È distinta dalla gestione dei rischi per la sicurezza secondo ISO 14971 perché i guasti di sicurezza possono essere intenzionali, la sfruttabilità cambia nel tempo e il danno può essere indiretto, dovuto alla perdita di disponibilità, integrità, riservatezza o controllo. I due processi devono comunque interfacciarsi perché un problema di sicurezza può causare danni ai pazienti.
MDCG 2019-16 spiega che una misura di sicurezza può a sua volta incidere sulla sicurezza. Ad esempio, una restrizione di accesso può impedire modifiche non autorizzate ma anche ritardare un’operazione legittima. Il fabbricante deve valutare entrambi gli effetti nell’ambiente d’uso previsto.
Danno ai pazienti
Le linee guida FDA post-commercializzazione inquadrano la questione centrale del danno al paziente come lesione o danno alla salute, compresa la morte, anziché come semplice impatto aziendale.
Sicurezza e prestazioni
Valutare se il problema di sicurezza modifica il funzionamento previsto del dispositivo e se un controllo introduce un nuovo problema di sicurezza o prestazioni.
La modellazione delle minacce alimenta la valutazione
Il modello delle minacce individua come un aggressore potrebbe sfruttare un’interfaccia del dispositivo o una dipendenza esterna per causare un risultato indesiderato. Le condizioni dell’attacco e le possibili conseguenze diventano input per la valutazione dei rischi di cibersicurezza.
- Il modello delle minacce individua cosa può andare storto e dove un aggressore o un’attivazione accidentale può raggiungere il sistema.
- La valutazione dei rischi di cibersicurezza valuta rischi, controlli, rischi residui e criteri di accettazione.
- Il processo di gestione dei rischi per la sicurezza include i rischi di cibersicurezza quando lo sfruttamento può incidere sui danni ai pazienti, sulle prestazioni cliniche o sul funzionamento sicuro.
- Il processo post-commercializzazione aggiorna il modello quando nuove vulnerabilità, modifiche alle installazioni, nuove interfacce o nuove tecniche di attacco modificano il quadro dei rischi.
La sfruttabilità modifica l’analisi
La valutazione dei rischi di cibersicurezza non può basarsi soltanto sulla probabilità storica. La FDA spiega che la valutazione dei rischi di sicurezza si concentra sulla sfruttabilità: fattibilità, facilità e mezzi tecnici con cui una vulnerabilità può essere sfruttata. Per questo una vulnerabilità individuata nei test, una vulnerabilità nota e sfruttata di CISA, una modifica del percorso di rete o un nuovo exploit pubblico possono modificare la valutazione anche in assenza di incidenti ai pazienti.
La valutazione pre-commercializzazione utilizza il modello delle minacce per valutare gli attacchi e selezionare i controlli. I risultati della verifica mostrano se i controlli sono efficaci contro tali attacchi. La FDA consente di ipotizzare la peggiore sfruttabilità possibile oppure di svolgere una valutazione giustificata che consideri l’intero ciclo di vita del prodotto.
La valutazione post-commercializzazione parte da un segnale concreto, ad esempio un CVE, una segnalazione di un ricercatore, un avviso del fornitore o un exploit osservato. Le linee guida FDA post-commercializzazione inquadrano la decisione in base alla sfruttabilità, alla gravità del danno al paziente, ai controlli compensativi e al fatto che il rischio residuo di danno ai pazienti sia controllato o non controllato.
La SBOM non è la valutazione dei rischi
Una SBOM identifica i componenti software e le relazioni di dipendenza. Aiuta il fabbricante a individuare l’esposizione a vulnerabilità note dei componenti, lo stato del supporto e le versioni interessate. Non indica se un componente vulnerabile sia raggiungibile, se un controllo ne impedisca lo sfruttamento, se cambino le prestazioni cliniche o se il rischio residuo di danno ai pazienti sia accettabile.
Una SBOM è un inventario formale e leggibile da una macchina dei componenti software e delle dipendenze, delle informazioni su tali componenti e delle relative relazioni gerarchiche.
NTIA, Definire la trasparenza dei componenti software, 2021 (originale inglese)
Contributo della SBOM
Identità, versione, fornitore, dipendenze e dati di supporto dei componenti aiutano a individuare l’esposizione e supportano la gestione delle vulnerabilità.
Contributo alla valutazione dei rischi
Architettura, modellazione delle minacce, sfruttabilità, evidenze dei controlli e analisi del danno ai pazienti determinano il significato dell’esposizione per il dispositivo.
Registrazioni collegate
La FDA raccomanda la tracciabilità tra modello delle minacce, valutazione dei rischi, SBOM e registrazioni dei test. Un revisore dovrebbe poter partire da un componente interessato e individuare la decisione sul rischio e il risultato della verifica. Per un fascicolo tecnico UE, spiegare come tali registrazioni supportano i requisiti MDR o IVDR applicabili.
Fonti
- FDA, Cibersicurezza nei dispositivi medici: considerazioni sul sistema di gestione della qualità e contenuto delle presentazioni pre-commercializzazione, linee guida definitive, febbraio 2026
- FDA, Gestione post-commercializzazione della cibersicurezza nei dispositivi medici, linee guida definitive, dicembre 2016
- Commissione europea, MDCG 2019-16, guida sulla cibersicurezza per dispositivi medici
- NTIA, Definire la trasparenza dei componenti software: istituzione di una distinta base software comune