Skip to main content
QMSQMS
QMS
  • Welcome to your QMS
  • Quality Manual
  • Procedures
    • GP-001 Control of documents
    • GP-002 Quality planning
    • GP-003 Audits
    • GP-004 Vigilance system
    • GP-005 Human Resources and Training
    • GP-006 Non-conformity, Corrective and Preventive actions
    • GP-007 Post-market surveillance
    • GP-008 Product requirements
    • GP-009 Sales
    • GP-010 Purchases and suppliers evaluation
    • GP-011 Provision of service
    • GP-012 Design, redesign and development
    • GP-013 Risk management
    • GP-014 Feedback and complaints
    • GP-015 Clinical evaluation
    • GP-016 Traceability and identification
    • GP-017 Technical assistance service
    • GP-018 Infrastructure and facilities
    • GP-019 Software validation plan
    • GP-020 QMS Data analysis
    • GP-021 Communications
    • GP-022 Document translation
    • GP-023 Change control management
    • GP-024 Predetermined Change Control Plan
    • GP-025 Usability and Human Factors Engineering
    • GP-027 Corporate Governance
    • GP-028 AI Development
    • GP-029 Software Delivery And Comissioning
    • GP-050 Data Protection
    • GP-051 Security violations
    • GP-052 Data Privacy Impact Assessment (DPIA)
    • GP-100 Business Continuity (BCP) and Disaster Recovery plans (DRP)
    • GP-101 Information security
    • GP-200 Remote Data Acquisition in Clinical Investigations
    • GP-026 Market-specific product requirements
    • GP-110 Esquema Nacional de Seguridad
      • ORG Marco organizativo
      • OP Marco operacional
      • MP Medidas de protección
        • MP.IF Protección de las instalaciones e infraestructuras
        • MP.PER Gestión del personal
        • MP.EQ Protección de los equipos
        • MP.COM Protección de las comunicaciones
        • MP.SI Protección de los soportes de información
        • MP.SW Protección de las aplicaciones informáticas
        • MP.INFO Protección de la información
        • MP.S Protección de los servicios
        • MP.AUX - Protección de Medios Auxiliares
      • Sin asignar
      • Real Decreto 311/2022, de 3 de mayo, por el que se regula el Esquema Nacional de Seguridad.
  • Records
  • Legit.Health Plus Version 1.1.0.0
  • Legit.Health Plus Version 1.1.0.1
  • Licenses and accreditations
  • Applicable Standards and Regulations
  • Public tenders
  • Procedures
  • GP-110 Esquema Nacional de Seguridad
  • MP Medidas de protección
  • MP.SW Protección de las aplicaciones informáticas

MP.SW Protección de las aplicaciones informáticas

Esta sección establece las medidas de protección para aplicaciones informáticas utilizadas en dispositivos médicos, garantizando la seguridad durante todo el ciclo de vida del software médico.

MP.SW.1 Desarrollo​

Objetivo​

Implementar prácticas de desarrollo seguro para aplicaciones de dispositivos médicos, integrando consideraciones de ciberseguridad desde las fases tempranas del desarrollo.

Documentos de referencia​

  • T-024-006 Cybersecurity Risk Management Plan
  • T-024-007 Threat Modeling Assessment
  • Real Decreto 311/2022 - Artículo 39
  • IEC 62304 - Software de dispositivos médicos

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Secure Development Lifecycle (SDLC)

    • Requisitos de seguridad definidos en fase de análisis
    • Threat modeling específico para cada aplicación médica
    • Revisiones de código con foco en vulnerabilidades médicas críticas
    • Testing de penetración antes de release para dispositivos críticos

  2. Estándares de codificación segura

    • OWASP Top 10 para aplicaciones web médicas
    • Validación de entrada para datos de pacientes
    • Gestión segura de credenciales y tokens de sesión
    • Logging de seguridad sin exposición de datos sensibles

  3. Gestión de dependencias

    • Inventario completo de componentes de terceros
    • Análisis de vulnerabilidades en librerías externas
    • Políticas de actualización para componentes críticos
    • Software Bill of Materials (SBOM) para aplicaciones críticas

  4. Control de versiones y configuración

    • Repositorios seguros con control de acceso granular
    • Firmas digitales para commits críticos
    • Ambientes segregados: desarrollo, testing, producción
    • Configuration as Code para aplicaciones médicas

Controles específicos para dispositivos médicos:

  • Validación de algoritmos médicos críticos
  • Testing de interoperabilidad con sistemas hospitalarios
  • Verificación de cumplimiento con estándares médicos (HL7, DICOM)
  • Documentación de decisiones de diseño para auditorías regulatorias

MP.SW.2 Aceptación y puesta en servicio​

Objetivo​

Establecer procedimientos rigurosos para la validación, aceptación y despliegue seguro de aplicaciones médicas en entornos de producción.

