FDA: Starije inzulinske pumpe tvrtke Medtronic nisu cybersecure

Ako slijedite obavijesti o sigurnosti proizvoda ili najnovije medicinske naslove, možda ste čuli da starije Medtronic inzulinske pumpe nazivaju nesigurnima i ranjivima na cyber napade.

Da, FDA i Medtronic izdali su terenske sigurnosne obavijesti o starijim crpkama iz serija Revel i Paradigm, uređajima koji su u nekim slučajevima stari od desetljeća do gotovo 20 godina. Ovdje je obavijest FDA-e i samo strpljivo pismo tvrtke Medtronic.

Uređaji na koje utječe uključuju: Minimed 508 (prvi put pokrenut 1999.), modele Paradigm (511, 512/712, 515/715, 522/722 i starije verzije 523/723), kao i stariju Minimed Paradigm Veo verzije prodaju se izvan SAD-a

Nema razloga za paniku

Prije nego što se itko prestraši zbog sigurnosti inzulinske pumpe, budimo jasni da i FDA i Medtronic potvrđuju da je NULA bilo izvještaja o bilo kakvoj neovlaštenoj upotrebi tih pumpi. Dakle, unatoč senzacionaliziranim naslovima, zastrašujući scenarij u kojem neki podli cyber-haker reprogramira nečiju pumpu za isporuku previše inzulina ostaje hrana za TV ili filmske radnje. Iako bi nešto takvo teoretski moglo biti moguće, stvarni rizik je puno vjerojatnije neispravan očitanje CGM senzora zbog kojeg pumpa isporučuje previše ili premalo inzulina u ovim starijim modelima.

Službena obavijest FDA-e jednostavno je da agencija radi svoj posao upozoravajući ljude na potencijalne opasnosti koje bi mogle postojati. To je još jedan događaj "nula dana" - poput upozorenja izdanog na inzulinskim pumpama Animas 2016. godine - u kojem je proizvođač prisiljen izložiti ranjivost koja mogli stvoriti rizik.

Još važnije, ovo nije novi razvoj događaja. Ideja da su pumpe Medtronic ranjive javna je od 2011. godine, kada su glavni mediji izvijestili da je haker "bijelog šešira" Jay Radcliffe uspio provaliti u kôd inzulinske pumpe, a glavni mediji su bili svugdje oko toga. Čak su se i dva člana Kongresa u to vrijeme uhvatila hipera, a sljedećih godina ta i s tim povezana pitanja cyber sigurnosti kružila su dok su FDA i savezna vlada izradili smjernice i protokole za moguća pitanja cyber sigurnosti u medicinskoj tehnologiji.

Nije tradicionalno podsjećanje

Također, unatoč izvještavanju u glavnim medijima, Medtronic s nama potvrđuje da ovo nije tradicionalni opoziv proizvoda. “Ovo je samo sigurnosna obavijest. Zbog ove obavijesti ne moraju se vraćati udarne pumpe ”, kaže Pam Reese, direktorica za globalne komunikacije i korporativni marketing tvrtke Medtronic Diabetes.

Kaže nam da ljudi koji koriste ove starije pumpe i dalje mogu naručiti zalihe od Medtronica i od distributera.

Što biste zapravo trebali učiniti ako imate jednu od pumpi pod utjecajem?

“Preporučujemo vam da razgovarate sa svojim liječnikom kako biste razgovarali o pitanju kibernetičke sigurnosti i koracima koje možete poduzeti da biste se zaštitili. U međuvremenu su određene upute da inzulinsku pumpu i uređaje koji su povezani s njom crpku držite u svojoj kontroli cijelo vrijeme, a ne da ni s kim ne dijelite serijski broj pumpe ”, kaže Reese.

Zašto sada izdati upozorenje?

Ovo je veliko pitanje mnogih umova u zajednici pacijenata.

Ako su Medtronic i FDA svjesni ove ranjivosti punih osam godina, a sada su sve ove starije generacije inzulinskih pumpi Minimed zapravo prestale proizvoditi i na tržištu za nove kupce u državama, što je u ovom trenutku potaknulo upozorenje ?

Reese iz tvrtke Medtronic kaže: „Razgovor je u tijeku jer se zaštita kibernetske sigurnosti neprestano razvija kako se tehnologija nastavlja brzo poboljšavati, a povezani uređaji moraju ići u korak s tim tempom ... To smo bili upoznati krajem 2011. i započeli smo s provedbom sigurnosnih nadogradnji našim pumpama u to vrijeme. Od tada smo objavili novije modele pumpi koji komuniciraju na potpuno različite načine. Uz sve veću pažnju cyber-sigurnosti u industriji medicinskih proizvoda danas, smatrali smo da je važno da naši kupci detaljnije razumiju probleme i rizike. "

To bi moglo biti, ali ono što se također dogodilo tijekom posljednjih nekoliko godina je rođenje i eksponencijalni rast #WeAreNotWaiting DIY tehnologije za dijabetes; danas tisuće ljudi širom svijeta stvaraju vlastite domaće sustave zatvorene petlje. Mnogi od njih grade se na temelju upravo starijih modela Medtronic pumpi o kojima je tvrtka iznenada odlučila progovoriti.

