Mientras el equipo de ciberseguridad de la Administración de Alimentos y Medicamentos de EE. UU. (FDA) celebra una década desde su fundación, la agencia destaca su compromiso continuo con la protección de los dispositivos médicos frente a amenazas digitales que podrían afectar la seguridad del paciente y la eficacia de los dispositivos. La administración define la ciberseguridad de los dispositivos médicos como el proceso proactivo para prevenir el acceso no autorizado, la modificación o el uso indebido de la información almacenada o transmitida desde y hacia un dispositivo médico.
Evolución de las directrices regulatorias
El 27 de junio de 2025, la FDA emitió una guía final titulada "Ciberseguridad en dispositivos médicos: consideraciones sobre el sistema de calidad y contenido de las solicitudes previas a la comercialización". Este documento reemplaza la guía de 2023 y añade una sección especial (Sección VII) que aborda las recomendaciones de la agencia relacionadas con la Sección 524B de la Ley Federal de Alimentos, Medicamentos y Cosméticos (Ley FD&C) sobre dispositivos cibernéticos. Esta medida tiene como objetivo integrar la ciberseguridad en el diseño de los dispositivos desde sus etapas iniciales para garantizar la protección durante todo el ciclo de vida total del producto (TPLC).
¿Por qué es importante esta noticia?
La importancia de estas actualizaciones radica en la creciente dependencia de los dispositivos médicos conectados a redes, lo que los hace vulnerables a ataques que podrían provocar interrupciones en el servicio o la filtración de datos confidenciales. A través de la colaboración con entidades técnicas como MITRE, la FDA trabaja en el desarrollo de estándares como la "Lista de materiales de software" (SBOM) para garantizar la coherencia de los datos y facilitar la gestión de riesgos en dispositivos heredados (Legacy Devices) que pueden carecer de actualizaciones de seguridad modernas.
Gestión de riesgos y alertas
La agencia continúa emitiendo alertas de seguridad periódicas cuando se descubren vulnerabilidades en dispositivos específicos, como los monitores de pacientes de las empresas Contec y Epsimed, o las bombas de insulina de Medtronic. La administración enfatiza que estas alertas tienen como objetivo guiar a las instalaciones de atención médica para que tomen medidas preventivas inmediatas a fin de reducir los riesgos de acceso no autorizado. Asimismo, la administración alienta a los fabricantes y usuarios a revisar regularmente los documentos de orientación actualizados para garantizar el cumplimiento de los estándares de seguridad digital más recientes.