Un nuevo manual de modelado de amenazas prepara a los dispositivos médicos para los problemas de ciberseguridad

Por Matt Walker, asesor de retiradas

La ciberseguridad se ha convertido en un tema crítico para la industria de los dispositivos médicos, donde una amenaza cibernética puede provocar lesiones o incluso la muerte.

Para abordar este problema creciente, la Administración de Alimentos y Medicamentos de los Estados Unidos, la MITRE Corporation y el Consorcio para la Innovación en Dispositivos Médicos (MDIC) han publicado unmanualque ofrece información útil a las organizaciones que están desarrollando o perfeccionando un enfoque para crear modelos de amenazas para la ciberseguridad de los dispositivos médicos.

¿Qué es el modelado de amenazas y cómo puede ser útil?

Según el manual, el modelado de amenazas consiste en «analizar las representaciones de un sistema para poner de relieve las preocupaciones relativas a las características de seguridad y privacidad». Esto implica plantear cuatro preguntas clave para empezar a reconocer lo que puede fallar en un sistema. Estas preguntas son las siguientes:

• ¿En qué estamos trabajando?
• ¿Qué puede salir mal?
• ¿Qué vamos a hacer al respecto?
• ¿Hicimos un buen trabajo?

Tras realizar un ejercicio de modelización de amenazas, las empresas identifican las «amenazas», es decir, los problemas de diseño o implementación de un dispositivo médico que requieren ajustes o medidas de mitigación. Dada la complejidad y la interconexión de los dispositivos médicos, es importante que todas las empresas realicen periódicamente ejercicios de modelización de amenazas. Detectar una amenaza a tiempo a menudo puede evitar la muerte o lesiones a futuros pacientes.

Las amenazas que surgen de las vulnerabilidades de ciberseguridad también son riesgos que pueden llevar a una retirada del mercado para un fabricante de dispositivos médicos. Realizar un ejercicio de modelización de amenazas puede ayudar a los fabricantes a identificar estos riesgos a lo largo del ciclo de vida de un dispositivo médico y crear la oportunidad de mitigarlos antes de que se conviertan en una retirada del mercado.

Aunque la FDA ha comunicado que el manual de modelización de amenazas no es una guía, Suzanne Schwartz, directora de la Oficina de Asociaciones Estratégicas e Innovación Tecnológica del Centro de Dispositivos y Salud Radiológica de la FDA, ha advertido que la FDA «buscará una modelización de amenazas mucho más detallada y completa como parte del proceso de autorización o aprobación de los dispositivos médicos». Teniendo esto en cuenta, todos los fabricantes de dispositivos médicos que tengan previsto presentar un dispositivo para su aprobación deben prestar mucha atención al manual de modelización de amenazas y tomar las medidas necesarias ahora para asegurarse de que están preparados para presentar pruebas de un modelo de amenazas adecuado.

El modelado de amenazas también ayudará a los fabricantes a identificar los riesgos en una fase temprana de la I+D, así como a reflexionar sobre el impacto que podrían tener dichos riesgos una vez que el dispositivo salga al mercado. En definitiva, un modelado de amenazas minucioso aportará tranquilidad, ahorrará dinero y, lo que es más importante, salvará vidas.