"Cyberbeveiliging in medische hulpmiddelen: kwaliteitssysteemoverwegingen en inhoud van premarket-inzendingen | FDA' is een nieuw document van de FDA dat richtlijnen biedt voor het integreren van cyberbeveiliging in het kwaliteitssysteembeheer en het pre-market indieningsproces voor medische hulpmiddelen.

Het omvat risicobeheer, ontwerpcontroles, softwarevalidatie en andere elementen om de veiligheid, effectiviteit en beveiliging van medische apparatuur te garanderen in het licht van potentiële cyberdreigingen.

Het doel van het document is om apparaatfabrikanten de noodzaak bij te brengen om cyberbeveiliging te overwegen in alle aspecten van apparaatsoftware, inclusief ontwerp, ontwikkeling, testen, monitoring en onderhoud. Een sleutelconcept van het document is de planning voor de ‘totale productlevenscyclus’. De FDA heeft veel aspecten van cyberbeveiliging betrokken die normaal gesproken aan HIPAA- en apparaatklanten zouden worden overgelaten. Het is nu de taak van de fabrikanten van apparaten om vanaf het begin van de ontwikkelingsfase veilige softwarepraktijken te integreren en door middel van documentatie te laten zien hoe ze ervoor kunnen blijven zorgen dat het apparaat veilig blijft.

Wat is cybersecurity?

NIST (National Institute of Standards and Technology) heeft een hele pagina gewijd aan de verschillende definities van cyberveiligheid.

NIST identificeert Cybersecurity als synoniem voor computerbeveiliging[1]. Het zijn de “maatregelen en controles die de vertrouwelijkheid, integriteit en beschikbaarheid garanderen van de informatie die door een computer wordt verwerkt en opgeslagen.”.[2] Het is ook “het voorkomen van schade aan, ongeoorloofd gebruik van, exploitatie van en – indien nodig – het herstellen van elektronische informatie- en communicatiesystemen, en de informatie die ze bevatten, om de vertrouwelijkheid, integriteit en beschikbaarheid van deze systemen te versterken. .”[3]

Wanneer cyberbeveiliging wordt uitgebreid naar medische apparatuur, omvat het ook de veiligheid van gebruikers en patiënten. Zoals opgemerkt in de FDA-richtlijnen op pagina 11: “De reikwijdte en doelstelling van een proces voor het beheer van beveiligingsrisico’s, in combinatie met andere SPDF-processen (bijvoorbeeld beveiligingstests), is om bloot te leggen hoe bedreigingen, via kwetsbaarheden, schade aan de patiënt en andere problemen kunnen manifesteren. potentiële risico's." Figuur 1 hieronder toont de relatie tussen cyberbeveiligingsrisico en veiligheidsrisico.

Hoe u cyberbeveiligingsrisico's kunt beheren

De FDA-richtlijnen suggereren dat een manier om cyberveiligheidsrisico’s te beheersen is door middel van wat zij een “Secure Product Development Framework” of SPDF noemt. Een SPDF is in wezen een plan voor het identificeren van cyberbedreigingen en oplossingen voor de gehele levensduur van het apparaat. Fabrikanten van apparaten moeten een SPDF implementeren als onderdeel van het belangrijkste kwaliteitsmanagementsysteem (QMS) dat bepaalt hoe een apparaat met software wordt ontwikkeld en onderhouden.

Het proces kan worden samengevat in de volgende stappen:

• Identificeer bedreigingen
• Documenteer en evalueer risico's
• Documenteer en implementeer oplossingen
• Test en verifieer de oplossingen
• en ten slotte het apparaat en de apparaatruimte controleren op nieuwe bedreigingen.

De uitkomsten van deze stappen en de implementatie van toekomstgerichte procedures zijn de input die de FDA nodig heeft voor alle nieuwe inzendingen van de toezichthouders. Hoewel de stappen van het proces gemakkelijk te identificeren zijn, is de implementatie van een SPDF allesbehalve eenvoudig.

