متطلبات الأمن السيبراني الجديدة في الولايات المتحدة

يعد الأمن السيبراني أحد الاعتبارات الرئيسية في سوق اليوم لمصنعي الأجهزة الطبية والصناعات الأخرى. لقد كتبت سابقا عن توقعات إدارة الغذاء والدواء لتوثيق الأمن السيبراني لعمليات إرسال الأجهزة الطبية ، وتحدثنا عن هذا الموضوع في Medical Device Playbook Toronto.

في الآونة الأخيرة ، أصبحنا على دراية بمتطلبات الأمن السيبراني الجديدة التي تدخل حيز التنفيذ في الولايات المتحدة للأجهزة الطبية التي تعتبر "أجهزة إلكترونية". تحدد حكومة الولايات المتحدة جهازًا إلكترونيًا ، وهو الجهاز الذي:

• يتضمن برنامجًا تم التحقق من صحته أو تثبيته أو ترخيصه من قبل الراعي كجهاز أو في جهاز ؛
• لديه القدرة على الاتصال بالإنترنت ؛
• يحتوي على أي من هذه الخصائص التكنولوجية التي تم التحقق من صحتها أو تثبيتها أو التصريح بها من قبل الراعي والتي قد تكون عرضة لتهديدات الأمن السيبراني.

هذا أكثر إثارة للاهتمام لأن هذه المتطلبات الجديدة لم يتم توصيلها مباشرة بعد من إدارة الغذاء والدواء أو مناقشتها على نطاق واسع في أخبار الصناعة. كنت أرغب في مشاركة هذه المعلومات مع قرائنا حتى تكون على دراية بها أيضًا والاستعداد بشكل استباقي لهذا التغيير.

بالنسبة لأولئك الذين يعملون في الصناعة الذين يقومون بإعداد الطلبات حاليًا ، يعد هذا موضوعًا ساخنًا. ستحتاج إلى التأكد من إنشاء الوثائق الصحيحة وتقديمها كجزء من الإرسال لتجنب طلبات المعلومات الإضافية والتأخير في عملية الإرسال.

متطلبات جديدة

في 21 ديسمبر 2022 ، وافقت حكومة الولايات المتحدة على مشروع قانون شامل¹ ("قانون الاعتمادات الموحدة ، 2023") ، والذي كان في الغالب حول ضمان التمويل للأنشطة الحكومية حتى سبتمبر 2023 ، ولكنه يتضمن أيضًا قسمًا فرعيًا يتناول سيطرة إدارة الغذاء والدواء على الأمن السيبراني للأجهزة الطبية.

يتألف مشروع القانون هذا من 4,155،3,537 صفحة مذهلة ، ومخفيًا فيما بينها ، في الصفحة 510 ، هو قسم الاهتمام الرئيسي ، والذي يحدد مجموعة من متطلبات الأمن السيبراني ، تتوقع الحكومة تلقيها من أي شخص يقدم طلبًا أو تقديمًا بموجب الأقسام 513 (ك) أو 515 أو 515 (ج) أو 520 (و) أو 510 (م) فيما يتعلق بقانون الأغذية والأدوية ومستحضرات التجميل. هذا يعني أن أي شخص يقدم جهازًا طبيًا للموافقة عليه أو تصريحًا بموجب مسارات IDE أو XNUMX (k) أو De Novo أو PMA مطلوب الآن تقديم ما يلي:

• (ب) متطلبات الأمن السيبراني - الجهة الراعية للتطبيق أو التقديم الموصوف في القسم الفرعي 3
  • (أ) يجب -
    • (1) تقديم خطة إلى السكرتير لرصد وتحديد ومعالجة الثغرات الأمنية السيبرانية لما بعد السوق في وقت معقول ، بما في ذلك الكشف المنسق عن نقاط الضعف والإجراءات ذات الصلة ؛
    • (2) تصميم العمليات والإجراءات وتطويرها وصيانتها لتوفير ضمان معقول بأن الجهاز والأنظمة ذات الصلة آمنة عبر الإنترنت ، وإتاحة تحديثات وتصحيحات ما بعد البيع للجهاز والأنظمة ذات الصلة لمعالجتها -
      • (أ) في دورة منتظمة مبررة بشكل معقول ، مع وجود نقاط ضعف معروفة غير مقبولة ؛ و
      • (ب) الخروج من الدورة بأسرع ما يمكن ، نقاط الضعف الحرجة التي يمكن أن تسبب مخاطر لا يمكن السيطرة عليها ؛
    • (3) تزويد السكرتير بفاتورة مواد برمجية ، بما في ذلك مكونات البرمجيات التجارية والمفتوحة المصدر والجاهزة ؛ و
    • (4) الامتثال للمتطلبات الأخرى التي قد يطلبها السكرتير من خلال اللوائح لإثبات ضمان معقول بأن الجهاز والأنظمة ذات الصلة آمنة عبر الإنترنت.

كما ينص على أن هذه المتطلبات الإضافية ستدخل حيز التنفيذ 90 يوما من تاريخ سن هذا القانون ، الذي يحدد تاريخ الامتثال في 21 مارس 2023.

