Dispositivi medici e perché la sicurezza informatica non è negoziabile

Questo articolo è stato originariamente pubblicato su New Electronics.

Per supportare questo sforzo, la Food and Drug Administration (FDA) ha pubblicato nel 2005 la sua prima linea guida sulla cybersecurity dei dispositivi medici, concentrandosi sui dispositivi medici collegati in rete con software off-the-shelf (OTS).

Tuttavia, nel corso degli anni, la linea guida pre-market della FDA si è evoluta in modo significativo, passando da un documento di 9 pagine nel 2014 a una guida completa di 57 pagine nel 2023. Questa sola evoluzione evidenzia la crescente importanza della cybersecurity nel settore dei dispositivi medici.

Il Consolidated Appropriations Act del 2023, tuttavia, ha trasformato le raccomandazioni tradizionalmente informali della FDA sulla cybersecurity dei dispositivi medici in requisiti formali di legge. Insieme alla linea guida aggiornata della FDA del 2023 "Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions", questo sviluppo sancisce l'innalzamento degli standard nella cybersecurity dei dispositivi medici. Insieme, questi cambiamenti rappresentano un progresso significativo nel panorama normativo della cybersecurity per i dispositivi medici.

Garantire che i dispositivi medici rimangano "cyber safe"

Come dimostrano le iniziative in tutto il mondo, queste aspettative non sono esclusive degli Stati Uniti. Ad esempio, la Direttiva dell'Unione Europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi (NIS2) impone ora ai fabbricanti di prodotti medici, compresi i principi attivi (API), i prodotti farmaceutici e i dispositivi medici, di implementare misure complete per la gestione del rischio di cybersecurity e di rispettare gli obblighi di notifica.

In Australia, la Therapeutic Goods Administration (TGA) ha pubblicato la "Medical Device Cybersecurity Guidance for Industry" del 2022, che impone un approccio al ciclo di vita totale del prodotto (Total Product Lifecycle, TPLC) per la cybersecurity. Questo approccio richiede ai fabbricanti di integrare penetration test, threat modeling e altre misure proattive nel proprio processo di valutazione della gestione dei rischi.

A Singapore, il Cybersecurity Labelling Scheme for Medical Devices (CLS-MD) introduce un sistema di classificazione per i dispositivi medici in base ai loro requisiti di sicurezza informatica. Nell'ambito di questo schema, i dispositivi medici vengono valutati ed etichettati in base alla loro robustezza in termini di cybersecurity, fornendo informazioni preziose al pubblico e agli operatori sanitari. Questo sistema di etichettatura consente decisioni d'acquisto informate, permettendo agli stakeholder di identificare e selezionare i dispositivi medici che soddisfano standard elevati di cybersecurity.

Queste iniziative globali riflettono un crescente consenso internazionale sull'importanza di implementare solide misure di cybersecurity nel settore dei dispositivi medici.

I vantaggi dell'interconnessione non sono privi di punti deboli

Quando un dispositivo medico include un software, in particolare se in grado di connettersi elettronicamente ad altri dispositivi o reti, dare priorità alla cybersecurity diventa cruciale. L'interconnessione dei dispositivi medici nel moderno panorama sanitario, favorita da dispositivi medici intelligenti abilitati dal software e dalla transizione verso l'Internet delle cose (IoT), offre indubbiamente il vantaggio di un'assistenza comoda e tempestiva.

Ad esempio, i pazienti con impianti cardiaci possono essere monitorati a distanza, riducendo la necessità di visite mediche frequenti. Allo stesso modo, i nuovi strumenti per la gestione della glicemia consentono ai misuratori di glucosio e alle pompe per insulina di interagire perfettamente. Anche gli ospedali stanno adottando dispositivi sempre più interconnessi per migliorare la qualità delle cure e l'efficienza attraverso la condivisione fluida dei dati. Allo stesso tempo, tuttavia, questo rende i dispositivi medici più vulnerabili ad attacchi informatici e violazioni della sicurezza in presenza di anelli deboli nei sistemi sanitari.

L'aumento dei rischi deriva da malintenzionati che colpiscono le organizzazioni sanitarie per sfruttare dispositivi vulnerabili, accedere alle cartelle cliniche dei pazienti, interrompere le attività, richiedere riscatti o infiltrarsi nelle reti. Ad esempio, dispositivi come microinfusori di insulina, pacemaker cardiaci e dispositivi indossabili presentano una vulnerabilità particolarmente elevata a causa del monitoraggio in tempo reale dei dati dei pazienti e della loro trasmissione immediata a pazienti e medici. Di conseguenza, l'adozione di solide misure di cybersecurity è essenziale per proteggere questi dispositivi critici e garantire la sicurezza dei pazienti.

