Oznakowanie i informacje dla użytkowników o cyberbezpieczeństwie wyrobów medycznych

Informacje dla użytkownika jako środek kontroli ryzyka

FDA traktuje przejrzystość w zakresie cyberbezpieczeństwa jako element bezpiecznego i skutecznego użytkowania wyrobów oraz ich integracji. W zależności od zamierzonego użytkownika i rodzaju informacji mogą one znaleźć się w oznakowaniu wyrobu, instrukcjach operatora, przewodnikach dla administratora, dokumentacji bezpieczeństwa dla klientów, MDS2, portalach internetowych lub innych kontrolowanych kanałach.

Dokumentacja UE MDR i IVDR ma odmienną strukturę prawną. Producent musi określić minimalne wymagania sprzętowe, charakterystyki sieci IT i środki bezpieczeństwa IT potrzebne do działania oprogramowania zgodnie z przeznaczeniem. MDCG 2019-16 wyjaśnia następnie, jak te informacje wiążą się z zamierzonym środowiskiem działania, bezpieczną konfiguracją, poprawkami, informacjami dla administratora i obowiązkami podmiotu udzielającego świadczeń zdrowotnych.

W przypadku wyrobów zawierających oprogramowanie lub oprogramowania stanowiącego wyrób oprogramowanie należy rozwijać i wytwarzać zgodnie z aktualnym stanem wiedzy technicznej, z uwzględnieniem zasad cyklu życia oprogramowania, zarządzania ryzykiem, w tym bezpieczeństwem informacji, weryfikacji i walidacji.

Rozporządzenie (UE) 2017/745, załącznik I, pkt 17.2 (oryginał angielski)

Treść oznakowania FDA

Aktualne wytyczne FDA dotyczące etapu przedrynkowego wymieniają przykładowe informacje o bezpieczeństwie, które mogą pomóc użytkownikom zarządzać ryzykiem cyberbezpieczeństwa. Odpowiedni poziom szczegółowości zależy od odbiorców. Instrukcje dla pacjenta nie powinny przypominać przewodnika utwardzania sieci szpitalnej, a przewodnik dla administratora nie powinien ukrywać szczegółów operacyjnych za ogólnymi ostrzeżeniami dotyczącymi bezpieczeństwa.

Informacje dla użytkownika w UE

Dokumentacja UE powinna powiązać informacje dla użytkownika z załącznikiem I do MDR lub IVDR. W przypadku oprogramowania i systemów programowalnych istotne kwestie cyberbezpieczeństwa obejmują aktualny stan wiedzy technicznej, zarządzanie ryzykiem, bezpieczeństwo informacji, weryfikację, walidację, czynniki związane z platformami mobilnymi, minimalne wymagania IT i ochronę przed nieuprawnionym dostępem.

• Minimalne wymagania sprzętowe i wymagania dotyczące stacji roboczej przy zamierzonym użytkowaniu.
• Charakterystyki sieci IT, w tym segmentacja, ścieżki komunikacji, kompatybilne usługi i obsługiwane protokoły.
• Środki bezpieczeństwa IT, takie jak kontrola dostępu, wymagania dotyczące ochrony przed złośliwym oprogramowaniem, reguły zapory, założenia dotyczące stosowania poprawek, rejestrowanie zdarzeń i kopie zapasowe.
• Ograniczenia kompatybilności dotyczące podłączonych wyrobów, platform mobilnych, usług chmurowych, przeglądarek, systemów operacyjnych i narzędzi bezpieczeństwa.
• Ryzyko związane z użytkowaniem poza zamierzonym środowiskiem działania.

MDCG 2019-16 uznaje również, że niektóre szczegółowe informacje dotyczące bezpieczeństwa mogą znajdować się poza instrukcją użytkowania (IFU), na przykład w instrukcjach dla administratora, podręcznikach operacyjnych bezpieczeństwa, dokumentacji w stylu MDS2 lub przewodnikach instalacyjnych. Informacje te nadal muszą podlegać kontroli, być aktualne i zgodne z dokumentacją techniczną.

Wspólna odpowiedzialność organizacji ochrony zdrowia

MDCG 2019-16 opisuje obowiązki współdzielone przez podmioty dostarczające i użytkujące wyrób. Producent musi przekazać informacje o środkach kontroli zewnętrznej, od których zależy jego projekt. Organizacja ochrony zdrowia potrzebuje następnie wystarczających informacji, aby zapewnić i utrzymywać te środki we własnym środowisku.

Komunikowanie informacji o aktualizacjach i poprawkach

Informacje o aktualizacjach muszą być praktyczne jeszcze przed pojawieniem się podatności. FDA oczekuje informacji dla użytkowników o oprogramowaniu i oprogramowaniu układowym zatwierdzonym przez producenta, sposobie sprawdzenia dostępności aktualizacji, wsparciu i zakończeniu cyklu życia oraz sposobie przekazywania lub komunikowania ryzyka po zakończeniu wsparcia. Wyroby cybernetyczne objęte sekcją 524B wymagają również planów dotyczących podatności, aktualizacji i poprawek po wprowadzeniu do obrotu.