Cyberbezpieczeństwo wyrobów medycznych po wprowadzeniu do obrotu według FDA
Sytance · Zaktualizowano
Zarządzanie cyberbezpieczeństwem wyrobu po wprowadzeniu go do obrotu według FDA obejmuje ocenę nowych podatności w wyrobach będących już w użyciu. Producenci muszą ustalić możliwe szkody u pacjentów, zdecydować o sposobie ograniczenia ryzyka i przekazać użytkownikom informacje o wymaganych działaniach. Reakcja może obejmować poprawkę oprogramowania, tymczasowy środek kontroli lub działanie dotyczące wyrobów znajdujących się u użytkowników.
Ryzyko w cyklu życia
Wyroby medyczne mogą pozostawać w użyciu przez wiele lat od wprowadzenia do obrotu. Wytyczne FDA dotyczące etapu poproduktowego obejmują nowe podatności, techniki ataku, problemy z komponentami i zmiany wdrożenia, które pojawiają się w tym okresie.
Zespół potrzebuje dokumentacji projektu i wydań produktu, aby zbadać nową podatność. Należy ustalić, które obsługiwane wersje zawierają dany komponent, jak wykorzystywana jest podatna funkcja i jakie środki kontroli mają zastosowanie. Dzięki temu można ocenić wyroby faktycznie używane przez klientów.
Ocena możliwej szkody u pacjenta
Decyzja FDA dotycząca ryzyka cyberbezpieczeństwa po wprowadzeniu do obrotu koncentruje się na tym, czy podatność może spowodować szkodę u pacjenta, w tym śmierć lub obrażenia fizyczne. Obawy dotyczące prywatności lub wpływu na działalność gospodarczą również mogą mieć znaczenie, ale zgodnie z tymi wytycznymi nie stanowią kryterium oceny szkody u pacjenta.
Utrzymanie w cyklu życia
Proces po wprowadzeniu do obrotu obejmuje monitorowanie źródeł podatności, ocenę nowych informacji, walidację poprawek, komunikację z użytkownikami oraz aktualizowanie wyrobów znajdujących się u użytkowników w ramach zaplanowanych i pilnych działań.
Wersje używane w praktyce
Ta sama podatność komponentu może mieć różne skutki dla ryzyka w zależności od wersji, konfiguracji, środowiska użytkowania i środków kompensujących. Ocena musi zachować ten kontekst.
Ryzyko kontrolowane i niekontrolowane
FDA dzieli ryzyko podatności cyberbezpieczeństwa po wprowadzeniu do obrotu na kontrolowane i niekontrolowane. Decyzja nie polega na ustaleniu, czy podatność istnieje. Chodzi o to, czy ryzyko resztkowe szkody u pacjenta jest akceptowalne po uwzględnieniu istniejących lub dostępnych środków kontroli.
Ryzyko kontrolowane
Ryzyko kontrolowane oznacza, że ryzyko resztkowe szkody u pacjenta jest wystarczająco niskie lub akceptowalne. Rutynowe aktualizacje zabezpieczeń, rutynowe poprawki i zmiany oznakowania zgodne z najlepszymi praktykami zwykle należą do tej kategorii, gdy dotyczą wyłącznie ryzyka kontrolowanego.
Ryzyko niekontrolowane
Ryzyko niekontrolowane oznacza, że istniejące środki kontroli pozostawiają nieakceptowalne ryzyko resztkowe szkody u pacjenta. FDA zaleca niezwłoczne działania naprawcze. Zgodnie z 21 CFR 806.10 producenci lub importerzy muszą zgłosić korekty lub wycofania zainicjowane w celu zmniejszenia ryzyka dla zdrowia lub usunięcia naruszenia dotyczącego wyrobu, które może stwarzać takie ryzyko, w ciągu 10 dni roboczych od rozpoczęcia działania. Należy uwzględnić zwolnienia oraz zgłoszenia już dokonane na podstawie części 803 lub 1004. Oddzielnie wytyczne FDA opisują warunki uznaniowego odstąpienia przez FDA od egzekwowania obowiązku zgłoszenia wynikającego z części 806; warunki te nie znoszą obowiązku regulacyjnego.
Ryzyko jest niekontrolowane, gdy z powodu niewystarczających środków ograniczających ryzyko i kontroli kompensujących pozostaje nieakceptowalne ryzyko resztkowe szkody u pacjenta.
Wytyczne FDA dotyczące cyberbezpieczeństwa po wprowadzeniu do obrotu, grudzień 2016 r. (oryginał angielski)
Rutynowe aktualizacje i poprawki
FDA traktuje wiele aktualizacji i poprawek dotyczących cyberbezpieczeństwa jako zwykłe ulepszenia wyrobu, gdy zwiększają bezpieczeństwo lub usuwają podatności związane z ryzykiem kontrolowanym. Takie rutynowe aktualizacje na ogół nie są rodzajem korekty ani wycofania, które należy zgłosić na podstawie części 806 tytułu 21 CFR.
