Etichettatura e informazioni per gli utenti sulla cybersicurezza dei dispositivi medici

Le informazioni per l’utilizzatore come misura di controllo del rischio

La FDA considera la trasparenza sulla cibersicurezza parte integrante dell’uso e dell’integrazione sicuri ed efficaci dei dispositivi. A seconda dell’utilizzatore previsto e del tipo di informazione, questa può comparire nell’etichettatura del dispositivo, nei manuali operativi, nelle guide per gli amministratori, nella documentazione di sicurezza destinata ai clienti, in un MDS2, nei portali online o in altri canali controllati.

I fascicoli dell’UE basati su MDR e IVDR seguono una struttura giuridica diversa. Il fabbricante deve indicare i requisiti minimi hardware, le caratteristiche della rete IT e le misure di sicurezza IT necessarie affinché il software funzioni come previsto. MDCG 2019-16 spiega poi come tali informazioni si colleghino all’ambiente operativo previsto, alla configurazione sicura, alle patch, alle informazioni per gli amministratori e alle responsabilità degli erogatori di assistenza sanitaria.

For devices that incorporate software or for software that are devices in themselves, the software shall be developed and manufactured in accordance with the state of the art taking into account the principles of development life cycle, risk management, including information security, verification and validation.

Regolamento (UE) 2017/745, allegato I, punto 17.2 (originale in inglese)

Contenuti dell’etichettatura FDA

L’attuale guida FDA pre-market elenca esempi di informazioni sulla sicurezza che possono aiutare gli utenti a gestire i rischi di cibersicurezza. Il livello di dettaglio appropriato dipende dai destinatari. Un’istruzione rivolta al paziente non dovrebbe sembrare una guida al rafforzamento della sicurezza della rete ospedaliera, e una guida per gli amministratori non dovrebbe nascondere i dettagli operativi dietro avvertenze generiche sulla sicurezza.

Informazioni per l’utilizzatore nell’UE

Il fascicolo UE dovrebbe collegare le informazioni per l’utilizzatore all’allegato I dell’MDR o dell’IVDR. Per i software e i sistemi programmabili, i principali aspetti di cibersicurezza sono lo stato dell’arte, la gestione dei rischi, la sicurezza delle informazioni, la verifica, la convalida, i fattori relativi alle piattaforme mobili, i requisiti IT minimi e la protezione dall’accesso non autorizzato.

• Requisiti minimi di hardware e workstation per l’uso previsto.
• Caratteristiche della rete IT, comprese la segmentazione, i percorsi di comunicazione, i servizi compatibili e i protocolli supportati.
• Misure di sicurezza IT quali il controllo degli accessi, le aspettative in materia di antimalware, le regole del firewall, le ipotesi relative alle patch, la registrazione e il backup.
• Limitazioni di compatibilità per dispositivi connessi, piattaforme mobili, servizi cloud, browser, sistemi operativi e strumenti di sicurezza.
• Rischi dell’utilizzo al di fuori dell’ambiente operativo previsto.

MDCG 2019-16 riconosce inoltre che alcune informazioni dettagliate sulla sicurezza possono trovarsi al di fuori delle istruzioni per l’uso (IFU), ad esempio nelle istruzioni per gli amministratori, nei manuali delle operazioni di sicurezza, in informative di tipo MDS2 o nelle guide di installazione. Le informazioni devono comunque essere controllate, aggiornate e coerenti con il fascicolo tecnico.

Responsabilità condivisa con le organizzazioni sanitarie

MDCG 2019-16 descrive le responsabilità condivise tra chi fornisce e chi utilizza un dispositivo. Il fabbricante deve comunicare i controlli esterni da cui dipende la progettazione. L’organizzazione sanitaria, a sua volta, deve disporre di informazioni sufficienti per fornire e mantenere tali controlli nel proprio ambiente.

Comunicazione degli aggiornamenti e delle patch

Le informazioni sugli aggiornamenti devono essere pratiche prima che si presenti una vulnerabilità. La FDA si aspetta informazioni rivolte all’utilizzatore sui software e firmware autorizzati dal fabbricante, su come sapere quando è disponibile un aggiornamento, sul supporto e sulla fine del ciclo di vita e su come trasferire o comunicare i rischi quando il supporto termina. I dispositivi cyber ai sensi della sezione 524B richiedono inoltre piani per le vulnerabilità post-market, gli aggiornamenti e le patch.