Cybersicurezza post-commercializzazione dei dispositivi medici secondo la FDA
Sytance · Aggiornato
La gestione FDA della cibersicurezza post-commercializzazione valuta nuove vulnerabilità nei dispositivi già in uso. I fabbricanti devono determinare i possibili danni ai pazienti, decidere come affrontare il rischio e comunicare agli utenti gli interventi necessari. La risposta può comprendere una correzione software, un controllo temporaneo o un’azione sul campo.
Rischi nel ciclo di vita
I dispositivi medici possono restare in uso per anni dopo il rilascio. Le linee guida FDA post-commercializzazione riguardano le nuove vulnerabilità, le tecniche di attacco, i problemi dei componenti e le modifiche alle installazioni che emergono in tale periodo.
Per indagare una nuova vulnerabilità, il team necessita delle registrazioni di progettazione e rilascio. Individuare le versioni supportate che contengono il componente interessato, il modo in cui viene utilizzata la funzione vulnerabile e i controlli applicabili. Ciò consente di valutare i dispositivi effettivamente utilizzati dai clienti.
Valutazione dei possibili danni ai pazienti
La decisione FDA sui rischi di cibersicurezza post-commercializzazione si concentra sulla possibilità che una vulnerabilità causi danni ai pazienti, compresi morte o lesioni fisiche. Le questioni di riservatezza o di impatto aziendale possono comunque essere rilevanti, ma non costituiscono il criterio di danno ai pazienti previsto da queste linee guida.
Manutenzione del ciclo di vita
Un processo post-commercializzazione monitora le fonti di vulnerabilità, valuta nuove informazioni, convalida le correzioni, comunica con gli utenti e aggiorna i dispositivi sul campo tramite procedure pianificate e urgenti.
Versioni in uso
La stessa vulnerabilità di un componente può avere conseguenze di rischio diverse a seconda di versione, configurazione, ambiente d’uso e controlli compensativi. La valutazione deve mantenere tale contesto.
Rischio controllato e non controllato
La FDA suddivide il rischio delle vulnerabilità di cibersicurezza post-commercializzazione in rischio controllato e non controllato. La questione non è se esista una vulnerabilità, bensì se il rischio residuo di danni ai pazienti sia accettabile dopo aver considerato i controlli esistenti o disponibili.
Rischio controllato
Rischio controllato significa che il rischio residuo di danni ai pazienti è sufficientemente basso o accettabile. Aggiornamenti di sicurezza ordinari, patch ordinarie e modifiche alle etichette secondo le migliori prassi rientrano di norma in questa categoria se affrontano soltanto un rischio controllato.
Rischio non controllato
Rischio non controllato significa che i controlli esistenti lasciano un rischio residuo inaccettabile di danni ai pazienti. La FDA raccomanda una correzione tempestiva. Ai sensi del 21 CFR 806.10, i fabbricanti o gli importatori devono segnalare le correzioni o i ritiri avviati per ridurre un rischio per la salute o rimediare a una violazione relativa al dispositivo che può comportare tale rischio, entro 10 giorni lavorativi dall’avvio. Vanno considerate le esenzioni e le segnalazioni già effettuate ai sensi delle parti 803 o 1004. Separatamente, le linee guida FDA descrivono le condizioni di discrezionalità nell’applicazione degli obblighi di segnalazione della parte 806; tali condizioni non eliminano l’obbligo normativo.
È presente un rischio non controllato quando mitigazioni dei rischi e controlli compensativi insufficienti lasciano un rischio residuo inaccettabile di danni ai pazienti.
Linee guida FDA sulla cibersicurezza post-commercializzazione, dicembre 2016 (originale inglese)
Aggiornamenti e patch ordinari
La FDA considera molti aggiornamenti e patch di cibersicurezza come normali miglioramenti del dispositivo quando migliorano la sicurezza o correggono vulnerabilità associate a un rischio controllato. Di norma tali aggiornamenti non sono il tipo di correzione o ritiro da segnalare ai sensi della parte 806 del titolo 21 del CFR.
Un aggiornamento necessario a ridurre un rischio non controllato richiede un’analisi distinta delle segnalazioni. Lo stesso vale quando lo sfruttamento presenta una probabilità ragionevole di causare gravi conseguenze negative per la salute o la morte. Anche quando non è prevista una segnalazione ai sensi della parte 806, il fabbricante deve convalidare l’aggiornamento e gestirne la distribuzione e la comunicazione.
