強化醫療器材網路安全!美FDA發布最新指南草案

撰文記者 劉馨香
日期2022-04-13
強化醫療器材網路安全!美FDA發布最新指南草案
隨著愈來愈多醫療醫材相互連結、聯網,醫療器材的網路安全(cybersecurity)變得愈來愈重要。近(8)日,美國食品藥物管理局(FDA)發布醫療器材網路安全指南草案,對於醫材涉及網路安全問題時的上市前提交內容提出建議。該指南草案正在徵詢意見至7月7日,將取代FDA在2018年發布的指南草案。
 
FDA 在《聯邦公報》(Federal Register)中表示,這些建議可以促進有效的上市前審查過程,並有助於確保已上市的醫療器材能夠充分抵禦網路安全威脅。
 
FDA在指南草案指出,連結性增加使得單個設備成為大型醫療設備系統中的一個元件。因此,如果沒有充分考慮整體系統的網路安全,那麼透過損害系統中任何一個設備的功能,就能威脅整個醫療設備系統的安全性和有效性。
 
FDA說:「製造商應該考量到其設備可能被使用到一個更大的系統中。」例如,一個沒有與其他裝置連結的溫度計,和一個用在關鍵的安全性控制迴路上的溫度計,兩者的風險不同。
 
FDA指出,網路安全是設備安全和品質系統規範(Quality System Regulation, QSR)的一部分;此外,透明度對於使用者很重要,使用者必須能獲得設備的網路安全控制、潛在風險和其他相關的資訊。
 
FDA也列出數個安全目標如驗證(authenticity,包含完整性(integrity))、授權(authorization)、可用性(availability)、機密性(confidentiality) ,以及安全性與可即時更新和修補性,FDA將以這些目標來評估設備的安全性是否充分。
 
指南寫道,網路安全風險隨著時間的推移而演變,因此,隨著新的風險、威脅和攻擊手法的出現,網路安全控制的有效性可能會降低。由於網路安全是設備安全性和有效性的一部分,網路安全控制應該考慮到預期和實際的使用環境。
 
此外,指南也對有網路安全風險設備的標示提出建議,包括列出詳細圖表、描述備份與還原的程序。
 
本月稍早,美國兩黨也合作訂立PATCH (Protecting and Transforming Cyber Health Care Act)法案,對於申請FDA批准的醫材製造商,提出一系列網路安全要求,並要求制訂監測計畫,與上市後更新與修補漏洞的計畫。
 
參考資料:https://www.healthcareitnews.com/news/fda-releases-medical-device-cybersecurity-draft-guidance
FDA醫療器材網路安全指南草案:
https://www.fda.gov/regulatory-information/search-fda-guidance-documents/cybersecurity-medical-devices-quality-system-considerations-and-content-premarket-submissions
 
(編譯/劉馨香)