Cibersegurança pós-comercialização de dispositivos médicos segundo a FDA
Sytance · Atualizado
A gestão pós-comercialização da cibersegurança pela FDA avalia novas vulnerabilidades em dispositivos já em utilização. Os fabricantes têm de determinar os possíveis danos para os doentes, decidir como tratar o risco e comunicar as medidas que os utilizadores devem tomar. A resposta pode incluir uma correção de software, um controlo temporário ou uma ação no terreno.
Risco ao longo do ciclo de vida
Os dispositivos médicos podem continuar em utilização durante anos após a sua comercialização. A orientação pós-comercialização da FDA aborda as novas vulnerabilidades, técnicas de ataque, problemas de componentes e alterações de implementação que surjam durante esse período.
A equipa precisa dos registos de conceção e comercialização para investigar uma nova vulnerabilidade. Identifique que versões suportadas contêm o componente afetado, de que forma é utilizada a função vulnerável e que controlos se aplicam. Isso permite avaliar os dispositivos que os clientes estão efetivamente a utilizar.
Avaliação de possíveis danos para os doentes
A decisão da FDA sobre os riscos de cibersegurança pós-comercialização centra-se na possibilidade de uma vulnerabilidade causar danos aos doentes, incluindo morte ou lesões físicas. As preocupações de privacidade ou de impacto para a empresa também podem ser relevantes, mas não constituem o critério de dano para o doente definido nesta orientação.
Manutenção ao longo do ciclo de vida
Um processo pós-comercialização monitoriza fontes de vulnerabilidades, avalia novas informações, valida correções, comunica com os utilizadores e atualiza os dispositivos instalados no terreno através de vias planeadas e urgentes.
Versões em utilização
A mesma vulnerabilidade de um componente pode ter consequências de risco diferentes consoante as versões, configurações, ambientes de utilização e controlos compensatórios. A avaliação tem de preservar esse contexto.
Risco controlado e não controlado
A FDA divide o risco das vulnerabilidades de cibersegurança pós-comercialização em risco controlado e não controlado. A decisão não consiste em determinar se existe uma vulnerabilidade. Consiste em decidir se o risco residual de danos para os doentes é aceitável depois de considerar os controlos existentes ou disponíveis.
Risco controlado
O risco controlado significa que o risco residual de danos para os doentes é suficientemente baixo ou aceitável. As atualizações de segurança de rotina, os patches de rotina e as alterações à rotulagem de boas práticas são normalmente considerados neste grupo quando abordam apenas riscos controlados.
Risco não controlado
Risco não controlado significa que os controlos existentes deixam um risco residual inaceitável de danos para os doentes. A FDA recomenda uma correção rápida. Ao abrigo de 21 CFR 806.10, os fabricantes ou importadores têm de comunicar, no prazo de 10 dias úteis a contar do início, as correções ou retiradas iniciadas para reduzir um risco para a saúde ou corrigir uma violação de requisitos de um dispositivo que possa apresentar esse risco. Têm de ser consideradas as isenções e as comunicações já efetuadas ao abrigo das partes 803 ou 1004. Em separado, a orientação da FDA descreve as condições em que não aplica a obrigação de comunicação da parte 806; essas condições não eliminam a obrigação regulamentar.
Existe risco não controlado quando há um risco residual inaceitável de danos para os doentes devido a medidas de mitigação de riscos e controlos compensatórios insuficientes.
Orientação da FDA sobre cibersegurança pós-comercialização, dezembro de 2016 (original em inglês)
Atualizações e patches de rotina
A FDA trata muitas atualizações e muitos patches de cibersegurança como melhorias normais do dispositivo quando reforçam a segurança ou corrigem vulnerabilidades associadas a riscos controlados. Em geral, essas atualizações de rotina não são o tipo de correção ou retirada que tem de ser comunicado ao abrigo da parte 806 do 21 CFR.
