ה- FDA בנושא תוכן הקשור לאבטחת סייבר בהגשות לפני השוק

תוכן העניינים

הגרסה העדכנית ביותר של המסמך הוצאה באוקטובר 2014. בשל אופיו המשפטי, הנחיית ה-FDA אינה מציגה דרישות כלשהן בעצמה, אלא מספקת הבהרות והמלצות נוספות שיש לשקול על ידי הצדדים המעורבים. בנוסף, הסוכנות מציינת כי ניתן ליישם גישה חלופית, בתנאי שגישה כזו תואמת את הדרישות הרגולטוריות המתאימות ואושרה על ידי הרשות מראש. ה-FDA גם שומר לעצמו את הזכות לערוך שינויים בהמלצות הניתנות בהן אם ייחשב כדרוש באופן סביר כדי לשקף תיקונים בחקיקה החלה.

רקע רגולטורי 

הסוכנות מכירה בחשיבות ההולכת וגוברת של ענייני אבטחת סייבר הקשורים למכשירים רפואיים המוכנסים לשוק האמריקאי. כיום, יותר ויותר מכשירים רפואיים דורשים חיבור לרשתות מקומיות ו/או גלובליות על מנת להבטיח את פעילותם הרגילה. מכשירים רפואיים רבים מעורבים גם בחילופי מידע הקשורים למטופל, שהוא רגיש במהותו. לפיכך, חשוב לוודא שהשימוש במכשירים מסוג זה לא יגרום לסיכונים בלתי מוצדקים למטופלים. על מנת לסייע ליצרני מכשור רפואי ולגורמים אחרים בזיהוי סיכונים פוטנציאליים הקשורים לבעיות אבטחת סייבר, ה-FDA פרסם את ההנחיות הנוכחיות המדגישות את ההיבטים החשובים ביותר שיש לקחת בחשבון בכל שלבי מחזור החיים של המוצר, מהפיתוח ועד לאחר השיווק. תחזוקה. המסמך מספק גם הבהרות נוספות בנוגע לדרישות הרגולטוריות למידע שיימסרו על ידי יצרני המכשור הרפואי בעת הגשת בקשה לאישור שיווק של מוצריהם. 

היקף ההנחיות הנוכחיות של ה-FDA מכסה את המידע שיש לכלול בהגשות לפני השוק במונחים של עניינים הקשורים לאבטחת סייבר. לפי המסמך, ניהול אבטחת סייבר יעיל נועד להפחית את הסיכון לחולים על ידי הפחתת הסבירות שתפקוד המכשיר נפגע בכוונה או שלא במתכוון על ידי אבטחת סייבר לא מספקת. 

ניתן ליישם את ההמלצות המופיעות בהנחיות עבור סוגים כאלה של הגשות לפני השוק כמו:

ראשית, ה-FDA מספק את ההגדרות של המונחים והמושגים החשובים ביותר המשמשים בהקשר של עניינים הקשורים לאבטחת סייבר, כולל הדברים הבאים:

• אימות - הפעולה של אימות הזהות של משתמש, תהליך או מכשיר כתנאי מוקדם לאפשר גישה למכשיר, לנתונים, למידע או למערכות שלו.
• אבטחת סייבר - התהליך של מניעת גישה בלתי מורשית, שינוי, שימוש לרעה או מניעת שימוש, או שימוש בלתי מורשה במידע שנשמר, ניגש אליו או מועבר ממכשיר רפואי לנמען חיצוני. 
• הצפנה - טרנספורמציה קריפטוגרפית של נתונים לצורה המסתירה את המשמעות המקורית של הנתונים כדי למנוע מהם להיות ידועים או שימושיים. 

עקרונות בסיסיים 

ההנחיות מתארות עוד את העקרונות הכלליים שעליהם מבוססת הגישה הרגולטורית הנוכחית. על פי המסמך, יצרן המכשור הרפואי צריך להיות אחראי על האמצעים והבקרות הדרושים כדי להבטיח שהמכשיר הרפואי עומד בדרישות הרגולטוריות החלות מבחינת אבטחת סייבר ופועל בצורה בטוחה ויעילה. 

עם זאת, הרשות מכירה בכך שאבטחת סייבר עבור מכשור רפואי, באופן כללי, צריכה להיות באחריות משותפת של כל הצדדים המעורבים. בעיות אבטחת סייבר פוטנציאליות עלולות להשפיע על הפעילות הרגילה של מכשיר רפואי ולגרום לאובדן נתונים או אפילו לנזק שנגרם לבריאות המטופל. 

בשל חשיבותם של ענייני אבטחת סייבר, יש לקחת אותם בחשבון על ידי יצרני המכשור הרפואי כבר מההתחלה - החל משלב הפיתוח הראשוני, שכן הדבר יפחית סיכון כזה בצורה היעילה ביותר. בפרט, הסוכנות מציינת כי היצרנים צריכים לקבוע תשומות עיצוב עבור המכשיר שלהם הקשורים לאבטחת סייבר ולבסס גישה של פגיעות וניהול אבטחת סייבר כחלק מאימות התוכנה וניתוח הסיכונים הנדרשים לפי 21 CFR 820.30(g). 

