Cyberbezpieczeństwo wyrobów medycznych przed wprowadzeniem do obrotu według FDA
Sytance · Zaktualizowano
Wytyczne FDA dotyczące cyberbezpieczeństwa przed wprowadzeniem do obrotu zalecają informacje wyjaśniające projekt zabezpieczeń wyrobu, uwzględnione ryzyko oraz testy wykorzystane do jego sprawdzenia. Zgłoszenie powinno też wyjaśniać, w jaki sposób producent będzie zarządzać podatnościami po wprowadzeniu wyrobu do obrotu.
Aktualny status wytycznych
FDA wydała aktualną ostateczną wersję wytycznych dotyczących cyberbezpieczeństwa przed wprowadzeniem do obrotu w lutym 2026 r., zastępując wersję z czerwca 2025 r. Zmiana dostosowuje wytyczne do rozporządzenia w sprawie systemu zarządzania jakością (QMSR). Zalecenia należy odróżnić od wymagań ustawowych określonych w sekcji 524B.
Niniejszy dokument zastępuje dokument „Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions” wydany 27 czerwca 2025 r.
Wytyczne FDA dotyczące cyberbezpieczeństwa przed wprowadzeniem do obrotu, luty 2026 r. (oryginał angielski)
Wytyczne dotyczą wyrobów obarczonych ryzykiem cyberbezpieczeństwa. Oprogramowanie, oprogramowanie układowe lub logika programowalna mogą wprowadzać takie ryzyko nawet wtedy, gdy wyrób nie łączy się z internetem. Sekcja 524B ma zastosowanie do węższej kategorii wyrobów cybernetycznych zdefiniowanych w ustawie FD&C Act.
Wyrób cybernetyczny w rozumieniu sekcji 524B
Sekcja 524B ma zastosowanie do określonych zgłoszeń dotyczących wyrobu cybernetycznego: 510(k), PMA, protokołu rozwoju produktu, De Novo i HDE. Ustawa weszła w życie 29 marca 2023 r. Polityka przejściowa FDA dotycząca odmowy przyjęcia zgłoszeń zakończyła się 1 października 2023 r.; data ta nie zmieniła momentu wejścia wymagań prawnych w życie.
Oprogramowanie kontrolowane przez sponsora
Wyrób zawiera oprogramowanie zwalidowane, zainstalowane lub zatwierdzone przez sponsora jako wyrób lub w wyrobie. FDA traktuje oprogramowanie układowe i logikę programowalną jako oprogramowanie na potrzeby tej analizy.
Możliwość połączenia z internetem
Wyrób może łączyć się z internetem bezpośrednio lub za pośrednictwem innego produktu. Interpretacja FDA obejmuje połączenia pośrednie, na przykład komunikację wyrobu przez komputer podłączony do internetu.
Narażenie na zagrożenia cyberbezpieczeństwa
Wyrób zawiera cechy technologiczne zwalidowane, zainstalowane lub zatwierdzone przez sponsora, które mogą być podatne na zagrożenia cyberbezpieczeństwa.
W przypadku kwalifikującego się zgłoszenia sekcja 524B wymaga planu monitorowania i usuwania podatności po wprowadzeniu do obrotu, w tym skoordynowanego ujawniania podatności. Wymaga także procesów i procedur zapewniających uzasadnioną pewność cyberbezpieczeństwa, a także aktualizacji i poprawek po wprowadzeniu do obrotu oraz SBOM obejmującego komercyjne, otwarte i gotowe komponenty oprogramowania.
Treść zgłoszenia
Osoba dokonująca przeglądu musi rozumieć, w jaki sposób podjęto decyzję dotyczącą zabezpieczeń. Jeśli model zagrożeń wskazuje nieuprawnione zmiany ustawień terapii, projekt powinien określać, kto może ich dokonywać, a testy powinny sprawdzać to ograniczenie. Architektura, analiza i wyniki muszą odnosić się do tej samej konfiguracji wyrobu.
FDA zaleca włączenie bezpieczeństwa do systemu zarządzania jakością. Dokumentacja rozwoju powinna wyjaśniać, jak wymagania dotyczące bezpieczeństwa wpłynęły na projekt, jak sprawdzono jego realizację i jak przed wprowadzeniem do obrotu postąpiono z nierozwiązanymi problemami. Planowanie utrzymania rozszerza ten proces o późniejsze podatności i aktualizacje.