- Gli aggiornamenti ordinari di sicurezza possono comprendere patch, modifiche di hardening e aggiornamenti delle etichette per la configurazione sicura o le migliori prassi.
- La natura ordinaria dipende dal rischio di danni ai pazienti, non dalle dimensioni tecniche della modifica.
- La stessa patch può essere ordinaria per una configurazione del prodotto e urgente per un’altra se il rischio residuo di danni ai pazienti è diverso.
Gestione del processo post-commercializzazione
Il processo post-commercializzazione necessita di responsabilità e risorse definite per monitoraggio, ricezione delle segnalazioni, valutazione dei rischi, convalida delle correzioni e comunicazione con i clienti. Le registrazioni di tali attività supportano le successive verifiche FDA.
Monitorare le segnalazioni di utenti, ricercatori e fornitori di componenti, insieme ai risultati interni e alle informazioni pertinenti sulle vulnerabilità. Anche una modifica dell’ambiente IT sanitario può cambiare l’esposizione del dispositivo. Trasmettere le informazioni a chi può valutarne l’effetto sui prodotti supportati.
La FDA si aspetta che la valutazione delle vulnerabilità consideri la sfruttabilità e la gravità dei danni ai pazienti. Modellazione delle minacce e analisi dei rischi per la sicurezza dovrebbero essere utilizzate insieme per stabilire se la vulnerabilità incida su prestazioni cliniche, disponibilità, integrità, riservatezza o funzionamento sicuro.
Per i rischi non controllati, le condizioni FDA di discrezionalità nell’applicazione degli obblighi di segnalazione comprendono comunicazioni ai clienti e alla comunità degli utenti, controlli provvisori e un piano di correzione il prima possibile e comunque entro 30 giorni dalla conoscenza della vulnerabilità. Il prima possibile e comunque entro 60 giorni dalla conoscenza, il fabbricante dovrebbe convalidare e distribuire una correzione installabile oppure fornire un controllo compensativo a lungo termine che renda accettabile il rischio, con un seguito agli utenti finali se necessario. Le condizioni comprendono inoltre l’assenza di eventi avversi gravi o decessi associati noti, la partecipazione attiva a un’ISAO e la condivisione delle comunicazioni ai clienti.
Il concetto FDA di ISAO non consiste in una partecipazione passiva. Il fabbricante dovrebbe condividere informazioni su vulnerabilità e minacce, applicare politiche documentate, collegare le informazioni ricevute alle valutazioni dei rischi e conservare registrazioni tracciabili di comunicazioni, contromisure e mitigazioni.
Collegamento con i fascicoli pre-commercializzazione
Le registrazioni pre-commercializzazione costituiscono il punto di partenza per la valutazione post-commercializzazione. Il modello delle minacce pre-commercializzazione diventa la base di riferimento per il triage successivo. La SBOM pre-commercializzazione diventa l’inventario dei componenti per il monitoraggio delle vulnerabilità. L’architettura di sicurezza pre-commercializzazione aiuta a stabilire se una nuova vulnerabilità possa raggiungere una funzione rilevante per la sicurezza.
- Mantenere aggiornata la SBOM per le configurazioni commercializzate e conservare il contesto della versione dei dispositivi sul campo.
- Aggiornare i modelli delle minacce quando cambiano ipotesi di installazione, percorsi di aggiornamento, servizi esterni o vulnerabilità.
- Utilizzare i risultati post-commercializzazione per aggiornare gestione dei rischi, etichettatura, istruzioni ai clienti, piani di supporto e future presentazioni pre-commercializzazione.
- Prima di distribuire una patch, verificare la correzione e controllare le funzioni del dispositivo che la modifica potrebbe interessare.
Fonti
- 21 CFR 806.10, segnalazioni di correzioni e ritiri
21 CFR 806.10, Segnalazioni di correzioni e ritiri
- FDA, Gestione post-commercializzazione della cibersicurezza nei dispositivi medici, linee guida definitive, dicembre 2016
- FDA, Cibersicurezza nei dispositivi medici: considerazioni sul sistema di gestione della qualità e contenuto delle presentazioni pre-commercializzazione, linee guida definitive, febbraio 2026
- FDA, Cibersicurezza nei dispositivi medici: domande frequenti