Uma atualização necessária para reduzir um risco não controlado exige uma análise de comunicação diferente. O mesmo se aplica quando existe uma probabilidade razoável de a exploração causar consequências graves para a saúde ou a morte. Mesmo quando não se prevê uma comunicação ao abrigo da parte 806, o fabricante continua a ter de validar a atualização e gerir a sua distribuição e comunicação.
- As atualizações de segurança de rotina podem incluir patches, alterações de reforço da segurança e atualizações de rotulagem sobre configuração segura ou boas práticas.
- O caráter de rotina depende do risco de danos para os doentes, não de a alteração ser tecnicamente pequena.
- O mesmo patch pode ser de rotina para uma configuração do produto e urgente para outra, se o risco residual de danos para os doentes for diferente.
Operação do processo pós-comercialização
O processo pós-comercialização necessita de responsabilidades e recursos definidos para monitorizar, receber notificações, avaliar riscos, validar correções e comunicar com os clientes. Os registos destas atividades apoiam futuras análises da FDA.
Monitorize notificações de utilizadores, investigadores e fornecedores de componentes, juntamente com as conclusões internas e as informações pertinentes sobre vulnerabilidades. Uma alteração no ambiente informático de saúde também pode modificar a exposição do dispositivo. Encaminhe as informações para as pessoas capazes de avaliar o efeito nos produtos suportados.
A FDA espera que a avaliação de vulnerabilidades considere a possibilidade de exploração e a gravidade dos danos para os doentes. A modelação de ameaças e a análise dos riscos de segurança clínica devem ser utilizadas em conjunto para que a equipa possa determinar se a vulnerabilidade afeta o desempenho clínico, a disponibilidade, a integridade, a confidencialidade ou a operação segura.
Para riscos não controlados, as condições de discricionariedade na aplicação da obrigação de comunicação pela FDA incluem comunicar aos clientes e à comunidade de utilizadores, estabelecer controlos provisórios e apresentar um plano de correção o mais rapidamente possível, no máximo até 30 dias após tomar conhecimento da vulnerabilidade. O mais rapidamente possível, no máximo até 60 dias após esse conhecimento, o fabricante deve validar e distribuir uma correção implementável ou fornecer um controlo compensatório de longo prazo que torne o risco aceitável, com acompanhamento dos utilizadores finais quando necessário. As condições incluem também não haver conhecimento de acontecimentos adversos graves ou mortes associados, participação ativa numa ISAO e partilha das comunicações aos clientes.
O conceito de ISAO da FDA não corresponde a uma adesão passiva. O fabricante deve partilhar informações sobre vulnerabilidades e ameaças, utilizar políticas documentadas, relacionar as informações recebidas com as avaliações de riscos e manter registos rastreáveis das comunicações, contramedidas e medidas de mitigação.
Ligação aos ficheiros pré-comercialização
Os registos pré-comercialização constituem o ponto de partida para a avaliação pós-comercialização. O modelo de ameaças pré-comercialização passa a ser a base da triagem pós-comercialização. A SBOM pré-comercialização passa a ser o inventário de componentes para a monitorização de vulnerabilidades. A arquitetura de segurança pré-comercialização passa a ser o mapa para decidir se uma nova vulnerabilidade pode alcançar uma função relevante para a segurança.
- Mantenha a SBOM atualizada para as configurações comercializadas e preserve o contexto das versões dos dispositivos instalados no terreno.
- Atualize os modelos de ameaças quando mudarem as premissas de implementação, as vias de atualização, os serviços externos ou as vulnerabilidades.
- Utilize os resultados pós-comercialização para atualizar a gestão de riscos, a rotulagem, as instruções para clientes, os planos de suporte e futuras submissões pré-comercialização.
- Antes de distribuir um patch, verifique a correção e os dispositivos que a alteração possa afetar.
Fontes
- 21 CFR 806.10, Relatórios de correções e remoções
21 CFR 806.10, Reports of corrections and removals
- FDA, Postmarket Management of Cybersecurity in Medical Devices, orientação final, dezembro de 2016
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, orientação final, fevereiro de 2026
- FDA, Cybersecurity in Medical Devices: Frequently Asked Questions