Novo manual de modelagem de ameaças prepara dispositivos médicos para questões de segurança cibernética

Por Matt Walker, consultor de recall

A segurança cibernética tornou-se uma questão crítica para a indústria de dispositivos médicos, onde uma ameaça cibernética pode causar ferimentos ou até mesmo a morte.

Para lidar com esse problema crescente, a Administração de Alimentos e Medicamentos dos EUA, a MITRE Corporation e o Consórcio de Inovação em Dispositivos Médicos (MDIC) publicaram ummanualque oferece insights para organizações que estão desenvolvendo ou aprimorando uma abordagem para criar modelos de ameaças para a segurança cibernética de dispositivos médicos.

O que é modelagem de ameaças e como ela é útil?

De acordo com o manual, a modelagem de ameaças consiste em “analisar representações de um sistema para destacar preocupações sobre características de segurança e privacidade”. Isso envolve fazer quatro perguntas-chave para começar a reconhecer o que pode dar errado em um sistema. Essas perguntas incluem:

• No que estamos trabalhando?
• O que pode dar errado?
• O que vamos fazer a respeito disso?
• Fizemos um trabalho suficientemente bom?

Após realizar um exercício de modelagem de ameaças, as empresas identificam “ameaças” — problemas de projeto ou implementação em um dispositivo médico que exigem ajustes ou mitigação. Dada a complexidade e a conectividade dos dispositivos médicos, é importante que todas as empresas realizem regularmente exercícios de modelagem de ameaças. Detectar uma ameaça antecipadamente muitas vezes pode evitar a morte ou lesões em futuros pacientes.

As ameaças decorrentes das vulnerabilidades de segurança cibernética também são riscos que podem levar a um recall para um fabricante de dispositivos médicos. Realizar um exercício de modelagem de ameaças pode ajudar os fabricantes a identificar esses riscos ao longo do ciclo de vida de um dispositivo médico e criar a oportunidade de mitigá-los antes que se transformem em um recall.

Embora a FDA tenha informado que o manual de modelagem de ameaças não é uma orientação, Suzanne Schwartz, diretora do Centro de Dispositivos e Saúde Radiológica do Escritório de Parcerias Estratégicas e Inovação Tecnológica da FDA, alertou que a FDA “buscará uma modelagem de ameaças muito mais detalhada e abrangente como parte do processo de liberação ou aprovação de dispositivos médicos”. Com isso em mente, todos os fabricantes de dispositivos médicos que planejam submeter um dispositivo para aprovação devem prestar muita atenção ao manual de modelagem de ameaças e tomar as medidas necessárias agora para garantir que estejam preparados para apresentar provas de um modelo de ameaças adequado.

A modelagem de ameaças também ajudará os fabricantes a identificar riscos no início da fase de P&D, além de ajudá-los a pensar sobre o impacto que os riscos podem ter quando o dispositivo estiver no mercado. No final, uma modelagem cuidadosa de ameaças proporcionará tranquilidade, economizará dinheiro e, mais importante, salvará vidas.