W komunikacie o pompach insulinowych Health Canada wskazało, że ostrzeżenie dotyczy starszych modeli pomp firmy Medtronic, które trafiły do pacjentów w latach 2010-2015. Pompy działają normalnie, ale - jak ostrzegło ministerstwo - są podatne na przeprowadzany cyberatak. Pacjentom dla bezpieczeństwa polecono, by nie podawali numeru seryjnego urządzenia, nie korzystali z żadnego oprogramowania innego niż oryginalne, zaś pendrive używany do monitorowania danych o poziomie cukru we krwi odłączali po przesłaniu danych na komputer.

Zalecenia wydano, ponieważ istnieje ryzyko, że niepowołana osoba, która zna numer seryjny urządzenia, może podłączyć się zdalnie i zmienić parametry pracy pompy, na przykład zwiększyć podawanie insuliny. Health Canada zastrzegło, że nie jest znany żaden przypadek takiego cyberataku, ale zwróciło też uwagę, że Medtronic nie może zaktualizować oprogramowania stosowanego w typach pomp podatnych na cyberatak.

Komunikat w sprawie pomp insulinowych pojawił się wkrótce wejściu w życie federalnych przepisów dotyczących cyberbezpieczeństwa sprzętu medycznego. Alert na temat zagrożenia opublikowano równolegle na rządowej stronie Kanadyjskiego Centrum Cyberbezpieczeństwa. Użytkowników ostrzegła również amerykańska Agencję Żywności i Leków (FDA).

W nowych kanadyjskich przepisach o sprzęcie medycznym zwrócono uwagę, że coraz częściej nie jest on już połączony tylko z zapewniającą jego funkcjonowanie instalacją, ale działa w sieci, co jest wygodą dla pacjentów i lekarzy, ale może oznaczać również dostęp do sprzętu dla osób nieuprawnionych. Może mieć to "negatywne skutki dla bezpieczeństwa, pociągając za sobą błędy diagnostyczne lub terapeutyczne, lub też wpływając na proces leczenia" - napisano we wstępie do rozporządzenia.

Wprowadzone przepisy mają zastosowanie do sprzętu medycznego z oprogramowaniem oraz do samego oprogramowania. "Health Canada postrzega cyberbezpieczeństwo jako część procesu projektowania i czasu użytkowania sprzętu medycznego, który może wpłynąć na jego bezpieczeństwo i skuteczność. Producenci muszą brać to pod uwagę już na wstępnym etapie przygotowania sprzętu" - stanowią nowe przepisy. Podkreślono w nich też, że "producenci muszą włączyć cyberbezpieczeństwo w procedury zarządzania ryzykiem dla każdego typu wyposażenia, które bądź samo jest oprogramowaniem, bądź oprogramowanie zawiera".