Testes de cibersegurança de dispositivos médicos
Sytance · Atualizado
Os ensaios de cibersegurança de dispositivos médicos verificam se os requisitos de segurança e os controlos de risco funcionam na configuração prevista do dispositivo. Os resultados têm de indicar as condições do ensaio e o comportamento observado para que os revisores possam avaliar o que demonstram sobre o produto.
Finalidade dos ensaios
O âmbito dos ensaios decorre das ameaças e dos requisitos de segurança do dispositivo. Se apenas uma conta de serviço autorizada puder alterar a configuração, teste a interface direta com contas permitidas e proibidas e observe se as definições armazenadas mudam.
Evidências pré-comercialização
O ficheiro pré-comercialização utiliza ensaios para sustentar a verificação da conceção, a validação da conceção, a eficácia dos controlos de segurança e a adequação dos controlos de risco.
Evidências pós-comercialização
O processo pós-comercialização utiliza ensaios para avaliar novas vulnerabilidades, verificar correções, detetar regressões e manter a confiança nas versões instaladas no terreno.
Âmbito dos ensaios pré-comercialização
A atual orientação pré-comercialização da FDA identifica vários tipos de ensaios e análises de cibersegurança que podem integrar uma submissão. A submissão deve explicar por que motivo os ensaios selecionados são adequados aos riscos, à arquitetura e aos controlos do dispositivo.
Estes ensaios demonstram que os requisitos de entrada da conceção foram implementados e que os pressupostos relativos aos limites estão justificados. Devem relacionar os requisitos com elementos da arquitetura e critérios de aceitação dos controlos de segurança.
Estes ensaios demonstram que os controlos de risco funcionam contra ameaças identificadas no modelo de ameaças e nas vistas da arquitetura. Devem abordar a eficácia da segurança, a estabilidade, a fiabilidade e as condições de tráfego ou carga de trabalho quando forem relevantes.
Os exemplos da FDA incluem casos de abuso ou utilização indevida, entradas malformadas ou inesperadas, ensaios de robustez, ensaios fuzz, análise da superfície de ataque, encadeamento de vulnerabilidades, análise de vulnerabilidades conhecidas, análise da composição de software de ficheiros binários executáveis e análise estática ou dinâmica do código.
Os testes de penetração devem tentar descobrir e explorar vulnerabilidades de segurança no produto. A FDA espera que os relatórios expliquem a independência e a experiência dos avaliadores, o âmbito e a duração dos ensaios, os métodos, os resultados, as conclusões e as observações.
Uma análise não é suficiente
Uma análise de vulnerabilidades comunica conclusões dentro do seu âmbito de cobertura. Pode identificar uma vulnerabilidade conhecida num serviço de rede, mas pode ser necessário outro ensaio para verificar se o dispositivo rejeita um comando não autorizado ou recupera após uma atualização sem êxito. Avalie o impacto para os doentes com base na arquitetura do dispositivo e na análise de riscos.
- Uma análise de vulnerabilidades pode encontrar problemas conhecidos, mas pode não detetar falhas de conceção nem pressupostos de confiança inseguros.
- A análise estática pode detetar fragilidades no código, mas não demonstra a configuração instalada nem o comportamento dos controlos em tempo de execução.
- Os ensaios fuzz podem revelar o tratamento de entradas malformadas, mas não substituem a revisão da arquitetura nem os testes de penetração.
- Os testes de penetração podem revelar vias de exploração, mas continuam limitados pelo âmbito, pelo tempo, pelo acesso do avaliador e pela metodologia.
As conclusões alimentam a gestão de riscos
As conclusões dos ensaios devem ser avaliadas quanto ao impacto na segurança e relacionadas com o processo de gestão dos riscos de cibersegurança. A FDA explica que uma anomalia de segurança pode exigir mitigação, porque a sua possibilidade de exploração pode causar um tipo de dano diferente do de um defeito de software comum.
Avaliação das conclusões
Os relatórios devem explicar a conclusão, o componente ou a interface afetados, a possibilidade de exploração, as versões afetadas, o estado dos controlos e a implicação em termos de danos para os doentes.
Correção adiada
Se uma correção for adiada, o ficheiro deve explicar a justificação do risco, a versão planeada, os dispositivos instalados no terreno afetados e de que forma a atualização chegará a esses dispositivos.
Ensaios pós-comercialização
A FDA recomenda ensaios de segurança durante o desenvolvimento e após a comercialização, com intervalos adequados ao risco. Por exemplo, uma alteração ao mecanismo de atualização pode exigir novos ensaios de integridade e recuperação. A divulgação de uma vulnerabilidade num componente pode exigir uma investigação e ensaios de regressão da correção.
Na documentação da UE, os resultados da verificação sustentam a avaliação de riscos e podem identificar alterações necessárias ao dispositivo ou às respetivas instruções. A MDCG 2019-16 explica como este trabalho prossegue após a comercialização. A IEC 81001-5-1 fornece um processo de ciclo de vida para manter estas atividades.
Fontes
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, orientação final, fevereiro de 2026
- FDA, Postmarket Management of Cybersecurity in Medical Devices, orientação final, dezembro de 2016
- Comissão Europeia, MDCG 2019-16 Guidance on Cybersecurity for medical devices
- IEC, IEC 81001-5-1:2021 Health software and health IT systems safety, effectiveness and security