Số 459Quản lý Rủi ro

Medtronic MiniMed (2019): bơm insulin không thể cập nhật phần mềm để vá lỗ hổng không dây và khuyến nghị thay thiết bị của FDA

Ngày 27/6/2019, FDA cảnh báo bơm insulin MiniMed 508 và dòng Paradigm của Medtronic có lỗ hổng an ninh: người ở gần có thể kết nối không dây để thay đổi cài đặt và việc truyền insulin. Vì không thể cập nhật phần mềm các mẫu này, FDA khuyến nghị bệnh nhân chuyển sang mẫu mới hơn. Medtronic xác định khoảng 4.000 bệnh nhân ở Mỹ có thể đang dùng thiết bị bị ảnh hưởng. Bài học về rủi ro khi thiết bị y tế không được thiết kế để vá lỗi sau khi phát hành.

Nguyễn Thu Hà, PMP

30/08/2026

3 phút đọc 0

Bình luận0

Bối cảnh thực tế

Bơm insulin MiniMed 508 và dòng MiniMed Paradigm của Medtronic giao tiếp không dây với các thiết bị khác như bộ điều khiển và máy đo đường huyết — tiện cho bệnh nhân tiểu đường nhưng cũng mở ra một kênh truy cập từ bên ngoài.

Theo thông tin thu hồi của FDA và thông cáo ngày 27/6/2019:

FDA và cơ quan an ninh mạng hệ thống công nghiệp của Bộ An ninh Nội địa Mỹ cảnh báo một người không được phép ở gần có thể kết nối không dây với bơm để thay đổi cài đặt, có thể gây truyền quá nhiều insulin hoặc ngừng truyền.
Medtronic không thể cập nhật các mẫu 508 và Paradigm để khắc phục; FDA khuyến nghị bệnh nhân thay bằng mẫu mới có khả năng bảo vệ tốt hơn.
Medtronic xác định khoảng 4.000 bệnh nhân ở Mỹ có thể đang dùng bơm bị ảnh hưởng; FDA cho biết chưa nhận được báo cáo nào về thiệt hại cho bệnh nhân.
Hồ sơ thu hồi ghi nhận 64.174 thiết bị MiniMed 508 đã được phân phối; Medtronic gửi thông báo an toàn khẩn cấp tháng 6/2019 và cập nhật lại tháng 1/2023, khi thu hồi vẫn chưa đóng.

Phân tích nguyên nhân theo chuẩn PMP

Không thiết kế khả năng cập nhật là chấp nhận rủi ro vĩnh viễn
Khi phần mềm thiết bị không thể vá sau khi xuất xưởng, mọi lỗ hổng phát hiện sau này chỉ còn một phương án ứng phó: thay phần cứng. Đây là quyết định kiến trúc có hệ quả rủi ro kéo dài nhiều năm.
Môi trường mối đe doạ thay đổi nhanh hơn vòng đời sản phẩm
Thiết bị y tế dùng nhiều năm, còn kỹ thuật tấn công thay đổi liên tục. Đánh giá rủi ro lúc thiết kế cần giả định rằng giao thức không dây sẽ bị phân tích và khai thác trong vòng đời sản phẩm.
Chi phí ứng phó dồn lên bệnh nhân và hệ thống y tế
Thay thiết bị đòi hỏi bác sĩ, bảo hiểm, đào tạo lại bệnh nhân. Chiến lược ứng phó "thay thế" có chi phí rất lớn so với việc dự trù cơ chế cập nhật an toàn từ đầu.

Medtronic MiniMed (2019): bơm insulin không thể cập nhật phần mềm để vá lỗ hổng không dây và khuyến nghị thay thiết bị của FDA

Bối cảnh thực tế

Phân tích nguyên nhân theo chuẩn PMP

Không thiết kế khả năng cập nhật là chấp nhận rủi ro vĩnh viễn

Môi trường mối đe doạ thay đổi nhanh hơn vòng đời sản phẩm

Chi phí ứng phó dồn lên bệnh nhân và hệ thống y tế

Rủi ro an ninh là rủi ro an toàn

Lẽ ra PM nên làm gì

Bước 1: Đưa khả năng cập nhật an toàn vào yêu cầu bắt buộc

Bước 2: Mô hình hoá mối đe doạ cho mọi giao tiếp không dây

Bước 3: Kế hoạch quản lý lỗ hổng sau khi đưa ra thị trường

PM Takeaway (Bài học rút ra)

Nguồn tham khảo

Trắc nghiệm tình huống PMP

Nếu là nhà sản xuất khi lỗ hổng được công bố mà thiết bị không thể vá, bạn ưu tiên cách nào?

Tình huống này hữu ích với bạn?

Bình luận (0)