עדכון רגולטורי בהונג קונג: MDACS TR-007 – סייבר וציות בתוכנות רפואיות

התקדמות מהירה בעולם המכשור הרפואי הדיגיטלי מביאה עימה לא רק חידושים קליניים, אלא גם סיכוני אבטחת מידע חדשים. לאחרונה פרסם משרד הבריאות של הונג קונג גרסה מעודכנת של מסמך טכני TR-007 במסגרת Medical Device Administrative Control System (MDACS), a שמגדיר דרישות חדשות לתוכנות רפואיות, הן Software in a Medical Device (SiMD) והן Software as a Medical Device (SaMD), עם דגש מיוחד על סייבר ואבטחת מידע.

למה זה חשוב?

במערכת הבריאות המודרנית, מכשירים רפואיים מתחברים יותר ויותר לרשתות ולענן. זה משפר יעילות ושירות, אבל גם מגדיל את החשיפה לפרצות אבטחה, גניבת נתונים רפואיים או שיבוש טיפול בחולים. מסמך TR-007 קובע כללים ברורים ליצרנים כדי להבטיח הגנה על המכשירים ועל המשתמשים.

עיקרי המסמך

הגדרות חדשות

• SaMD: תוכנה רפואית עצמאית, לדוגמה אפליקציה שמנתחת דופק לאיתור הפרעות קצב.
• SiMD: תוכנה כחלק ממכשיר, לדוגמה תוכנה שמוטמעת במכשיר ECG לשם הפעלתו.

סיווג סיכונים

התוכנות יסווגו לפי רמת הסיכון הקליני שלהן, בהתאם למסמכי TR-003 ו-TR-006. לדוגמה:

• תוכנה שמסייעת בקבלת החלטה טיפולית תסווג בסיכון גבוה יותר מאפליקציה להדמיה בלבד.

דרישות טכניות ומסמכים להגשה

• מערכת ניהול איכות לפי ISO 13485.

• הערכת סיכונים לפי ISO 14971.

• בדיקות אימות ותוקף לתוכנה (Verification & Validation) לפי IEC 62304.

• תיעוד גרסאות ומעקב אחרי עדכונים.

• סימון ותוויות, כולל במקרים של אפליקציות להורדה.

סייבר ואבטחת מידע

• יצרנים נדרשים לזהות ולצמצם סיכוני סייבר לאורך כל מחזור חיי המוצר.

• דרישות בסיסיות:

  • איסור שימוש בסיסמאות ברירת מחדל זהות לכל המכשירים.

  • מנגנונים למניעת התקפות Brute Force.

  • תכנית לניטור מתמשך של חולשות חדשות ותיקונן.

  • מערכת לדיווח וניהול פגיעויות.

• סטנדרטים רלוונטיים: ISO/IEC 27001 ,ISO 27032.

מה המשמעות לחברות MedTech ישראליות?

• גישה לשוק אסייתי: חברות שפועלות בהונג קונג או מתכננות להתרחב לאסיה חייבות להכיר את המסמך.
• השפעה גלובלית: הדרישות מתיישרות עם המגמות באירופה וארה"ב, כך שעמידה בהן יכולה להקל גם על רישום בשווקים אחרים.
• יתרון תחרותי: חברות שישכילו להטמיע בקרות סייבר מוקדם במחזור הפיתוח ייהנו מיתרון עסקי מול רגולטורים ומשקיעים.

טיפים מעשיים ליישום

• לשלב ניהול סיכוני סייבר כבר משלב התכנון (Security by Design).

• לבצע בדיקות חדירות תקופתיות ולהציגן כחלק מהתיעוד.

• להגדיר נהלי ניהול גרסאות מסודרים, כולל מעקב אחרי תיקוני אבטחה.

• להקים מנגנון לתקשורת עם משתמשים לגבי עדכוני תוכנה ואזהרות סייבר.

• לשלב תקני ISO רלוונטיים (13485, 14971, 62304, 27001) בתהליך.

סיכום

העדכון החדש של TR-007 בהונג קונג הוא צעד משמעותי בהגברת הפיקוח על תוכנות רפואיות. הוא מחזק את הדרישה לא רק ליעילות קלינית אלא גם לאבטחת מידע מתקדמת. עבור חברות MedTech ישראליות זו הזדמנות להראות מצוינות ולהוביל בסטנדרטים בינלאומיים.