Rotulagem e informações para os utilizadores sobre cibersegurança de dispositivos médicos

Informações para o utilizador como controlo de risco

A FDA considera que a transparência em matéria de cibersegurança faz parte da utilização e integração seguras e eficazes dos dispositivos. Dependendo do utilizador previsto e do tipo de informação, esta pode constar da rotulagem do dispositivo, de manuais de operação, guias para administradores, documentação de segurança destinada aos clientes, de um MDS2, de portais online ou de outros canais controlados.

Os ficheiros da UE ao abrigo do MDR e do IVDR seguem uma estrutura jurídica diferente. O fabricante tem de indicar os requisitos mínimos de hardware, as características da rede informática e as medidas de segurança informática necessárias para que o software funcione conforme previsto. A MDCG 2019-16 explica depois a relação dessas informações com o ambiente operacional previsto, a configuração segura, os patches, as informações para administradores e as responsabilidades dos prestadores de cuidados de saúde.

For devices that incorporate software or for software that are devices in themselves, the software shall be developed and manufactured in accordance with the state of the art taking into account the principles of development life cycle, risk management, including information security, verification and validation.

Regulamento (UE) 2017/745, anexo I, ponto 17.2 (original em inglês)

Conteúdo da rotulagem da FDA

A atual orientação pré-comercialização da FDA apresenta exemplos de informações de segurança que podem ajudar os utilizadores a gerir os riscos de cibersegurança. O nível de detalhe adequado depende do público-alvo. Uma instrução destinada a doentes não deve parecer um guia de reforço da segurança da rede hospitalar, nem um guia para administradores deve ocultar detalhes operacionais por detrás de avisos genéricos de segurança.

Informações para o utilizador na UE

O ficheiro da UE deve relacionar as informações para o utilizador com o anexo I do MDR ou do IVDR. Para software e sistemas programáveis, os pontos de cibersegurança importantes são o estado da técnica, a gestão de riscos, a segurança da informação, a verificação, a validação, os fatores próprios das plataformas móveis, os requisitos informáticos mínimos e a proteção contra o acesso não autorizado.

• Requisitos mínimos de hardware e estações de trabalho para a utilização prevista.
• Características da rede informática, incluindo segmentação, vias de comunicação, serviços compatíveis e protocolos suportados.
• Medidas de segurança informática, como controlo de acessos, requisitos de proteção contra malware, regras de firewall, pressupostos sobre patches, registos e cópias de segurança.
• Restrições de compatibilidade para dispositivos ligados, plataformas móveis, serviços na nuvem, browsers, sistemas operativos e ferramentas de segurança.
• Riscos da utilização fora do ambiente operacional previsto.

A MDCG 2019-16 reconhece também que algumas informações de segurança detalhadas podem estar fora das instruções de utilização (IFU), por exemplo, em instruções para administradores, manuais de operações de segurança, divulgações do tipo MDS2 ou guias de instalação. Ainda assim, as informações têm de ser controladas, atuais e coerentes com o ficheiro técnico.

Responsabilidade partilhada com as organizações de saúde

A MDCG 2019-16 descreve as responsabilidades partilhadas por quem fornece e utiliza um dispositivo. O fabricante tem de comunicar os controlos externos dos quais a conceção depende. A organização de saúde, por sua vez, precisa de informação suficiente para fornecer e manter esses controlos no seu próprio ambiente.

Comunicação de atualizações e patches

As informações sobre atualizações têm de ser práticas antes de surgir uma vulnerabilidade. A FDA espera informações dirigidas aos utilizadores sobre o software e o firmware autorizados pelo fabricante, como saber que há uma atualização disponível, o suporte e o fim de vida e como os riscos são transferidos ou comunicados quando o suporte termina. Os ciberdispositivos da secção 524B também exigem planos para vulnerabilidades, atualizações e patches pós-comercialização.