المعلومات المتضاربة:

حاليًا ، كما هو مفصل في الورقة البيضاء الخاصة بنا مشروع إرشادات الأمن السيبراني الخاص بإدارة الغذاء والدواء، الإرشادات النهائية المطبقة من إدارة الغذاء والدواء موضحة في محتوى تقديمات ما قبل التسويق لإدارة الأمن السيبراني في الأجهزة الطبية بتاريخ 2014. ومع ذلك ، في عام 2022 ، نشرت إدارة الغذاء والدواء الأمريكية مسودة إرشادات محدثة ، الأمن السيبراني في الأجهزة الطبية: اعتبارات نظام الجودة ومحتوى تقديمات ما قبل السوق، والتي تتوسع بشكل كبير في التوقعات الخاصة بأنشطة الأمن السيبراني والتوثيق. يُفهم أن إصدار 2022 هو التفكير الحالي حول هذا الموضوع من إدارة الغذاء والدواء ، في حين أن التوجيه النهائي لعام 2014 هو التوجيه الساري حاليًا وقيد التنفيذ.

أكدت إدارة الغذاء والدواء أنها تعتزم الانتهاء من مسودة المبادئ التوجيهية لعام 2022 هذا العام عندما أبلغت توجيهاتها المستهدفة لتحديد الأولويات في عام 2023 (الإرشادات المقترحة من مجلس الإنماء والإعمار للسنة المالية 2023 (السنة المالية 2023) | ادارة الاغذية والعقاقير) ، ومع ذلك ، لم نر حتى الآن أي تواريخ نشر محددة أو تفاصيل حول مدى التعديلات أو كيفية مراجعة التوجيه النهائي مقارنة بمسودة 2022.

تقع الالتزامات الموضحة في مشروع القانون الشامل في منتصف الطريق بين نسختي 2014 و 2022 من التوجيه ، مع توسيع الالتزامات من تلك التي هي قيد التنفيذ حاليًا ولكن ليس على نطاق واسع مثل تلك المحددة في مسودة 2022.

تتم تغطية خطة ما بعد السوق والعمليات والجوانب الإجرائية جزئيًا من خلال التوجيه النهائي الحالي ولكن ليس كلمة بكلمة صراحة. تعد إضافة قائمة مواد برمجية (sBOMs) جديدة في الإرشادات النهائية الحالية ولكنها مشمولة في مسودة إرشادات 2022. يبدو أن المطلب الأخير هو بيان شامل يسمح لإدارة الغذاء والدواء والهيئات الحكومية ذات الصلة بالتكيف مع أفضل الممارسات كما هو مطلوب.

توصي إدارة الغذاء والدواء الأمريكية باستخدام حزمة eSTAR لتقديم الطلبات لضمان توفير المحتوى الصحيح. يطلب النموذج الحالي ، الإصدار 2-2 ، المستندات التالية فقط فيما يتعلق بالأمن السيبراني: ملف (ملفات) إدارة المخاطر ، وخطة أو خطة إدارة الأمن السيبراني للدعم المستمر ، وإشارة إلى محتوى الأمن السيبراني في وضع العلامات. يجب أن نتوقع تحديث هذا النموذج ليعكس أي متطلبات إضافية.

يشير مشروع القانون صراحةً إلى الإرشادات المعنونة "محتوى تقديمات ما قبل السوق لإدارة الأمن السيبراني في الأجهزة الطبية" (أو وثيقة تالية) والتزامات إدارة الغذاء والدواء بمراجعتها وتحديثها بآراء من "مصنعي الأجهزة ، الصحة مقدمي الرعاية ، ومقدمي خدمات الأجهزة من الأطراف الثالثة ، والمدافعين عن المرضى ، وأصحاب المصلحة المناسبين الآخرين ". لكن الحد الزمني لهذا الجانب من مشروع القانون لا يتجاوز عامين مما يتعارض مع توقع 90 يومًا.

الأسئلة المتبقية:

هذا هو المكان الذي نصل فيه إلى جوهر المشكلة ، كيف تستجيب الصناعة لهذه المتطلبات المتضاربة؟

ينص مشروع القانون على أن إدارة الغذاء والدواء يجب أن توفر الموارد في موعد لا يتجاوز 180 يومًا بعد دخول القانون حيز التنفيذ ، بما في ذلك تحديث موقع الويب الخاص بإدارة الغذاء والدواء بشأن الأمن السيبراني. لكن مرة أخرى ، يأتي هذا بعد الموعد النهائي للصناعة.

سيتعين علينا الانتظار لنرى متى يتم إرسال هذا رسميًا إلى الصناعة إما عن طريق تحديث الإرشادات أو بوسائل أخرى. نأمل أن يحدث هذا قريبًا لتوضيح هذه التوقعات.

¹ An فاتورة شاملة هو مقترح القانون التي تغطي عددًا من الموضوعات المتنوعة أو غير ذات الصلة فاتورة شاملة - ويكيبيديا

صورة: CanStock صور

هيلين سيمونز هو ضمان مستوى الجودة Manager في StarFish Medical. يتم تعليم هيلين في الهندسة الميكانيكية ، مع خلفية عن تطوير المنتجات وتطوير نظام إدارة الجودة عبر العديد من الصناعات مع المنتجات الاستهلاكية والصناعية إلى الأجهزة الطبية وأجهزة IVD والأجهزة المدمجة.



---

• محتوى مدعوم من تحسين محركات البحث وتوزيع العلاقات العامة. تضخيم اليوم.
• بلاتوبلوكشين. Web3 Metaverse Intelligence. تضخيم المعرفة. الوصول هنا.
• المصدر https://starfishmedical.com/blog/new-cybersecurity-requirements-in-the-us/