เมื่อวันที่ 30 มกราคม 2025 สำนักงานคณะกรรมการอาหารและยาแห่งสหรัฐอเมริกา (FDA) ได้ออกการสื่อสารด้านความปลอดภัยเกี่ยวกับช่องโหว่ด้านความปลอดภัยทางไซเบอร์ในเครื่องตรวจผู้ป่วย CMS8000 ตามข้อมูลที่เผยแพร่ ช่องโหว่เกี่ยวข้องกับประเด็นหลัก 3 ประเด็น:
1. การข้ามการตั้งค่าเครือข่าย
ผลิตภัณฑ์ที่ได้รับผลกระทบส่งคำขอการเข้าถึงระยะไกลไปยังที่อยู่ IP แบบฮาร์ดโค้ด โดยข้ามการตั้งค่าเครือข่ายอุปกรณ์ที่มีอยู่ ซึ่งอาจทำให้ผู้ประสงค์ร้ายสามารถอัปโหลดและเขียนทับไฟล์บนอุปกรณ์ได้
2. การเรียกใช้โค้ดระยะไกล
ผู้โจมตีสามารถส่งคำขอ UDP ที่มีรูปแบบพิเศษเพื่อเขียนข้อมูลโดยพลการ ทำให้สามารถเรียกใช้โค้ดจากระยะไกลได้ และเปิดประตูเพื่อควบคุมอุปกรณ์โดยไม่ได้รับอนุญาต
3. การรั่วไหลของข้อมูลผู้ป่วย
เมื่อผู้ป่วยเชื่อมต่อกับจอภาพ ข้อมูลผู้ป่วยจะถูกส่งเป็นข้อความธรรมดาไปยังที่อยู่ IP สาธารณะแบบฮาร์ดโค้ด หากถูกเอารัดเอาเปรียบ อุปกรณ์ใดๆ ก็ตามที่มีที่อยู่ IP จะได้รับข้อมูลผู้ป่วยที่เป็นความลับ และการโจมตีแบบคนกลางก็เป็นไปได้
หากช่องโหว่ดังกล่าวถูกเอารัดเอาเปรียบ ผู้ใช้ที่ไม่ได้รับอนุญาตอาจควบคุมจอภาพจากระยะไกลและหยุดการทำงานอย่างถูกต้อง ซึ่งเป็นภัยคุกคามร้ายแรงต่อสุขภาพและความปลอดภัยของผู้ป่วย
หน่วยงานกำกับดูแลมีข้อกำหนดที่เข้มงวดขึ้น
ในการตอบสนองต่อภัยคุกคามที่เพิ่มขึ้น FDA, EU และสำนักงานผลิตภัณฑ์ทางการแพทย์แห่งชาติของจีน (NMPA) ได้ออกข้อบังคับและเอกสารคำแนะนำเกี่ยวกับความปลอดภัยทางไซเบอร์:
- มีนาคม 2023 – สหรัฐอเมริกา: มาตรา 524B ใหม่ของพระราชบัญญัติอาหาร ยา และเครื่องสำอางของรัฐบาลกลาง (FD&C Act) กำหนดให้ผู้สนับสนุน “อุปกรณ์ไซเบอร์” รวมข้อมูลการรักษาความปลอดภัยทางไซเบอร์ในการส่งก่อนตลาด องค์การอาหารและยาอาจปฏิเสธที่จะยอมรับการส่งที่ขาดมัน
- กันยายน 2023 – สหรัฐอเมริกา: องค์การอาหารและยาได้เผยแพร่คำแนะนำขั้นสุดท้าย “Cybersecurity in Medical Devices: Quality System การพิจารณาและเนื้อหาของการส่งก่อนตลาด” โดยระบุรายละเอียดว่าเอกสารการรักษาความปลอดภัยทางไซเบอร์คาดหวังอย่างไร
- มีนาคม 2024 – สหรัฐอเมริกา: องค์การอาหารและยาได้เผยแพร่ร่างคำแนะนำ “เลือกการอัปเดตสำหรับคำแนะนำด้านความปลอดภัยทางไซเบอร์ก่อนมาร์เก็ต: มาตรา 524B ของพระราชบัญญัติ FD&C” ซึ่งชี้แจงคำจำกัดความของอุปกรณ์ไซเบอร์และข้อกำหนดด้านเนื้อหา การอัปเดตเหล่านี้ได้รวมเข้ากับคำแนะนำด้านความปลอดภัยทางไซเบอร์ก่อนมาร์เก็ตเวอร์ชันปรับปรุงแล้ว
- ธันวาคม 2019 – สหภาพยุโรป: MDCG 2019-16 “Guidance on Cybersecurity for Medical Devices” กำหนดความคาดหวังโดยละเอียด และตอนนี้เป็นข้อมูลอ้างอิงที่สำคัญสำหรับเอกสารที่ได้รับแจ้งซึ่งประเมินเอกสารความปลอดภัยทางไซเบอร์ภายใต้ MDR และ IVDR
- 2022 – จีน: NMPA เผยแพร่ “Guideline for the Registration Review of Medical Device Cybersecurity” ที่แก้ไขแล้ว ซึ่งกำหนดข้อกำหนดสำหรับส่วนการรักษาความปลอดภัยทางไซเบอร์ของเอกสารการลงทะเบียน
ผู้ผลิตจึงเผชิญกับความท้าทายที่ชัดเจน: วิธีจัดการความปลอดภัยทางไซเบอร์อย่างมีประสิทธิภาพและเตรียมเอกสารที่ตรงตามข้อกำหนดของแต่ละตลาด
EVERBIZ ช่วยคุณได้อย่างไร
EVERBIZ รองรับผู้ผลิตด้วย:
- การรวมความปลอดภัยทางไซเบอร์เข้ากับการจัดการความเสี่ยงด้านเครื่องมือแพทย์
- การใช้ข้อกำหนดด้านความปลอดภัยทางไซเบอร์ทั่วไปและแสดงให้เห็นว่าเป็นไปตามข้อกำหนด
- การเตรียมเอกสารความปลอดภัยทางไซเบอร์สำหรับการส่ง FDA;
- การเตรียมเอกสารที่ตรงตามข้อกำหนด CE ภายใต้ MDR และ IVDR;
- จัดทำเอกสารประกอบการจดทะเบียน NMPA
ติดต่อเรา เพื่อหารือเกี่ยวกับโครงการของคุณ
บทความนี้มีไว้สำหรับข้อมูลทั่วไปเท่านั้นและไม่ถือเป็นคำแนะนำทางกฎหมาย