La FDA establece directrices de ciberseguridad para los dispositivos médicos
La agencia estadounidense teme que un hacker pueda manipular dispositivos médicos no seguros para alterar la cantidad de medicamento administrada.
El avance de la tecnología de objetos conectados en el campo de la medicina es una fuente de preocupación para la Food and Drug Administration (FDA) estadounidense. La agencia reguladora de los alimentos y medicamentos publicó ayer una serie de recomendaciones sobre cómo los fabricantes de dispositivos médicos deben mantener la seguridad de los dispositivos conectados a Internet.
Las directrices de ciberseguridad se refieren a todos los dispositivos, incluyendo los que ya están dentro de los hospitales y los hogares de pacientes, y los implantados en los cuerpos de estos últimos.
Las recomendaciones se centran en cómo mantener la ciberseguridad del dispositivo médico después de que este haya salido de la fábrica. Para ello, establece pasos para reconocer y abordar las vulnerabilidades en curso. Asimismo, recomienda que los fabricantes se asocien en una Organización de Análisis e Información Compartida (ISAO) para compartir detalles sobre los riesgos de ciberseguridad y las respuestas a medida que ocurren.
El motivo de preocupación de la FDA es claro: los dispositivos médicos no seguros pueden permitir que un hacker manipule la cantidad de medicamento administrada por el dispositivo, con resultados potencialmente letales. Sin ir más lejos, los investigadores han logrado manipular remotamente dispositivos como desfibriladores, marcapasos y bombas de insulina.
“Las redes de los hospitales experimentan constantes intentos de intrusión y ataques, lo que puede suponer una amenaza para la seguridad del paciente. Y a medida que los hackers se vuelven más sofisticados, estos riesgos de seguridad cibernética evolucionarán”, advierte Suzanne Schwartz, directora asociada de ciencia y asociación estratégica de la FDA.
Sin embargo, las recomendaciones de la agencia no son todo lo completas que cabría desear. Así, describe cómo los fabricantes de dispositivos médicos deben evitar los ataques cibernéticos, pero no incluye planes para su aplicación, informa The Verge.
El documento de 30 páginas, cuyo primer borrador se redactó en enero, alienta a los fabricantes a monitorizar sus dispositivos médicos y el software asociado para detectar fallos y corregir cualquier problema que se produzca. Pero esas recomendaciones no son legalmente exigibles.
