Seoses meditsiiniseadmete vastu suunatud rünnete arvu suurenemisega esitasid Euroopa Liidu regulaatorid meditsiiniseadmetele ja in vitro diagnostikameditsiiniseadmetele uued turuletuleku nõuded, et vähendada küberintsidendi tagajärjel patsientidele kahju tekitamise ohtu, samuti kaitsta riiklikke tervishoiusüsteeme.
ELi reguleerivad asutused tõstavad küberjulgeoleku nõuete latti Euroopa Liidu meditsiiniseadmete määrus (MDR) ja Euroopa Liidu in vitro diagnostika määrus (IVDR), mis jõustus 26. mail 2021. Määruste eesmärk on "luua tugev, läbipaistev, prognoositav ja jätkusuutlik reguleeriv raamistik …, mis tagab ohutuse ja tervise kõrge taseme, toetades samal ajal innovatsiooni."
Organisatsioonidel on kuni 26. maini 2024 või siis, kui seadmetes kasutatavad digisertifikaadid aeguvad, teha oma kvaliteedijuhtimissüsteemides ja tehnilises dokumentatsioonis vajalikud muudatused uute nõuete täitmiseks. Vaatamata esitatud hindamisprotsesside ning standardite ja juhenddokumentide arvule ei pruugi meditsiiniseadmete tootjad, pakkujad ja sertifitseerimisteenused õigeks ajaks valmis olla.
Enam kui 90% praegu kehtivatest AIMDD/MDD sertifikaatidest aegub 2024. aastaks, seega tuleb lisaks uutele turule tulevatele seadmetele uuesti heaks kiita märkimisväärne hulk olemasolevaid seadmeid. Hinnanguliselt 85% praegu turul olevatest toodetest vajavad endiselt uut MDR.IVDR-i sertifikaati. Arvestades, et protsess võtab aega 13–18 kuud, peavad ettevõtted protsessiga kohe alustama, et 2024. aasta tähtajast kinni pidada.
Seadistamise kasutusjuhised
Üldiselt ei erine küberturvalisuse protsessid nii palju üldistest seadme jõudlus- ja ohutusprotsessidest. Eesmärk on tagada (verifitseerimise ja valideerimise kaudu) ja demonstreerida (dokumentatsiooni kaudu) seadme jõudlust, riskide vähendamist ja kontrolli ning prognoositavate riskide ja soovimatute kõrvalmõjude minimeerimist riskijuhtimise kaudu. Kombineeritud tooted või omavahel ühendatud seadmed/süsteemid nõuavad ka tarkvara ja IT-keskkonna vastastikusest mõjust tulenevate riskide juhtimist.
Meditsiiniseadmete koordineerimisrühm MDCG-16 meditsiiniseadmete küberturvalisuse juhend selgitab, kuidas tõlgendada ja täita küberturvalisuse nõudeid MDR-i ja IVDR-i alusel. Tootjatelt oodatakse turvalise arenduse elutsükli, turvariskide juhtimise ning kontrollimise ja valideerimise põhimõtete arvestamist. Lisaks peaksid nad oma seadme kasutusjuhendis esitama minimaalsed IT-nõuded ja ootused küberturvalisuse protsessidele, nagu paigaldamine ja hooldus. „Kasutusjuhised” on sertifitseerimistaotluse, mille tootjad peavad esitama, väga struktureeritud nõutav jaotis.
Küberjulgeolekumeetmed peavad vähendama kõiki meditsiiniseadmete tööga seotud riske, sealhulgas küberturvalisusest tingitud ohutusriske, et tagada tervise ja ohutuse kõrge tase. Rahvusvaheline elektrotehnikakomisjon (IEC) määrab kindlaks kõrgetasemelised turvaelemendid, parimad tavad ja turvatasemed IEC/TIR 60601-4-5. Veel üks IEC tehniline aruanne, IEC 80001-2-2, loetleb konkreetsed disaini ja arhitektuuri turbevõimalused, nagu automaatne väljalogimine, auditi juhtelemendid, andmete varundamine ja avariitaaste, pahavara tuvastamine/kaitse ning süsteemi ja OS-i tugevdamine.
ISO juhiste järgimiseks (ISO 14971), soovitab Meditsiiniseadmete Arendamise Liit leida tasakaal ohutuse ja turvalisuse vahel. Hoolikas analüüs on vajalik selleks, et turvameetmed ei ohustaks ohutust ja ohutusmeetmed ei muutuks turvariskiks. Turvalisus peab olema õige suurusega ega tohi olla liiga nõrk ega liiga piirav.
Jagage vastutust küberturvalisuse eest
Küberturvalisuse eest vastutavad seadme tootja ja juurutav organisatsioon (tavaliselt klient/operaator). Seega nõuavad konkreetsed rollid, mis pakuvad olulisi küberjulgeoleku funktsioone – nagu integraator, operaator, tervishoiu- ja meditsiinitöötajad ning patsiendid ja tarbijad – hoolikat koolitust ja dokumenteerimist.
