تحصل إدارة الغذاء والدواء الأمريكية (FDA) على تفاصيل مسودة تحديث موافقة ما قبل السوق للأجهزة الطبية – TechToday
النشرة الإخبارية
Sed ut perspiciatis unde.
أصدرت إدارة الغذاء والدواء الأمريكية تحديثات مختارة لإرشادات الأمن السيبراني في مرحلة ما قبل التسويق، بما في ذلك الأشخاص المطلوب منهم الالتزام، وأنواع الأجهزة التي تندرج ضمن متطلبات معينة للوكالة وتوصيات حول كيفية توثيق الامتثال ذي الصلة في عمليات تقديم ما قبل التسويق.
لماذا يهم
وقالت ادارة الاغذية والعقاقير فيالسجل الفدرالي الأربعاء أن التحديث المقترح لـ “الأمن السيبراني في الأجهزة الطبية: اعتبارات نظام الجودة ومحتوى تقديمات ما قبل التسويق” “يأخذ بعين الاعتبار” القدرة على الاتصال بالإنترنت “لتشمل الأجهزة التي يمكنها الاتصال سواء عن قصد أو عن غير قصد، من خلال أي وسيلة – بما في ذلك في أي نقطة يتم تحديدها في تقييم سطح التهديد للجهاز وبيئة الاستخدام.
على وجه التحديد، قالت إدارة الغذاء والدواء الأمريكية في المسودة الجديدة إنها تأخذ في الاعتبار الأجهزة التي تعمل بتقنية Wi-Fi أو الخلوية؛ اتصالات الشبكة أو الخادم أو مزود الخدمة السحابية؛ بلوتوث أو بلوتوث منخفض الطاقة؛ اتصالات الترددات الراديوية. الاتصالات الاستقرائية. والإيثرنت واتصالات الأجهزة المماثلة التي تتمتع بالقدرة على الاتصال بالإنترنت.
يمكن أن يتضمن الكشف المنسق المطلوب عن الثغرات ما يلي:
- الكشف المنسق عن نقاط الضعف والثغرات التي حددتها كيانات خارجية، بما في ذلك موردي البرامج والباحثين الخارجيين.
- الكشف عن نقاط الضعف والاستغلال التي حددتها الشركة المصنعة للأجهزة السيبرانية.
- إجراءات الشركة المصنعة لتنفيذ عمليات الكشف عن نقاط الضعف والثغرات هذه.
واقترحت الوكالة أن الخطط المطلوبة بموجب المادة 524ب من قانون FD&C تصف الجدول الزمني مع المبررات المرتبطة به لتطوير وإصدار التحديثات والتصحيحات المطلوبة.
وسيشمل ذلك نقاط الضعف المعروفة غير المقبولة “في دورة منتظمة مبررة بشكل معقول” بالإضافة إلى التصحيحات المتاحة لنقاط الضعف الحرجة التي تؤدي إلى “مخاطر غير منضبطة على الجهاز والأنظمة ذات الصلة” في أقرب وقت ممكن خارج الدورة العادية.
وتوصي الوكالة أيضًا بأن تقوم الشركات المصنعة للأجهزة المغطاة “بتوقع وإجراء التحديثات المناسبة لهذه الخطط، وكذلك للعمليات والإجراءات” عند توفر معلومات جديدة، مثل عندما “تنشأ مخاطر أو تهديدات أو نقاط ضعف أو أصول أو تأثيرات سلبية جديدة”. واقترحت الوكالة أن يتم اكتشافها طوال دورة حياة المنتج الإجمالية.
علاوة على ذلك، يجب على الشركات المصنعة إنشاء أو تحديث وثائق نمذجة التهديدات المناسبة للحفاظ عليها طوال دورة حياة الجهاز، حسبما أشارت الوكالة.
وقالت إدارة الغذاء والدواء الأمريكية: “إن القيام بذلك سيسمح للمصنعين بتحديد تأثيرات الثغرات الأمنية بسرعة بمجرد إصدار الجهاز ويمكن أن يساعد أيضًا في تلبية متطلبات التصحيح المنصوص عليها في القسم 524ب”.
