Gestão dos riscos de cibersegurança dos dispositivos médicos
Sytance · Atualizado
A gestão dos riscos de cibersegurança dos dispositivos médicos avalia de que forma as ameaças e vulnerabilidades podem afetar a segurança, a eficácia e o desempenho. Um modelo de ameaças, uma SBOM, uma análise de vulnerabilidades ou um teste de penetração podem sustentar a avaliação, mas nenhum deles constitui, por si só, a avaliação de riscos.
Papel da gestão de riscos
A FDA trata a gestão dos riscos de segurança como parte do sistema da qualidade e do ciclo de vida do dispositivo. Distingue-se da gestão dos riscos de segurança segundo a ISO 14971, porque as falhas de segurança podem ser intencionais, a possibilidade de exploração muda ao longo do tempo e os danos podem ser indiretos, através da perda de disponibilidade, integridade, confidencialidade ou controlo. Ainda assim, os dois processos têm de estar articulados, pois um problema de segurança pode causar danos ao doente.
A MDCG 2019-16 explica que uma medida de segurança também pode afetar a segurança do dispositivo. Por exemplo, uma restrição de acesso pode impedir alterações não autorizadas, mas também atrasar uma operação legítima. O fabricante tem de avaliar ambos os efeitos no ambiente de utilização previsto.
Danos ao doente
A orientação pós-comercialização da FDA define a questão central dos danos ao doente em torno de lesões ou danos à saúde do doente, incluindo a morte, e não apenas do impacto para a empresa.
Segurança e desempenho
Avalie se o problema de segurança altera o funcionamento previsto do dispositivo e se um controlo introduz uma nova preocupação de segurança ou desempenho.
A modelação de ameaças alimenta a avaliação
O modelo de ameaças identifica de que forma um atacante poderia utilizar uma interface do dispositivo ou uma dependência externa para provocar um resultado indesejado. As condições do ataque e as consequências possíveis constituem dados de entrada para a avaliação dos riscos de cibersegurança.
- O modelo de ameaças identifica o que pode correr mal e onde um atacante ou um acionamento acidental pode alcançar o sistema.
- A avaliação dos riscos de cibersegurança avalia os riscos, os controlos, os riscos residuais e os critérios de aceitação.
- O processo de riscos de segurança recebe riscos de cibersegurança quando uma exploração pode afetar os danos ao doente, o desempenho clínico ou a operação segura.
- O processo pós-comercialização atualiza o modelo quando novas vulnerabilidades, alterações nas implementações, novas interfaces ou novas técnicas de ataque mudam o panorama dos riscos.
A possibilidade de exploração altera a análise
A avaliação dos riscos de cibersegurança não pode basear-se apenas na probabilidade histórica. A FDA explica que a avaliação dos riscos de segurança se centra na possibilidade de exploração: a viabilidade, a facilidade e os meios técnicos através dos quais uma vulnerabilidade pode ser explorada. Por isso, uma vulnerabilidade detetada em ensaios, uma vulnerabilidade conhecida e explorada pela CISA, uma alteração da via de rede ou uma nova exploração pública podem alterar a avaliação mesmo que não tenha ocorrido nenhum incidente com doentes.
A avaliação pré-comercialização utiliza o modelo de ameaças para avaliar ataques e selecionar controlos. Os resultados de verificação demonstram se os controlos funcionam contra esses ataques. A FDA permite presumir a possibilidade de exploração no pior caso ou realizar uma avaliação justificada que tenha em conta todo o ciclo de vida do produto.
A avaliação pós-comercialização começa com um sinal real, como um CVE, uma notificação de um investigador, um aviso de um fornecedor ou uma exploração observada. A orientação pós-comercialização da FDA enquadra a decisão em torno da possibilidade de exploração, da gravidade dos danos ao doente, dos controlos compensatórios e de o risco residual de danos ao doente estar ou não controlado.
A SBOM não é a avaliação de riscos
Uma SBOM identifica componentes de software e relações de dependência. Ajuda o fabricante a encontrar exposição a vulnerabilidades conhecidas dos componentes, ao estado do suporte e às versões afetadas. Não demonstra se um componente vulnerável é alcançável, se um controlo impede a exploração, se o desempenho clínico muda ou se o risco residual de danos ao doente é aceitável.
An SBOM is a formal, machine-readable inventory of software components and dependencies, information about those components, and their hierarchical relationships.
NTIA, Framing Software Component Transparency, 2021 (original em inglês)
Contributo da SBOM
A identidade, a versão, o fornecedor, as dependências e os dados de suporte dos componentes ajudam a identificar a exposição e sustentam a gestão de vulnerabilidades.
Contributo para os riscos
A arquitetura, a modelação de ameaças, a possibilidade de exploração, as evidências dos controlos e a análise dos danos ao doente determinam o significado da exposição para o dispositivo.
Registos interligados
A FDA recomenda a rastreabilidade entre o modelo de ameaças, a avaliação de riscos, a SBOM e os registos de ensaio. O revisor deve poder partir de um componente afetado e encontrar a decisão de risco resultante e o resultado da verificação. Num ficheiro técnico da UE, explique de que forma estes registos sustentam os requisitos aplicáveis do MDR ou do IVDR.
Fontes
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, orientação final, fevereiro de 2026
- FDA, Postmarket Management of Cybersecurity in Medical Devices, orientação final, dezembro de 2016
- Comissão Europeia, MDCG 2019-16 Guidance on Cybersecurity for medical devices
- NTIA, Framing Software Component Transparency: Establishing a Common Software Bill of Materials