Meer over SPDF

Een raamwerk voor veilige productontwikkeling zou een standaardonderdeel moeten worden van elk QMS dat wordt gebruikt om een ​​elektronisch medisch apparaat of elk medisch apparaat met software te ontwikkelen. Het is verleidelijk om te beweren dat een apparaat geen SPDF of cyberveiligheidsoverwegingen vereist, maar dat zou een vergissing zijn. Er is geen manier om aan de FDA te bewijzen dat uw apparaat GEEN cyberbeveiligingsrisico's met zich meebrengt totdat u veel van de eerste stappen van een SPDF hebt uitgevoerd, namelijk dreigingsidentificatie en cyberbeveiligingsrisicoanalyse. We hebben al verhalen gehoord van andere fabrikanten die ervan uitgingen dat ze veilig waren, maar de FDA liet wijzen naar een USB-poort of een latente netwerkpoort (niet minder achter een paneel!) en de aanvraag afwijst vanwege een gebrek aan cyberbeveiligingsdocumentatie. Het feit dat het apparaat geen verbinding met internet maakt, betekent niet dat een bedreigingsacteur een deel van uw systeem niet kan misbruiken. De enige manier om te bewijzen dat uw apparaat veilig is, is door vanaf het begin van de levenscyclus van het apparaat een SPDF te implementeren en het gebrek aan bedreigingen of risico's te documenteren.

Risicobeheer op het gebied van cyberbeveiliging

Ons softwareteam werkt samen met een aantal cyberbeveiligingsprofessionals, penetratietestbedrijven en FDA-consultants om ervoor te zorgen dat de apparaten die we ontwikkelen, kunnen voldoen aan de FDA-cyberbeveiligingsdocumentatievereisten voor medische apparaten. Apparaatontwikkelaars moeten de nieuwe FDA-richtlijnen internaliseren en nieuwe processen creëren om te helpen bij de naleving en nieuwe hulpmiddelen voor het genereren van de output die nodig is om de FDA tevreden te stellen. Dit is geen kleine onderneming. We hebben veel tijd en moeite gestoken in het ontwikkelen van deze systemen. De inspanningen hebben hun vruchten afgeworpen voor onze klanten, omdat we de detectie en rapportage van kwetsbaarheden hebben geautomatiseerd.

Als u meer wilt weten over hoe StarFish Medical u kan helpen bij het naleven van de cyberbeveiligingsregelgeving, neem dan contact met ons op Neem contact op met onze Business Development-groep. Zij bespreken graag hoe Starfish u kan helpen bij het succesvol maken van robuuste, veilige medische hulpmiddelen.

[1] https://csrc.nist.gov/glossary/term/cybersecurity

[2] https://www.cnss.gov/CNSS/issuances/Instructions.cfm

[3] https://doi.org/10.6028/NIST.IR.8074v2

Afbeelding: FDA

Russell Haley is een StarFish Medical Senior Software Engineer. Hij is een software- en IT-veteraan met meer dan 20 jaar start-upervaring in het ontwerpen van IoT-systemen die gegevens verzamelen via Wi-Fi, Bluetooth en MICS (implanteerbare) radio's en vitale gegevens opslaan in de cloud van oceanografische boeien, financiële instellingen, passagierstreinen en meest recentelijk medische hulpmiddelen.

• Door SEO aangedreven content en PR-distributie. Word vandaag nog versterkt.
• PlatoData.Network Verticale generatieve AI. Versterk jezelf. Toegang hier.
• PlatoAiStream. Web3-intelligentie. Kennis versterkt. Toegang hier.
• PlatoESG. carbon, CleanTech, Energie, Milieu, Zonne, Afvalbeheer. Toegang hier.
• Plato Gezondheid. Intelligentie op het gebied van biotech en klinische proeven. Toegang hier.
• Bron: https://starfishmedical.com/blog/fda-guidance-medical-device-cybersecurity/