الموعد النهائي للتعليقات العامة هو 13 مايو، ويمكن تنزيل المسودة من صفحة الأمن السيبراني لمركز الصحة الرقمية للتميز التابع لإدارة الغذاء والدواء.
الاتجاه الأكبر
في أحدث إرشادات نهائية لتقديم الأجهزة الطبية قبل طرحها للبيع في سبتمبر، أوصت إدارة الغذاء والدواء الأمريكية بمزيد من التوثيق حول الأجزاء المكونة في الأجهزة السيبرانية، على النحو المحدد في القسم 524ب أن اعتبارات الأمن السيبراني “بما في ذلك، على سبيل المثال لا الحصر، الأجهزة التي تحتوي على وظيفة برنامج الجهاز أو التي تحتوي على برامج” – بما في ذلك البرامج الثابتة – أو المنطق القابل للبرمجة “في عمليات تقديم الأجهزة الطبية قبل السوق.
في حين أن المبادئ التوجيهية طوعية وبالتالي أثارت بعض الجدل في قطاع تكنولوجيا المعلومات في مجال الرعاية الصحية – كما فعلت هذا الأسبوع في جلسة نقاش حول استراتيجيات تكنولوجيا المعلومات لتأمين الأجهزة الطبية من الهجمات السيبرانية التي عقدت في مؤتمر ومعرض HIMSS24 في أورلاندو – فقد تم أيضًا اقتراح إدارة الغذاء والدواء الأمريكية (FDA) تم فحصها من قبل مكتب المحاسبة الحكومية لتعزيز الرقابة على الأمن السيبراني منذ إصدار المبادئ التوجيهية النهائية.
بعد أن قام مكتب محاسبة الحكومة بمراجعة الأمن السيبراني في الأجهزة الطبية بموجب قانون الاعتمادات الموحدة لعام 2023، أوصى إدارة الغذاء والدواء ووكالة الأمن السيبراني وأمن البنية التحتية بتحديث اتفاقية تنسيق الأمن السيبراني للأجهزة الطبية الخاصة بوكالاتهم.
وأشار مكتب محاسبة الحكومة في تقريره، الذي صدر في ديسمبر/كانون الأول، إلى أنه في حين أن إدارة الغذاء والدواء الأمريكية تنفذ سلطات جديدة للأمن السيبراني، إلا أنها لم تحدد بعد الحاجة إلى أي سلطة إضافية.
وقال مكتب محاسبة الحكومة: “يمكنهم اتخاذ تدابير للمساعدة في ضمان الأمن السيبراني للأجهزة في ظل السلطات الحالية مثل مراقبة القطاع الصحي وتنبيهات CISA، بالإضافة إلى توجيه الشركات المصنعة لإبلاغ نقاط الضعف إلى مجتمعات المستخدمين ومعالجة نقاط الضعف”.
تهدف مسودة التحديث لهذا الأسبوع إلى توجيه الشركات المصنعة للبرامج والأجهزة بشكل أكبر حول كيفية تنظيم صيانة الأمن السيبراني للأجهزة الطبية والبيولوجية وأجهزة المكونات التي يمكن الوصول إليها عبر الإنترنت.
علي القيد
وقالت إدارة الغذاء والدواء الأمريكية في مسودة التحديث: “من الواضح أنه إذا كان الجهاز لديه القدرة على الاتصال بالإنترنت، فمن الممكن أن يكون متصلاً بالإنترنت، بغض النظر عما إذا كان هذا الاتصال مقصودًا من قبل الجهة الراعية للجهاز”. إلى القسم 524B من قانون FD&C.
أندريا فوكس هي محررة أولى في Healthcare IT News.
البريد الإلكتروني: afox@himss.org
أخبار تكنولوجيا معلومات الرعاية الصحية هي إحدى منشورات وسائل الإعلام التابعة لشركة HIMSS.
اكتشاف المزيد من موقع علم
اشترك للحصول على أحدث التدوينات المرسلة إلى بريدك الإلكتروني.