Aktualizacja konieczna do ograniczenia ryzyka niekontrolowanego wymaga odrębnej analizy obowiązków sprawozdawczych. Dotyczy to również sytuacji, gdy istnieje uzasadnione prawdopodobieństwo, że wykorzystanie podatności spowoduje poważne negatywne skutki zdrowotne lub śmierć. Nawet jeśli zgłoszenie na podstawie części 806 nie jest oczekiwane, producent nadal musi zwalidować aktualizację oraz zarządzać jej dystrybucją i komunikacją.
- Rutynowe aktualizacje zabezpieczeń mogą obejmować poprawki, zmiany utwardzające konfigurację oraz aktualizacje oznakowania dotyczące bezpiecznej konfiguracji lub najlepszych praktyk.
- O tym, czy aktualizacja jest rutynowa, decyduje ryzyko szkody u pacjenta, a nie techniczna niewielka skala zmiany.
- Ta sama poprawka może być rutynowa dla jednej konfiguracji produktu, a pilna dla innej, jeśli różni się ryzyko resztkowe szkody u pacjenta.
Prowadzenie procesu po wprowadzeniu do obrotu
Proces po wprowadzeniu do obrotu wymaga jasno określonych obowiązków i zasobów do monitorowania, przyjmowania zgłoszeń, oceny ryzyka, walidacji poprawek i komunikowania się z klientami. Zapisy tych działań wspierają późniejszy przegląd FDA.
Należy monitorować zgłoszenia użytkowników, badaczy i dostawców komponentów, a także ustalenia wewnętrzne i odpowiednie źródła informacji o podatnościach. Zmiana środowiska IT w ochronie zdrowia również może zmienić narażenie wyrobu. Informacje należy przekazywać osobom, które mogą ocenić ich wpływ na obsługiwane produkty.
FDA oczekuje, że ocena podatności uwzględni możliwość jej wykorzystania i dotkliwość szkody u pacjenta. Należy łącznie wykorzystywać modelowanie zagrożeń i analizę ryzyka dla bezpieczeństwa, aby ustalić, czy podatność wpływa na działanie kliniczne, dostępność, integralność, poufność lub bezpieczne użytkowanie.
W przypadku ryzyka niekontrolowanego warunki, w których FDA uznaniowo odstępuje od egzekwowania obowiązku zgłoszenia, obejmują przekazanie informacji klientom i społeczności użytkowników, zastosowanie tymczasowych środków kontroli oraz przygotowanie planu działań naprawczych jak najszybciej, nie później niż 30 dni od uzyskania informacji o podatności. Jak najszybciej, nie później niż 60 dni od uzyskania tej informacji, producent powinien zwalidować i udostępnić możliwą do wdrożenia poprawkę albo zapewnić długoterminowy środek kompensujący, który czyni ryzyko akceptowalnym, oraz w razie potrzeby podjąć działania następcze wobec użytkowników końcowych. Warunki obejmują również brak znanych powiązanych poważnych zdarzeń niepożądanych lub zgonów, aktywny udział w ISAO oraz udostępnianie komunikatów dla klientów.
Koncepcja ISAO według FDA nie oznacza biernego członkostwa. Producent powinien udostępniać informacje o podatnościach i zagrożeniach, stosować udokumentowane zasady, uwzględniać otrzymane informacje wywiadowcze w ocenach ryzyka oraz zachowywać identyfikowalne zapisy komunikacji, środków przeciwdziałania i ograniczania ryzyka.
Powiązanie z dokumentacją przedrynkową
Dokumentacja przedrynkowa stanowi punkt wyjścia do oceny po wprowadzeniu do obrotu. Model zagrożeń przygotowany przed wprowadzeniem do obrotu stanowi punkt odniesienia dla wstępnej oceny podatności po wprowadzeniu. SBOM z etapu przedrynkowego staje się wykazem komponentów wykorzystywanym do monitorowania podatności. Architektura bezpieczeństwa z tego etapu stanowi mapę, która pomaga ustalić, czy nowa podatność może dosięgnąć funkcji istotnej dla bezpieczeństwa.
- Należy aktualizować SBOM dla konfiguracji wprowadzonych do obrotu oraz zachowywać informacje o wersjach wyrobów znajdujących się u użytkowników.
- Należy aktualizować modele zagrożeń, gdy zmienią się założenia dotyczące wdrożenia, ścieżki aktualizacji, usługi zewnętrzne lub podatności.
- Należy wykorzystywać ustalenia po wprowadzeniu do obrotu do aktualizowania zarządzania ryzykiem, oznakowania, instrukcji dla klientów, planów wsparcia i przyszłych wniosków przedrynkowych.
- Przed udostępnieniem poprawki należy zweryfikować naprawę i sprawdzić funkcje wyrobu, na które zmiana może wpłynąć.
Źródła
- 21 CFR 806.10, raporty dotyczące korekt i wycofań
21 CFR 806.10, Zgłoszenia korekt i wycofań
- FDA, Postmarket Management of Cybersecurity in Medical Devices, ostateczne wytyczne, grudzień 2016 r.
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, ostateczne wytyczne, luty 2026 r.
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions