Lo que los líderes de ciberseguridad sanitaria deben saber sobre las directrices de la Sección 524B de la FDA

Recientemente, la Administración de Alimentos y Medicamentos (FDA) emitir regulaciones actualizadas en relación con los dispositivos médicos, particularmente en relación con los requisitos de ciberseguridad de estos dispositivos. Estos nuevos requisitos se encuentran en la Sección 524B, «Garantizar la ciberseguridad de los dispositivos». Ley de Alimentos, Medicamentos y Cosméticos (Ley FD&C).

Las nuevas regulaciones entraron oficialmente en vigor el 1 de octubre de 2023, por lo que los directores de seguridad de la información (CISO) y otros ejecutivos de seguridad que trabajan para empresas de dispositivos médicos deben priorizar el cumplimiento para evitar que la FDA rechace sus nuevos dispositivos en virtud de la Ley Negarse a ser rechazado. la política (RTA).

¿Quién se verá afectado?

Las nuevas regulaciones se aplican a cualquier persona que «presente una solicitud o presentación previa a la comercialización». […] para un dispositivo que cumple con la definición de dispositivo cibernético”, donde “dispositivo cibernético” se define de la siguiente manera:

“Un dispositivo que (1) contiene software que ha sido validado, instalado o autorizado por el Patrocinador como dispositivo o en un dispositivo, (2) tiene la capacidad de conectarse a Internet y (3) dichas características tecnológicas instaladas y validadas contienen o ha sido autorizado por el patrocinador que puede ser vulnerable a amenazas de ciberseguridad”.

La política actualizada no es retroactiva, por lo que las solicitudes enviadas a la FDA antes del 29 de marzo de 2023 y los dispositivos que ya han sido aprobados para su uso no se ven afectados. Sin embargo, los cambios y actualizaciones del dispositivo que requieran una nueva verificación antes de su comercialización estarán sujetos a la nueva normativa.

¿Cuál es el objetivo del nuevo reglamento?

El objetivo principal de la nueva regulación es reconocer el papel crucial que desempeña la ciberseguridad para garantizar el uso seguro y eficaz de los dispositivos médicos. Este es un reconocimiento de la convergencia de seguridad y calidad, y la FDA insta a las organizaciones a considerar el diseño de seguridad y el soporte operativo como aspectos de la entrega de un producto de calidad.

Como dijo un portavoz de la FDA una declaración actual:

«Los incidentes de ciberseguridad pueden dejar inoperables los dispositivos médicos y las redes hospitalarias, lo que podría afectar la atención al paciente en los centros de atención médica en los EE. UU. y en todo el mundo». […] [T]Estas nuevas autoridades permitirán a la FDA trabajar con los fabricantes y otras partes interesadas en los dispositivos para garantizar que los dispositivos cibernéticos se desarrollen de forma segura y reduzcan la probabilidad de dañar a los pacientes”.

Para los profesionales de la seguridad, esto es una confirmación de que la seguridad no es una ocurrencia tardía sino una parte esencial del proceso de fabricación y funcionamiento de dispositivos médicos. Esta también es una oportunidad para que los fabricantes de dispositivos médicos trabajen en estrecha colaboración con las organizaciones de atención médica que utilizan y respaldan estos dispositivos en la atención al paciente para garantizar que se comprenda y coordine el contexto de seguridad más amplio. Los dispositivos se utilizan en diferentes entornos y esto afecta el funcionamiento seguro de estos sistemas con el tiempo.

¿Qué exige la nueva regulación?

La nueva regulación exige que los fabricantes de dispositivos médicos presenten información que demuestre que el dispositivo cumple con ciertos estándares de ciberseguridad. La nueva información requerida incluye:

• Un plan documentado para “monitorear, identificar y remediar” vulnerabilidades y posibles exploits de ciberseguridad. Este plan debe incluir consideraciones para revelar estas vulnerabilidades.

• “Diseñar, desarrollar y mantener” procesos para garantizar que el dispositivo y los sistemas asociados sean seguros y para proporcionar actualizaciones y parches adecuados para el dispositivo y el sistema.

• «Proporcionar una lista de materiales de software» que enumere los componentes de software asociados con el dispositivo, incluidos los elementos comerciales y de código abierto.

Para obtener más orientación sobre cómo lograr los requisitos de cada uno de estos pasos, consulte la página de preguntas frecuentes de la FDA.

Más allá de los simples requisitos de presentación, la nueva regulación exige que se considere la seguridad desde el inicio del desarrollo de un dispositivo médico hasta que el dispositivo sea desmantelado al final de su vida útil.

¿Qué deberían hacer las empresas afectadas?

Los expertos en seguridad de las organizaciones afectadas deben trabajar en estrecha colaboración con los ingenieros para colaborar en el diseño teniendo en cuenta la seguridad. Requiere que estos líderes de seguridad comprendan profundamente el contexto en el que se utilizan estos dispositivos y traigan esa comprensión de las amenazas nuevamente al proceso de diseño para garantizar una sólida selección de controles y una sólida gestión de riesgos.

Para muchos fabricantes de dispositivos que no tienen experiencia con este tipo de trabajo de seguridad explícito, estos nuevos requisitos representarán un importante paso adelante. Los líderes empresariales deben asegurarse de que sus organizaciones adquieran las nuevas habilidades y herramientas que necesitan para cumplir con las nuevas directrices. La respuesta para muchos fabricantes de dispositivos será buscar una asociación con un proveedor de seguridad experimentado como Google.

Riesgo cibernético es un elemento del riesgo empresarial generalEsto significa que los fabricantes de dispositivos médicos deben comprender el impacto de una buena higiene de seguridad en sus resultados. Según estas nuevas directrices, los fabricantes de dispositivos médicos deben fabricar de forma segura o sus dispositivos simplemente no llegarán al mercado. 524B representa un reconocimiento del papel fundamental de la seguridad en el desarrollo de productos médicos seguros y eficaces.

Leer más Perspectivas de los socios de Google Cloud