ข้อกำหนดความปลอดภัยทางไซเบอร์ใหม่ในสหรัฐอเมริกา

ความปลอดภัยทางไซเบอร์เป็นข้อพิจารณาที่สำคัญในตลาดปัจจุบันสำหรับผู้ผลิตอุปกรณ์การแพทย์และอุตสาหกรรมอื่นๆ ผมเคยเขียนเกี่ยวกับ ความคาดหวังของ FDA สำหรับเอกสารความปลอดภัยทางไซเบอร์ สำหรับการส่งอุปกรณ์ทางการแพทย์ และพูดคุยเกี่ยวกับหัวข้อนี้ที่ Medical Device Playbook Toronto

เมื่อเร็ว ๆ นี้ เราได้รับทราบข้อกำหนดความปลอดภัยทางไซเบอร์ใหม่ซึ่งมีผลบังคับใช้ในสหรัฐอเมริกาสำหรับอุปกรณ์ทางการแพทย์ซึ่งถือเป็น "อุปกรณ์ไซเบอร์" รัฐบาลสหรัฐกำหนดอุปกรณ์ไซเบอร์ ซึ่งเป็นอุปกรณ์ที่:

• รวมถึงซอฟต์แวร์ที่ผ่านการตรวจสอบ ติดตั้ง หรืออนุญาตโดยผู้สนับสนุนว่าเป็นอุปกรณ์หรือในอุปกรณ์
• มีความสามารถในการเชื่อมต่ออินเทอร์เน็ต
• มีลักษณะทางเทคโนโลยีดังกล่าวที่ผ่านการตรวจสอบ ติดตั้ง หรืออนุญาตโดยผู้สนับสนุนซึ่งอาจเสี่ยงต่อภัยคุกคามความปลอดภัยทางไซเบอร์

ทั้งหมดนี้น่าสนใจกว่าเนื่องจากข้อกำหนดใหม่เหล่านี้ยังไม่ได้รับการสื่อสารโดยตรงจาก FDA หรือมีการพูดคุยกันอย่างกว้างขวางในข่าวอุตสาหกรรม ฉันต้องการแบ่งปันข้อมูลนี้กับผู้อ่านของเราเพื่อให้คุณได้รับทราบและเตรียมพร้อมสำหรับการเปลี่ยนแปลงนี้ในเชิงรุก

สำหรับผู้ที่อยู่ในอุตสาหกรรมที่กำลังเตรียมการส่งผลงาน นี่เป็นประเด็นร้อน คุณจะต้องแน่ใจว่ามีการสร้างเอกสารที่ถูกต้องและจัดเตรียมให้เป็นส่วนหนึ่งของการส่งเพื่อหลีกเลี่ยงการร้องขอข้อมูลเพิ่มเติมและความล่าช้าในกระบวนการส่ง

ข้อกำหนดใหม่

เมื่อวันที่ 21 ธันวาคม พ.ศ. 2022 รัฐบาลสหรัฐฯ ได้อนุมัติร่างกฎหมายรถโดยสาร¹ ( "พระราชบัญญัติการจัดสรรรวม พ.ศ. 2023”) ซึ่งส่วนใหญ่เกี่ยวกับการรับรองเงินทุนสำหรับกิจกรรมของรัฐบาลจนถึงเดือนกันยายน 2023 แต่ยังรวมถึงส่วนย่อยที่กล่าวถึงการควบคุมความปลอดภัยทางไซเบอร์ของอุปกรณ์ทางการแพทย์ของ FDA

ร่างกฎหมายนี้ประกอบด้วยหน้าจำนวน 4,155 หน้า และส่วนที่ซ่อนอยู่ในหน้า 3,537 คือส่วนที่น่าสนใจหลัก ซึ่งระบุข้อกำหนดด้านความปลอดภัยทางไซเบอร์ชุดหนึ่งที่รัฐบาลคาดว่าจะได้รับจากใครก็ตามที่ส่งใบสมัครหรือยื่นคำร้องภายใต้มาตรา 510(k) , 513, 515(c), 515(f) หรือ 520(m) เกี่ยวกับพระราชบัญญัติอาหาร ยา และเครื่องสำอาง ซึ่งหมายความว่าใครก็ตามที่ส่งอุปกรณ์ทางการแพทย์เพื่อขออนุมัติหรืออนุญาตภายใต้ IDE, 510(k), De Novo หรือ PMA Pathways จะต้องให้ข้อมูลต่อไปนี้:

