美国FDA对医疗器材製造商提出网路安全建议 新指引草案含括产品上市后的网路安全漏洞管理

美国FDA对医疗器材製造商提出网路安全建议
新指引草案含括产品上市后的网路安全漏洞管理
【生策会编译】
美国FDA近期针对医疗器材上市后的网路安全管理发布指引草案，点出医疗器材製造商应遵循的重要步骤，以不断因应网路安全风险，保障病患及公卫安全，草案中详细建议医疗器材在进入市场后，该如何监测、发现和解决网路安全漏洞，使医疗器材在面对网路潜在威胁时仍保有其安全性和有效性，而这只是美国FDA努力保护医疗器材整个生命週期中的一小部分。
医疗器材的网路安全威胁日益受重视，网路安全漏洞显示医疗器材具有安全性和有效性的潜在风险。虽然製造商可以在设计产品时嵌入安全控制来避免风险，但重要的是，在医疗器材生命週期中，网路威胁将会不断变化和出现，厂家在维修设备时也应同步考虑改进产品安全。
美国FDA医疗器材和辐射健康中心Suzanne Schwartz医学博士 表示：「使用软体连结到医院和医疗照护机构的所有医疗器材都存有网路安全漏洞，有些网路安全威胁可以主动防范，有些则需要随时警惕监测和及时补救。指引草案主要建议医材製造商在产品上市后持续监视和解决网路安全问题，以保障患者免受危害。」
指引草案建议医疗器材製造商在产品上市后，应依循美国FDA医疗器材品质系统法规，主动地规划方案以评估网路安全漏洞，且需加入由民间和公部门共同成立之资讯分享和分析组织-ISAO，以共享网路安全讯息。而要建立一个全方位兼具系统性和结构性的网路安全风险管理方案，并可立即发现和解决网路安全漏洞，当中关键应包含：
  • 运用美国国家标准技术局（National Institute of Standards and Technology, NIST）所发布「网路安全框架指引」中的核心原理：确认、保护、检测、回应及復原；
  • 监控网路安全信息的来源，以确认和检测其漏洞及风险；
  • 了解、评估和检测网路安全漏洞所造成的影响；
  • 建立发现网路安全漏洞的处理流程；
  • 明订医疗器材的主要临床成效，以开发因应网路安全漏洞的保护、回应及復原机制；
  • 採用网路安全漏洞相关政策及其做法；
  • 设置网路安全风险预警机制。
在大多数状况下，製造商依循上市前审查和相关规范解决网路安全漏洞的动作被视为”网路安全的例行更新或修正”，不需向美国FDA提交预先通知，但若是网路安全漏洞危害医疗器材的临床性能，并有可能造成患者产生严重不良后果或死亡，则美国FDA要求製造商必需预先通知。
指引草案指出，在某些状况下，若是网路安全漏洞可以被快速解决，降低患者的危害风险，美国FDA不强制要求医疗器材製造商回报讯息，状况包括：网路安全漏洞没有造成患者产生严重不良事件或死亡；製造商在发现网路安全漏洞后的30天内通知用户，并修正产品将网路安全风险降至安全规范内；製造商必须是ISAO的成员，并向该机构回报网路安全漏洞及其评估和修復状态。
Schwartz博士表示「美国FDA鼓励医疗器材製造商对于网路安全管理採取积极的态度，唯有安全可信任的环境，才能更好地保护病人安全，免于遭受网路安全威胁。」
美国FDA在1月20-21日办理研讨会，探讨如何促进医疗器材的网路安全管理，并针对滞碍问题研拟具体解决方案。
自从2013年美国白宫颁行《第13636号行政命令》和《第21号总统政策指令》启动政府机构和私营部门共同加强网路安全的关键基础设施，美国FDA一直致力于提高网路安全资讯共享，和在风险基准下协作开展实施标准。在2014年10月，美国FDA最终确认草案内容包含：医疗器材在设计开发阶段需纳入上市前的网路安全管理建议，其他还包含：与国土安全部工业控制系统网路紧急回应小组和国家卫生资讯共享和分析中心建立正式的伙伴关係、自愿投入美国国家标准与技术研究院 (NIST) 打造的网路资讯安全架构、办理会议，如：公开研讨会，以及对特定医疗器材的网路安全漏洞发佈安全讯息。
资料来源：美国FDA
返回列表

Top