Implicazioni pratiche per gli sviluppatori

Le linee guida sulla cybersecurity e l'ambito normativo della FDA comprendono un'ampia gamma di funzionalità software dei dispositivi, tra cui l'archiviazione, la trasmissione e l'analisi dei dati. Qualsiasi dispositivo medico o diagnostico provvisto di software aggiornabile, di una porta USB o persino di tecnologia compact disc è ora classificato come dispositivo connesso e rientra nelle nuove regolamentazioni.

Sia la FDA sia i Secure Design Principles dell'NCSC del Regno Unito sottolineano l'importanza che i fabbricanti tengano conto dell'ecosistema allargato e dell'interconnessione dei dispositivi.

Anzi che operare in isolamento, gli obiettivi di sicurezza dovrebbero essere integrati in tutta l'architettura di sistema dei dispositivi medici.

I fabbricanti di dispositivi medici (MDM) dovrebbero eseguire attività di threat modeling con largo anticipo rispetto al rilascio sul mercato, così da identificare tempestivamente le minacce alla sicurezza e le vulnerabilità, valutarle e stabilire le priorità per garantire che i dispositivi siano sicuri prima della commercializzazione. La definizione di un elenco prioritario delle criticità principali consente ai team di affrontare e risolvere efficacemente i problemi più urgenti prima della presentazione del dossier normativo. Inoltre, questo approccio crea un registro documentato delle considerazioni sulla sicurezza che i team possono affrontare in modo sistematico nelle iterazioni future.

È altresì importante affrontare le problematiche sistemiche per evitare la necessità di correzioni isolate a posteriori. Ciò può comportare la revisione delle procedure operative standard (SOP), l'allineamento del sistema di gestione della qualità (SGQ) e lo sviluppo di strategie di sicurezza globali che coprano l'intero ciclo di vita dello sviluppo, in conformità sia con gli standard di cybersecurity sia con i requisiti normativi.

In definitiva, il mancato rispetto dei criteri espliciti stabiliti dalla FDA in materia di cybersecurity non solo mette a rischio la sicurezza dei pazienti e compromette l'integrità dei dati, ma rischia anche di causare ritardi nell'accesso al mercato, con conseguenti perdite finanziarie e danni reputazionali. Allo stesso modo, nell'Unione Europea, la mancata conformità dei fabbricanti al Cyber Resilience Act potrebbe comportare il ritiro del prodotto dal mercato unico o sanzioni pecuniarie significative, paragonabili a quelle previste dal Regolamento generale sulla protezione dei dati (GDPR).

Per mitigare i rischi, la FDA raccomanda di implementare un programma Software Bill of Materials (SBOM) quale elemento fondamentale per la sicurezza del software e la gestione della catena di fornitura. L'SBOM fornisce un elenco esaustivo di tutti i componenti software presenti all'interno di un dispositivo, consentendo il tracciamento e la gestione efficace delle vulnerabilità.

Comprendere e allinearsi ai requisiti e alle aspettative in materia di cybersecurity nei mercati di destinazione è essenziale affinché i fabbricanti possano orientarsi efficacemente nei contesti normativi, garantendo la sicurezza e l'integrità dei propri dispositivi medici.

Prevenire è meglio che curare

È importante sottolineare che la cybersecurity non deve essere considerata a posteriori, ma deve essere integrata fin dalle prime fasi di progettazione e sviluppo dei dispositivi medici.

La cybersecurity deve rappresentare una priorità in tutti gli aspetti aziendali, compresa la pianificazione del budget, l'allocazione delle risorse, la formazione del personale e così via. Non si tratta semplicemente di conformarsi alle normative ed evitare sanzioni; si tratta di riconoscere che il reale valore dei dispositivi medici avanzati e interconnessi si manifesterà appieno solo se gli utenti finali potranno fidarsi di strumenti così intimamente integrati nella loro vita quotidiana. Il software di questi dispositivi, se non viene sviluppato tenendo conto della sicurezza informatica, può presentare vulnerabilità alle minacce informatiche, esponendo così i pazienti che vi fanno affidamento ai medesimi rischi. E questo vanificherebbe lo scopo stesso del dispositivo.

Le problematiche sistemiche devono essere affrontate anche durante la definizione di una strategia di sicurezza, per evitare di dover ricorrere a patch correttive in un secondo momento. Dare la dovuta importanza a questi processi consentirà agli sviluppatori di prevedere i potenziali rischi e di intraprendere tempestivamente azioni correttive, evitando così potenziali danni reputazionali, perdite finanziarie, ritardi di commercializzazione e rischi per la sicurezza dei pazienti.