Medtronic kaže da su već identificirali 4.000 izravnih kupaca koji možda koriste ove starije uređaje koji su vjerojatno u opasnosti i da će surađivati ​​s nezavisnim distributerima kako bi identificirali druge.

Sumnjivi umovi sada mogu smisliti dva moguća razloga za iznenadno upozorenje:

• FDA koristi ovo upozorenje o "potencijalnom riziku" kao sredstvo za suzbijanje sve veće upotrebe DIY tehnologije koja nije regulirana niti odobrena za komercijalnu prodaju.

• I / ili Medtronic ovdje pokreće natjecateljski šah, podržavajući upozorenje o kibernetskoj sigurnosti kako bi zastrašilo ljude korištenjem starijih uređaja izvan jamstva i umjesto toga potaklo kupce da ga nadograde na novije, "sigurnije" uređaje poput 630G i 670G Hibridni sustav zatvorene petlje.

Prije samo nekoliko tjedana na našem događaju D-Data ExChange 7. lipnja objavljena je velika najava da će Medtronic početi raditi s neprofitnom neprofitnom tvrtkom Tidepool kako bi stvorio novu verziju svoje inzulinske pumpe koja će biti interoperabilna s drugim proizvodima i buduća aplikacija Tidepool Loop koja se razvija za Apple Store. Moguće je da se Medtronic nada da će postaviti temelje za samostalne radnike da se pridržavaju Medtronic proizvoda, samo ne i starijih verzija za koje više ne žele biti odgovorni.

Ne ciljate DIY sustave?

Ne zaboravite da je FDA u svibnju 2019. izdala upozorenje o tehnologiji „uradi sam“ i sustavima koji su „izvan oznake“, čak i ako koriste komponente s odobrenjem FDA u komponentama sustava. Ali agencija kaže da ova dva upozorenja nisu povezana.

"Ovo je odvojeno pitanje od upozorenja" uradi sam ", objašnjava Alison Hunt iz FDA-ovog ureda za medije. "FDA je upoznata s dodatnim ranjivostima povezanim s ovim crpkama koje su nas, kad se razmotre s onima otkrivenima 2011. godine, dovele do toga da izdamo ovu sigurnosnu komunikaciju, a Medtronic do posljednjeg upozorenja."

Ističe da ova najnovija sigurnosna komunikacija "posebno raspravlja o ranjivosti cyber sigurnosti gdje bi se neovlaštena osoba mogla bežično povezati s obližnjom inzulinskom pumpom MiniMed i promijeniti postavke pumpe tako da prekomjerno isporuči inzulin pacijentu, što dovodi do niskog šećera u krvi (hipoglikemija ), ili zaustaviti davanje inzulina, što dovodi do povišenog šećera u krvi i dijabetičke ketoacidoze. "

Hunt kaže da FDA neprestano razgovara s proizvođačima, a kada se pojave zabrinutosti, "radimo brzo na razvoju akcijskog plana, uključujući kako ublažiti sve ranjivosti kibernetske sigurnosti i kako učinkovito komunicirati s javnošću što je brže moguće."

U redu, ali ništa od ovoga ne objašnjava točno zašto su u ovom slučaju trebale godine da se riješi poznati problem kibernetičke sigurnosti ...?

Kao što je gore spomenuto, mnogi u D-zajednici ovo vide kao pokušaj ciljanja DIY tehnologije, kao i dovođenja novih kupaca do najnovije Medtronic tehnologije. U zajednici #WeAreNotWaiting mnogi su kritizirali nedavne akcije FDA - upozorenja o DIY tehnologiji i ovoj starijoj tehnološkoj cyber sigurnosti - kao kratkovidne, posebno s obzirom na prevladavanje netočnih očitavanja CGM-a i problema iz stvarnog života s komercijalno reguliranim uređajima za dijabetes. Tamo vani. Jedan član #WeAreNotWaiting čak je istražio novo izvješće FDA o štetnim događajima objavljeno u lipnju 2019., promatrajući posljednja dva desetljeća nuspojava, i utvrdio da su samo u 2018. godini inzulinske pumpe Medtronic bile odgovorne za 11,5% svih događaja.

Joj! Računajte i jasno je da komercijalni uređaji koji su očistili FDA sami imaju problema.

Svakako je moguće da je to upravo ono što se čini kao nominalna vrijednost: službeno priznavanje nedostatka kibernetske sigurnosti za staru tehnologiju koja prethodi Bluetooth razmjeni podataka i daljinskom nadzoru. Ali zašto je trebalo gotovo desetljeće da se ostvari u stvarnoj akciji?

Iako je odgovor na pitanje "Zašto sada?" o ovome ostaje nejasno, znamo da je FDA tijekom godina prijatelj zajednice #WeAreNotWaiting. Spremni su za otvorenu komunikaciju sa zajednicom pacijenata. Također znamo da postoji stvarna zabrinutost i sigurnost zbog tehnologije „uradi sam“ i da je FDA vrlo mjerena u rješavanju tih potencijalnih rizika. Nadajmo se da će se taj trend nastaviti.

U međuvremenu smo i dalje prilično uvjereni da nitko ne hakira pumpe da ubije ljude. Podsticanje straha ne pomaže nikome - ni DIY zajednici ni samim farmaceutskim tvrtkama.