• (ข) ข้อกำหนดด้านความปลอดภัยทางไซเบอร์—ผู้สนับสนุนแอปพลิเคชันหรือการส่งที่อธิบายไว้ในส่วนย่อย 3
  • (a) จะ—
    • (1) ส่งแผนการติดตาม ระบุ และจัดการกับช่องโหว่ด้านความปลอดภัยในโลกไซเบอร์หลังการขายในเวลาที่เหมาะสม ตามความเหมาะสม ในเวลาที่เหมาะสม รวมถึงการเปิดเผยช่องโหว่ที่ประสานกันและขั้นตอนที่เกี่ยวข้อง
    • (2) ออกแบบ พัฒนา และบำรุงรักษากระบวนการและขั้นตอนเพื่อให้มีการรับประกันอย่างสมเหตุสมผลว่าอุปกรณ์และระบบที่เกี่ยวข้องมีความปลอดภัยทางไซเบอร์ และจัดให้มีการอัปเดตหลังการขายและแพตช์สำหรับอุปกรณ์และระบบที่เกี่ยวข้องเพื่อแก้ไข—
      • (A) ในรอบปกติที่มีเหตุผลสมควร รู้จักช่องโหว่ที่ยอมรับไม่ได้; และ
      • (B) เร็วที่สุดเท่าที่จะเป็นไปได้ ช่องโหว่ร้ายแรงที่อาจก่อให้เกิดความเสี่ยงที่ไม่สามารถควบคุมได้;
    • (3) จัดหารายการวัสดุซอฟต์แวร์ให้กับเลขานุการ รวมถึงส่วนประกอบซอฟต์แวร์เชิงพาณิชย์ โอเพ่นซอร์ส และนอกชั้นวาง; และ
    • (4) ปฏิบัติตามข้อกำหนดอื่น ๆ ตามที่เลขานุการอาจกำหนดผ่านกฎระเบียบเพื่อแสดงความมั่นใจอย่างสมเหตุสมผลว่าอุปกรณ์และระบบที่เกี่ยวข้องมีความปลอดภัยในโลกไซเบอร์

นอกจากนี้ยังระบุว่าข้อกำหนดเพิ่มเติมเหล่านี้จะมีผลบังคับใช้ 90 วัน ตั้งแต่วันที่พระราชบัญญัตินี้ใช้บังคับซึ่งกำหนดให้วันที่ 21 มีนาคม พ.ศ. 2023

ข้อมูลที่ขัดแย้งกัน:

ขณะนี้ตามรายละเอียดในสมุดปกขาวของเรา คำแนะนำฉบับร่างความปลอดภัยทางไซเบอร์ของ FDAคำแนะนำขั้นสุดท้ายที่เกี่ยวข้องจากองค์การอาหารและยามีระบุไว้ใน เนื้อหาของการส่งล่วงหน้าสำหรับการจัดการความปลอดภัยทางไซเบอร์ในอุปกรณ์การแพทย์ ลงวันที่ 2014 อย่างไรก็ตาม ในปี 2022 FDA ได้เผยแพร่ร่างคำแนะนำฉบับปรับปรุง ความปลอดภัยทางไซเบอร์ในอุปกรณ์การแพทย์: ข้อพิจารณาระบบคุณภาพและเนื้อหาของการส่งก่อนออกสู่ตลาดซึ่งขยายความคาดหวังอย่างมากสำหรับกิจกรรมและเอกสารด้านความปลอดภัยทางไซเบอร์ เป็นที่เข้าใจกันว่าเวอร์ชันปี 2022 เป็นแนวคิดปัจจุบันเกี่ยวกับหัวข้อนี้จาก FDA ในขณะที่คำแนะนำขั้นสุดท้ายในปี 2014 เป็นคำแนะนำที่มีผลบังคับใช้ในปัจจุบันและอยู่ภายใต้การบังคับใช้

องค์การอาหารและยายืนยันว่าพวกเขาตั้งใจที่จะสรุปแนวทางร่างปี 2022 ในปีนี้ เมื่อพวกเขาสื่อสารแนวทางเป้าหมายเพื่อจัดลำดับความสำคัญในปี 2023 (CDRH เสนอแนวทางสำหรับปีงบประมาณ 2023 (FY2023) | อย) อย่างไรก็ตาม เรายังไม่เห็นวันที่ตีพิมพ์หรือรายละเอียดใด ๆ เกี่ยวกับขอบเขตของการแก้ไขหรือวิธีการแก้ไขคำแนะนำขั้นสุดท้ายเมื่อเทียบกับฉบับร่างปี 2022

ข้อผูกมัดที่ระบุไว้ในร่างกฎหมายรถโดยสารอยู่กึ่งกลางระหว่างข้อแนะนำฉบับปี 2014 และ 2022 โดยมีการขยายข้อผูกพันจากข้อผูกพันที่กำลังบังคับใช้อยู่ในปัจจุบัน แต่ไม่ครอบคลุมเท่าที่ระบุไว้ในร่างฉบับปี 2022