Documentos de referencia​

  • T-024-008 Incident Response Plan
  • Real Decreto 311/2022 - Artículo 39
  • FDA 21 CFR Part 820 - Quality System Regulation
  • ISO 14971 - Application of risk management to medical devices

Guía de implantación​

Implementación para dispositivos médicos​

Medidas obligatorias:

  1. Proceso de validación integral

    • Testing funcional completo según especificaciones médicas
    • Pruebas de carga para sistemas críticos de soporte vital
    • Verificación de cumplimiento regulatorio (FDA, CE)
    • Validación de interoperabilidad con sistemas hospitalarios existentes

  2. Evaluación de seguridad pre-despliegue

    • Análisis de vulnerabilidades automatizado (SAST/DAST)
    • Revisión manual de código para componentes críticos
    • Testing de penetración por terceros independientes
    • Evaluación de configuraciones de seguridad

  3. Procedimientos de despliegue controlado

    • Despliegue gradual (canary/blue-green) para aplicaciones críticas
    • Rollback automático ante detección de anomalías
    • Monitoreo intensivo durante primeras 72 horas post-despliegue
    • Validación de integridad de datos tras migración

  4. Documentación y trazabilidad

    • Registro completo de pruebas realizadas y resultados
    • Documentación de cambios y configuraciones aplicadas
    • Certificación de cumplimiento de requisitos de seguridad
    • Plan de respuesta a incidentes específico para la aplicación

Criterios de aceptación específicos:

  • Disponibilidad > 99.9% para aplicaciones críticas
  • Tiempo de respuesta < 2 segundos para interfaces de usuario médicas
  • Cero vulnerabilidades críticas o altas sin mitigar
  • 100% de casos de prueba de seguridad exitosos

Validación en entorno médico:

  • Testing con datos sintéticos representativos
  • Simulación de scenarios de emergencia médica
  • Verificación de alarmas y notificaciones críticas
  • Validación de procedimientos de backup y recuperación

Evaluación de eficacia​

Indicadores clave de rendimiento:

  • Tiempo medio de desarrollo seguro por aplicación
  • Número de vulnerabilidades detectadas pre-producción vs post-producción
  • Porcentaje de aplicaciones que pasan testing de seguridad al primer intento
  • Tiempo medio de despliegue para actualizaciones críticas de seguridad

Métricas de calidad:

  • Densidad de defectos < 0.1 por KLOC para código crítico
  • Cobertura de testing de seguridad > 95%
  • Cumplimiento de estándares de codificación > 98%
  • Satisfacción del usuario final > 90%

Consideraciones especiales para dispositivos médicos​

Aspectos regulatorios:

  • Cumplimiento con IEC 62304 para software de dispositivos médicos
  • Documentación requerida para submission regulatoria (510k, CE)
  • Validación según FDA Cybersecurity in Medical Devices guidance
  • Mantenimiento de Design History File (DHF) actualizado

Gestión de riesgos del software:

  • Análisis de FMEA específico para software médico
  • Clasificación de riesgo según criticidad para seguridad del paciente
  • Plan de mitigación para cada riesgo identificado
  • Monitoreo continuo de riesgos emergentes post-despliegue

Signature meaning

The signatures for the approval process of this document can be found in the verified commits at the repository for the QMS. As a reference, the team members who are expected to participate in this document and their roles in the approval process, as defined in Annex I Responsibility Matrix of the GP-001, are:

  • Author: Team members involved
  • Reviewer: JD-003, JD-004
  • Approver: JD-001
Previous
MP.SI Protección de los soportes de información
Next
MP.INFO Protección de la información
  • MP.SW.1 Desarrollo
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
  • MP.SW.2 Aceptación y puesta en servicio
    • Objetivo
    • Documentos de referencia
    • Guía de implantación
      • Implementación para dispositivos médicos
    • Evaluación de eficacia
    • Consideraciones especiales para dispositivos médicos
All the information contained in this QMS is confidential. The recipient agrees not to transmit or reproduce the information, neither by himself nor by third parties, through whichever means, without obtaining the prior written permission of Legit.Health (AI LABS GROUP S.L.)