Novo manual de modelação de ameaças prepara os dispositivos médicos para questões de cibersegurança

Por Matt Walker, consultor de recall

A cibersegurança tornou-se uma questão crítica para a indústria de dispositivos médicos, onde uma ameaça cibernética pode causar ferimentos ou até mesmo a morte.

Para abordar este problema crescente, a Administração de Alimentos e Medicamentos dos EUA, a MITRE Corporation e o Consórcio de Inovação em Dispositivos Médicos (MDIC) publicaram ummanualque oferece insights para organizações que estão a desenvolver ou a evoluir uma abordagem para criar modelos de ameaças para a cibersegurança de dispositivos médicos.

O que é modelagem de ameaças e como ela é útil?

De acordo com o manual, a modelagem de ameaças consiste em «analisar representações de um sistema para destacar preocupações sobre características de segurança e privacidade». Isso envolve fazer quatro perguntas-chave para começar a reconhecer o que pode dar errado em um sistema. Essas perguntas incluem:

• Em que estamos a trabalhar?
• O que pode dar errado?
• O que vamos fazer a respeito disso?
• Fizemos um trabalho suficientemente bom?

Após realizar um exercício de modelagem de ameaças, as empresas identificam «ameaças» — problemas de design ou implementação em um dispositivo médico que exigem ajustes ou mitigação. Dada a complexidade e a conectividade dos dispositivos médicos, é importante que todas as empresas realizem regularmente exercícios de modelagem de ameaças. Detectar uma ameaça precocemente muitas vezes pode evitar a morte ou lesões em futuros pacientes.

As ameaças decorrentes das vulnerabilidades de cibersegurança também são riscos que podem levar a um recall para um fabricante de dispositivos médicos. Realizar um exercício de modelagem de ameaças pode ajudar os fabricantes a identificar esses riscos ao longo do ciclo de vida de um dispositivo médico e criar a oportunidade de mitigá-los antes que se transformem num recall.

Embora a FDA tenha informado que o manual de modelagem de ameaças não é uma orientação, Suzanne Schwartz, diretora do Centro de Dispositivos e Saúde Radiológica do Escritório de Parcerias Estratégicas e Inovação Tecnológica da FDA, alertou que a FDA “buscará uma modelagem de ameaças muito mais detalhada e abrangente como parte do processo de liberação ou aprovação de dispositivos médicos”. Com isso em mente, todos os fabricantes de dispositivos médicos que planeiam submeter um dispositivo para aprovação devem prestar muita atenção ao manual de modelagem de ameaças e tomar as medidas necessárias agora para garantir que estejam preparados para apresentar provas de um modelo de ameaças adequado.

A modelagem de ameaças também ajudará os fabricantes a identificar riscos no início da fase de P&D, além de ajudá-los a pensar sobre o impacto que os riscos podem ter quando o dispositivo estiver no mercado. No final, uma modelagem cuidadosa de ameaças proporcionará tranquilidade, economizará dinheiro e, mais importante, salvará vidas.