【生醫評析】觀察FDA網路安全指引文件草案動向
前言
筆者於前兩篇文章針對FDA於2022年4月8日時提出名為「醫療器材的網路安全：品質管理系統的相關考量與上市前提交文件內容」的網路安全指引文件草案(Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions)作探討，除了概要介紹草案內容較為重要的部份外，對於過往美國FDA於網路安全的相關計畫也稍作著墨(有興趣的讀者可以參考之前的文章)。後筆者希望可以進一步向讀者介紹完整的指引內容，但在觀察期間，發現針對這份草案可能存在許多值得探討的地方，故藉由此篇文章來另做說明。
公眾意見風波-第一型糖尿病患心聲
先前提到FDA發布指引草案文件後，會有90天的公眾意見收集期間(草案公布日後起算)，然後針對這些大眾意見，FDA會進行修正並發布最終的修訂版本。值得注意的是，若仔細觀察這些意見中，大約有九成以上都與第一型糖尿病有關，而這些公眾意見的內容皆相似，主要訴求都是在第一型糖尿病患者，是需要持續監控血糖，並配合自身數據透過設備來自動施打胰島素，來達到血糖的管控，如果依據此份指引草案，會導致醫療器材製造商能以「權限不足」為由使病人及其家屬無法讀取數據，進而影響病人施打胰島素的狀況。筆者在看到這些評論時，除了感到意外，不禁也要反問這樣的意見是否真實？而這份最新的網路安全指引文件草案中，是否真的有值得檢討的地方？以及是否能引此為鑑，讓我國相關的網路安全指引修改得更加完善。
網路安全指引文件草案疑慮
以上述的「第一型糖尿病患者心聲」為契機，筆者開始搜尋針對FDA網路安全指引文件草案的相關報導文章，加上自身閱讀指引文件後，依據他人文章提出的觀點及融合個人經驗及意見後，列出以下三點認為可能需改進的方向規範過於嚴格：
(一)規範過於嚴格：
2018的網路安全指引文件(Content of Premarket Submissions for Management of Cybersecurity in Medical Devices，2022年網路安全指引文件草案前身)，可以發現新版內容足足多了一倍(也有網路上的作者認為內容足足多了五倍之多)，內容變多可以解讀為更嚴謹的規範，以過往FDA對於網路安全的重視，並不難以理解，但許多規範都是新加入的項目，這可能會使廠商、病患甚至是FDA本身都無法即時的做應對，而這也會造成實務上準備之困難。以歐盟為例，在新的MDR(Medical Device Regulation)以及IVDR(In Vitro Diagnostic Regulation)法規實行時，同樣也是因為變動過大，導致整個醫療器材申請認證混亂，說明了如果在法規上變化較大時，容易造成執行面上的困難。
(二)分級不明確：
在2018的網路安全指引文件中，會將網路安全風險分為高風險的網路安全(Higher Cybersecurity Risk) 以及標準的網路安全(Standard Cybersecurity Risk)，但在新版的指引草案裡，卻刪除了分級的規範，而將所有的網路安全都以同一標準來執行，這可能會使整個申請流程變得更為複雜且不明確。
(三) 新增產品安全開發架構(Secure Product Development Framework，簡稱SPDF)的未知性：
在新的指引文件中，FDA提出了一個新的架構「產品安全開發架構」，認為這樣的架構可以滿足QSR(Quality System Regulation)的需求。但有趣的是，為何FDA不針對現有的QSR作修改已符合網路安全的規定，而是要在特別制定一個新的流程，這也是值得探討的方向。
後記綜合筆者前兩篇文章來看，可以發現FDA對於網路安全的重視度很高，也是緣由科技之進步帶來良好的便利性，伴隨未知風險也顯著提高。2022年4月FDA所發布的指引草案，可以看的出來FDA針對網路安全作了很多努力及規範，但根據公眾意見(儘管可能為第一型糖尿病患「洗版」，但依舊有參考之價值)及網路的報導，也不難發現，相關的政策及法規若是有大範圍的變動，可能會有衍生更多的問題，而這樣的問題除了去修該規範外，或許可以與歐盟一樣，提供過渡期讓廠商甚至是FDA都有時間來適應。因此，可能還需等FDA公布最終版本的網路安全指引時再來與各位讀者介紹較為恰當。此外，我國的網路安全指引也都是遵循著美國FDA的指引文件作為主要參考依據，在修改我國指引時，能以美國FDA所遇的困難為借鏡，讓修改的過程可以更為順利。
參考資料：
- For more information about the “Public comments on Cybersecurity for Medical Devices”, please refer to this website:
https://www.regulations.gov/docket/FDA-2021-D-1158 - For more information about the “FDA draft cybersecurity guidance raises concern among patients and industry”, please refer to this website:
https://www.raps.org/news-and-articles/news-articles/2022/7/fda-cybersecurity-draft-guidance-draws-concern-fro - For more information about the “Diabetes Patients Flood FDA with Comments on Cybersecurity for Medical Devices”, please refer to this website:
https://www.nextgov.com/cybersecurity/2022/07/diabetes-patients-flood-fda-comments-cybersecurity-medical-devices/374020/