Zarządzanie ryzykiem cyberbezpieczeństwa bada, w jaki sposób atakujący mógłby wykorzystać lukę i wpłynąć na wyrób. Jeśli atak mógłby spowodować szkodę u pacjenta, wynikającą z niego sytuację zagrożenia należy również ocenić w ramach zarządzania ryzykiem dla bezpieczeństwa. Na przykład atak tłumiący alarm może opóźnić reakcję kliniczną.
Raport dotyczący zarządzania ryzykiem powinien wyjaśniać metodę oceny i wniosek dotyczący ryzyka resztkowego. Status wsparcia komponentu, znane podatności i nierozwiązane anomalie oprogramowania pomagają ustalić, czy producent może utrzymać ochronę przez cały przewidywany okres użytkowania wyrobu.
Model zagrożeń powinien obejmować cały system wyrobu, w tym zależności zewnętrzne wpływające na jego działanie. Należy analizować sposób instalacji, użytkowania, aktualizowania i wycofania z eksploatacji. Widoki architektury powinny następnie pokazywać, gdzie wybrane środki kontroli oddziałują na te ścieżki ataku.
Testy muszą sprawdzać wymagania dotyczące bezpieczeństwa i środki wybrane dla zidentyfikowanych zagrożeń. Analiza kodu i składu oprogramowania może ujawnić słabości implementacji lub jej komponentów. Fuzzing, testowanie niewłaściwego użycia i testy penetracyjne badają zachowanie wobec nieprawidłowych danych wejściowych lub ataków; należy wybrać metody odpowiadające interfejsom i ryzyku danego wyrobu.
Informacje dla użytkownika powinny wyjaśniać, co organizacja ochrony zdrowia lub pacjent musi zrobić, aby bezpiecznie użytkować wyrób, w tym w zakresie konfiguracji, aktualizacji i odzyskiwania działania. Należy określić okres wsparcia i wszelkie obowiązki zależne od środowiska działania. Plan zarządzania cyberbezpieczeństwem producenta powinien wyjaśniać, jak zgłoszenia i monitorowanie podatności prowadzą do oceny, komunikacji i terminowego usunięcia problemu.
Wspólne dowody
Widoki architektury
FDA zaleca widoki systemu w ujęciu ogólnym, szkód mogących dotyczyć wielu pacjentów, możliwości aktualizowania i stosowania poprawek oraz przypadków użycia zabezpieczeń. Wyjaśniają one, w jaki sposób atak może dotrzeć do wyrobu, rozprzestrzenić się przez połączone systemy lub zostać ograniczony przez aktualizację.
SBOM
SBOM powinien obejmować komponenty opracowane przez producenta i strony trzecie, w tym komponenty zakupione, licencjonowane, otwarte oraz zależności dalszych poziomów łańcucha dostaw. W przypadku wyrobów cybernetycznych sekcja 524B ustanawia ustawowe wymaganie dotyczące zawartości SBOM.
Znane podatności
FDA oczekuje identyfikowania i analizowania znanych podatności, w tym podatności komponentów stron trzecich oraz podatności z wykazu CISA Known Exploited Vulnerabilities istotnych dla wyrobu lub powiązanych systemów.
Identyfikowalność
Identyfikowalność pozwala osobie dokonującej przeglądu prześledzić ustalenie modelu zagrożeń do komponentu SBOM, którego dotyczy problem, środka kontroli ryzyka, wymagania projektowego i wyniku testu. Decyzje dotyczące ryzyka resztkowego powinny być również odzwierciedlone w oznakowaniu i monitorowaniu po wprowadzeniu do obrotu.
Kategorie środków kontroli bezpieczeństwa z wytycznych pomagają systematycznie sprawdzać projekt. Na przykład uwierzytelnienie użytkownika ustala jego tożsamość; autoryzacja określa, czy może on wykonać określone działanie kliniczne lub konserwacyjne. Testy powinny sprawdzać każdą taką decyzję na interfejsie, który ją egzekwuje.
Wyroby niespełniające definicji z sekcji 524B
Wyrób bez połączenia z internetem może nadal przyjmować aktualizację oprogramowania przez port lokalny lub nośnik wymienny. Zmodyfikowana aktualizacja może zatem stwarzać ryzyko cyberbezpieczeństwa, nawet jeśli wyrób nie spełnia definicji wyrobu cybernetycznego. Szersze wytyczne FDA nadal mają zastosowanie do takiego ryzyka; zalecana treść zgłoszenia zależy od wyrobu i rodzaju zgłoszenia.