แผนหลังการวางตลาดและขั้นตอนและขั้นตอนต่าง ๆ ครอบคลุมบางส่วนโดยแนวทางสุดท้ายในปัจจุบัน แต่ไม่ได้อธิบายอย่างชัดเจนแบบคำต่อคำ การเพิ่มรายการวัสดุซอฟต์แวร์ (sBOM) เป็นเรื่องใหม่สำหรับคำแนะนำขั้นสุดท้ายในปัจจุบัน แต่ครอบคลุมอยู่ในร่างคำแนะนำปี 2022 ข้อกำหนดล่าสุดดูเหมือนจะเป็นคำสั่งที่จับได้ทั้งหมดซึ่งช่วยให้ FDA และหน่วยงานของรัฐที่เกี่ยวข้องสามารถปรับให้เข้ากับแนวทางปฏิบัติที่ดีที่สุดได้ตามต้องการ

องค์การอาหารและยาแนะนำให้ใช้แพ็คเกจ eSTAR ในการส่งเพื่อให้แน่ใจว่ามีเนื้อหาที่ถูกต้อง เทมเพลตปัจจุบัน เวอร์ชัน 2-2 ขอเฉพาะเอกสารต่อไปนี้ที่เกี่ยวข้องกับความปลอดภัยในโลกไซเบอร์: ไฟล์การจัดการความเสี่ยง แผนหรือแผนการจัดการความปลอดภัยในโลกไซเบอร์สำหรับการสนับสนุนต่อเนื่อง และการอ้างอิงถึงเนื้อหาความปลอดภัยในโลกไซเบอร์ภายในฉลาก เราควรคาดหวังว่าเทมเพลตนี้จะได้รับการอัปเดตเพื่อให้สอดคล้องกับข้อกำหนดเพิ่มเติม

ร่างกฎหมายดังกล่าวกล่าวถึงคำแนะนำอย่างชัดเจนในหัวข้อ ''เนื้อหาของเอกสารก่อนวางจำหน่ายสำหรับการจัดการความปลอดภัยทางไซเบอร์ในอุปกรณ์การแพทย์'' (หรือเอกสารที่รับช่วงต่อ) และข้อผูกพันของ FDA ในการตรวจสอบและปรับปรุงให้ทันสมัยอยู่เสมอด้วยคำติชมจาก "ผู้ผลิตอุปกรณ์ สุขภาพ ผู้ให้บริการดูแล ผู้ให้บริการอุปกรณ์บุคคลที่สาม ผู้สนับสนุนผู้ป่วย และผู้มีส่วนได้ส่วนเสียอื่นๆ ที่เหมาะสม” แต่กำหนดเวลาในส่วนนี้ของร่างกฎหมายคือไม่เกินสองปีซึ่งขัดแย้งกับที่คาดการณ์ไว้ 90 วัน

คำถามที่เหลือ:

นี่คือจุดที่เรามาถึงประเด็นสำคัญของปัญหา อุตสาหกรรมตอบสนองต่อข้อกำหนดที่ขัดแย้งกันเหล่านี้อย่างไร

ร่างกฎหมายระบุว่า FDA ควรจัดหาทรัพยากรภายใน 180 วันหลังจากกฎหมายมีผลบังคับใช้ รวมถึงการปรับปรุงเว็บไซต์ของ FDA เกี่ยวกับความปลอดภัยทางไซเบอร์ แต่สิ่งนี้เกิดขึ้นหลังจากเส้นตายสำหรับอุตสาหกรรม

เราจะต้องรอดูว่าสิ่งนี้จะได้รับการสื่อสารอย่างเป็นทางการต่ออุตสาหกรรมเมื่อใด โดยการอัปเดตคำแนะนำหรือด้วยวิธีอื่น หวังว่าสิ่งนี้จะเกิดขึ้นในไม่ช้าเพื่อนำมาซึ่งความชัดเจนเกี่ยวกับความคาดหวังเหล่านี้

¹ An บิลรถโดยสาร เป็นการเสนอ กฎหมาย ที่ครอบคลุมหัวข้อที่หลากหลายหรือไม่เกี่ยวข้องกัน ใบเรียกเก็บเงินค่ารถโดยสาร – วิกิพีเดีย

ภาพ: สามารถสต็อกรูปภาพ

เฮเลน ไซมอนส์ คือ ระบบประกันคุณภาพ ผู้จัดการที่ StarFish Medical การศึกษาของ Helen อยู่ในสาขาวิศวกรรมเครื่องกล โดยมีพื้นฐานมาจากการพัฒนาผลิตภัณฑ์และการพัฒนา QMS ในหลายอุตสาหกรรม โดยมีผลิตภัณฑ์สำหรับผู้บริโภคและอุตสาหกรรม ไปจนถึงอุปกรณ์ทางการแพทย์ IVD และอุปกรณ์รวมกัน



---

• เนื้อหาที่ขับเคลื่อนด้วย SEO และการเผยแพร่ประชาสัมพันธ์ รับการขยายวันนี้
• เพลโตบล็อคเชน Web3 Metaverse ข่าวกรอง ขยายความรู้. เข้าถึงได้ที่นี่.
• ที่มา: https://starfishmedical.com/blog/new-cybersecurity-requirements-in-the-us/