גישת ניהול אבטחת הסייבר שתופעל על ידי יצרן המכשור הרפואי תכסה את ההיבטים הבאים: 

• זיהוי בעיות ופגיעויות קיימות ופוטנציאליות של אבטחת סייבר;
• ניתוח ההשפעה שעלולה לגרום הפגיעות הנ"ל על פעולות המכשיר עצמו, כמו גם על בריאותם ובטיחותם של החולים;
• הערכת הסבירות הצפויה של הבעיות הקשורות לפגיעויות כאלה;
• זיהוי רמות הסיכון, קביעת האסטרטגיות והגישות שניתן ליישם על מנת להפחית סיכונים כאלה;
• הערכת סיכונים שיוריים הקשורים לאבטחת סייבר, וכן קריטריונים לקבלת סיכונים. 

פונקציות עיקריות של אבטחת סייבר 

על מנת לסייע ליצרני מכשור רפואי ביישום העקרונות שתוארו לעיל, ההנחיה מספקת המלצות לגבי הפונקציות המיוחדות הקשורות לאבטחת סייבר, כלומר:

• לזהות, 
• לְהַגֵן,
• לזהות,
• תגיב, ו
• לְהַחלִים.  

המסמך מתאר בפירוט כל אחת מהפונקציות הללו וכיצד יש ליישם אותן על ידי יצרן המכשור הרפואי. 

1. לזהות ולהגן. הסוכנות מציינת כי מכשירים רפואיים שניתן לחבר למכשירים אחרים, רשתות מקומיות או גלובליות, או אפילו מדיה דורשים את מירב תשומת הלב מבחינת אבטחת סייבר בניגוד לאלו שאינם מחוברים בשום צורה. אמצעי אבטחת הסייבר והבקרות הספציפיים שיופעלו תלויים בגורמים רבים, לרבות השימוש המיועד במכשיר הרפואי המדובר, הסביבה שבה הוא ישמש ופגיעויות מזוהות. יש לשקול גם את הסבירות שפגיעויות אלו ינוצלו ואת הסיכונים הכרוכים בכך, לרבות גרימת נזק פוטנציאלי לחולים. יחד עם זאת, היצרן יקבע איזון מיטבי בין הבטחת בטיחות המכשיר בכל הנוגע לעניינים הקשורים לאבטחת סייבר לבין השימושיות הכללית של המוצר. בהקשר זה, יצרני מכשור רפואי מעודדים לספק הצדקה לפונקציות האבטחה המיושמות במוצרים שלהם. 

2. לזהות, להגיב, לשחזר. היצרנים יפתחו ויציגו פונקציות המזהות בעיות אבטחה המתרחשות ויספקו את כל המידע הדרוש לשימושים הפוטנציאליים. מידע כזה צריך לתאר את הפעולות במקרה של בעיות אבטחת סייבר שונות המתעוררות. הסוכנות מדגישה בנוסף כי הפונקציות שמיושמות על ידי היצרן צריכות להספיק כדי להבטיח את פעולתו התקינה של מכשיר רפואי גם אם מתרחשת בעיית אבטחת סייבר. מלבד זאת, צריכה להיות אפשרות טכנית למשתמש מורשה מאומת לשחזר את תצורת המכשיר. 

לסיכום, הנחיות ה-FDA הנוכחיות מתארות בפירוט את ההיבטים החשובים ביותר שיש לקחת בחשבון על ידי יצרני המכשור הרפואי בהקשר של סוגיות אבטחת סייבר. המסמך מתאר את תחומי האחריות העיקריים של היצרן ומספק כמה המלצות שיש לקחת בחשבון בשלבים השונים של תהליך פיתוח מכשור רפואי. 

מקורות:

https://www.fda.gov/media/86174/download 

כיצד RegDesk יכול לעזור?

RegDesk היא תוכנה מבוססת אינטרנט מהדור הבא לחברות מכשירים רפואיים ו- IVD. הפלטפורמה החדישה שלנו משתמשת בלימוד מכונה כדי לספק מודיעין רגולטורי, הכנת יישומים, הגשת ואישורי ניהול ברחבי העולם. ללקוחותינו יש גם גישה לרשת של למעלה מ- 4000 מומחים לציות ברחבי העולם כדי לקבל אימות בשאלות קריטיות. ניתן להכין יישומים שבדרך כלל לוקח להכין 6 חודשים תוך 6 ימים באמצעות RegDesk Dash (TM). ההתרחבות העולמית מעולם לא הייתה כה פשוטה.</s> </s> </s> </s> </s> </s> </s> </s> </s> </s> </s> </s>