Tootja sertifitseerimisrakenduse jaotises „Kasutusjuhised” peaksid olema esitatud küberturvalisuse protsessid, sealhulgas turbekonfiguratsiooni valikud, toote installimine, esialgsed konfiguratsioonijuhised (nt vaikeparooli muutmine), juhised turvavärskenduste juurutamiseks, meditsiiniseadme tõrkekindla kasutamise protseduurid. režiim (nt tõrketurvarežiimi sisenemine/väljumine, jõudluse piirangud tõrkeohutusrežiimis ja andmete taastamise funktsioon normaalse töö jätkamisel) ning tegevusplaanid kasutajale hoiatusteate korral.
See jaotis peaks sisaldama ka kasutaja nõudeid koolituse kohta ja loetlema nõutavad oskused, sealhulgas meditsiiniseadme paigaldamiseks, konfigureerimiseks ja kasutamiseks vajalikud IT-oskused. Lisaks peaks see määratlema nõuded töökeskkonnale (riistvara, võrgu omadused, turvakontrollid jne), mis hõlmavad eeldusi kasutuskeskkonna kohta, riske seadme tööks väljaspool ettenähtud töökeskkonda, ühendatud meditsiiniseadme platvormi miinimumnõudeid. , soovitatavad IT-turvakontrollid ning varundus- ja taastefunktsioonid nii andmete kui ka konfiguratsiooniseadete jaoks.
Konkreetset turbeteavet võidakse jagada muude dokumentide kui kasutusjuhiste kaudu, näiteks juhised administraatoritele või turbetoimingute käsiraamatud. Selline teave võib sisaldada meditsiiniseadmesse lisatud IT-turvakontrollide loendit, sätteid tarkvaravärskenduste ja turvapaikade terviklikkuse/valideerimise tagamiseks, riistvarakomponentide tehnilisi omadusi, tarkvara materjalide arve, kasutajarollid ja seotud juurdepääsuõigused/load seadmel, logimisfunktsioon, juhised turvasoovituste kohta, nõuded meditsiiniseadme integreerimiseks terviseteabesüsteemi ja võrgu andmevoogude loend (protokollitüübid, andmete päritolu/sihtkoht). vood, aadressiskeem jne).
Kui tegevuskeskkond ei ole eranditult kohalik, vaid hõlmab väliseid hostiteenuse pakkujaid, peab dokumentatsioonis selgelt olema kirjas, mida, kus (arvestades andmete elukohaseadusi) ja kuidas andmeid säilitatakse, samuti mis tahes turvakontrollid, et kaitsta andmeid pilvekeskkond (nt krüpteerimine). Dokumentatsiooni kasutusjuhiste jaotises tuleb sätestada konkreetsed konfiguratsiooninõuded töökeskkonna jaoks, näiteks tulemüürireeglid (pordid, liidesed, protokollid, adresseerimisskeemid jne).
Turustuseelsete tegevuste käigus rakendatud turvakontrollid võivad olla ebapiisavad, et säilitada vastuvõetavat kasu-riski taset seadme tööea jooksul. Seetõttu nõuavad määrused tootjalt turustamisjärgse küberturvalisuse seireprogrammi loomist, et jälgida seadme tööd ettenähtud keskkonnas; jagada ja levitada küberturbealast teavet ja teadmisi küberturvalisuse haavatavuste ja ohtude kohta mitmes sektoris; haavatavuse parandamiseks; ja planeerida intsidentidele reageerimist.
Tootja vastutab lisaks tõsiste vahejuhtumite uurimise ja nendest teatamise ning ohutusalaste parandusmeetmete väljatöötamise eest. Täpsemalt, küberjulgeolekuga seotud algpõhjustega intsidentide kohta esitatakse suundumused, sealhulgas intsidentide sageduse või tõsiduse statistiliselt oluline suurenemine.
Planeerimine kõigi stsenaariumide jaoks
Tänapäeva meditsiiniseadmed on väga integreeritud ja töötavad keerukas seadmete ja süsteemide võrgus, millest paljud ei pruugi olla seadme operaatori kontrolli all. Seetõttu peaksid tootjad hoolikalt dokumenteerima seadme kavandatud kasutuse ja kavandatud töökeskkonna ning kavandama mõistlikult prognoositava väärkasutuse, näiteks küberrünnaku.
Küberturvalisuse turueelse ja -järgse riskijuhtimise nõuded ja toetavad tegevused ei pruugi erineda traditsioonilistest ohutusprogrammidest. Kuid need lisavad täiendavat keerukust, näiteks:
- Arvessevõetavate riskide hulk on keerulisem (ohutus, privaatsus, toimingud, äri).
- Need nõuavad kindlat tegevuste kogumit, mida tuleb seadme arenduse elutsükli jooksul läbi viia turvalise tootearenduse raamistiku (SPDF) kaudu.
Ülemaailmsed regulaatorid, sealhulgas MDR/IVDR, on hakanud jõustama meditsiiniseadmetele kõrgemat turbetaset ja nõuavad konkreetselt tõendatavat turvalisust osana seadme suuremast elutsüklist. Seadmed peaksid seadme tüübist ja kasutusjuhtumist lähtuvalt vastama turvalisuse lähtetasemele ning tootjad peavad seda baastaseme säilitama kogu seadme kasutusaja jooksul.
