"Kyberturvallisuus lääkinnällisissä laitteissa: laatujärjestelmänäkökohdat ja markkinointia edeltävien lausuntojen sisältö | FDA” on uusi FDA:n tuottama asiakirja, joka antaa ohjeita kyberturvallisuuden integroimiseksi lääkinnällisten laitteiden laatujärjestelmän hallintaan ja markkinoille saattamista edeltävään toimitusprosessiin.

Se kattaa riskienhallinnan, suunnittelun hallinnan, ohjelmistojen validoinnin ja muut elementit, joilla varmistetaan lääkinnällisten laitteiden turvallisuus, tehokkuus ja tietoturva mahdollisten kyberuhkien varalta.

Asiakirjan tavoitteena on välittää laitevalmistajille tarve ottaa kyberturvallisuus huomioon kaikissa laiteohjelmiston osa-alueilla, mukaan lukien suunnittelu, kehitys, testaus, seuranta ja ylläpito. Asiakirjan keskeinen konsepti on "tuotteen kokonaiselinkaari" suunnittelu. FDA on ottanut käyttöön monia kyberturvallisuuden näkökohtia, jotka tavallisesti jätettäisiin HIPAA- ja laiteasiakkaille. Laitevalmistajien tehtävänä on nyt integroida turvalliset ohjelmistokäytännöt kehitysvaiheen alusta lähtien ja näyttää dokumentaation avulla, kuinka he jatkavat laitteen turvallisuuden varmistamiseksi.

Mikä on kyberturvallisuus?

NIST:llä (National Institute of Standards and Technology) on kokonainen sivu omistettu erilaisille kyberturvallisuuden määritelmät.

NIST tunnistaa kyberturvallisuuden synonyymiksi tietokoneturvalle[1]. Se on "Toimenpiteet ja valvonta, jotka varmistavat tietokoneen käsittelemien ja tallentamien tietojen luottamuksellisuuden, eheyden ja saatavuuden".[2] Se on myös "sähköisten tieto- ja viestintäjärjestelmien ja niiden sisältämien tietojen vahingoittumisen, luvattoman käytön, hyödyntämisen ja tarvittaessa palauttamisen estämistä näiden järjestelmien luottamuksellisuuden, eheyden ja saatavuuden vahvistamiseksi. .”[3]

Kun kyberturvallisuus laajennetaan lääkinnällisiin laitteisiin, se kattaa käyttäjien ja potilaiden turvallisuuden. Kuten FDA:n ohjeessa sivulla 11 todetaan: "Turvallisuusriskien hallintaprosessin laajuus ja tavoite yhdessä muiden SPDF-prosessien (esim. tietoturvatestauksen) kanssa on paljastaa, kuinka uhat voivat haavoittuvuuksien kautta ilmentää potilasvaurioita ja muita mahdollisia riskejä." Alla oleva kuva 1 esittää kyberturvallisuusriskin ja turvallisuusriskin välisen suhteen.

Kuinka hallita kyberturvallisuusriskejä

FDA:n ohjeissa ehdotetaan, että yksi tapa hallita kyberturvallisuusriskejä on "Secure Product Development Framework" tai SPDF. SPDF on pohjimmiltaan suunnitelma kyberturvallisuusuhkien tunnistamiseksi ja lieventämiseksi laitteen koko käyttöiän ajaksi. Laitevalmistajien tulee ottaa käyttöön SPDF osana keskeistä laadunhallintajärjestelmää (QMS), joka ohjaa ohjelmiston sisältävän laitteen kehittämistä ja ylläpitoa.

Prosessi voidaan tiivistää seuraaviin vaiheisiin:

• Tunnista uhat
• Dokumentoi ja arvioi riskit
• Dokumentoi ja toteuta lievennykset
• Testaa ja tarkista lievennykset
• ja lopuksi tarkkaile laitetta ja laitetilaa uusien uhkien varalta.

Näiden vaiheiden tulokset ja tulevien kohtaamismenettelyjen toteuttaminen ovat panoksia, joita FDA vaatii kaikilta uusilta säädösilmoituksilta. Vaikka prosessin vaiheet on helppo tunnistaa, SPDF:n käyttöönotto on kaikkea muuta kuin helppoa.

Lisätietoja SPDF:stä

Secure Product Development Framework -kehyksestä tulisi tulla vakio-osa jokaisessa QMS:ssä, jota käytetään elektronisen lääkinnällisen laitteen tai minkä tahansa ohjelmiston sisältävän lääketieteellisen laitteen kehittämiseen. On houkuttelevaa väittää, että laite ei vaadi SPDF:ää tai kyberturvallisuusnäkökohtia, mutta tämä olisi virhe. Ei ole mahdollista todistaa FDA:lle, että laitteesi EI aiheuta kyberturvallisuusriskejä ennen kuin olet suorittanut monet SPDF:n alkuvaiheista, nimittäin uhkien tunnistamisen ja kyberturvallisuusriskianalyysin. Olemme jo kuulleet tarinoita muista valmistajista, jotka olettivat olevansa turvallisia vain, jos FDA osoittaa USB-porttiin tai piilevään verkkoporttiin (paneelin takana ei vähempää!) ja hylkäsivät hakemuksen kyberturvallisuusasiakirjojen puutteen vuoksi. Se, että laite ei muodosta yhteyttä Internetiin, ei tarkoita, että uhkatekijä ei voisi hyödyntää osaa järjestelmästäsi. Ainoa tapa todistaa, että laitteesi on turvallinen, on ottaa SPDF käyttöön laitteen elinkaaren alusta alkaen ja dokumentoida uhkien tai riskien puuttuminen.

Kyberturvallisuusriskien hallinta

Ohjelmistotiimimme työskentelee useiden kyberturvallisuusammattilaisten, läpäisytestausyritysten ja FDA-konsulttien kanssa varmistaakseen, että kehittämämme laitteet täyttävät lääketieteellisten laitteiden FDA:n kyberturvallisuusdokumentaatiovaatimukset. Laitekehittäjien tulisi sisäistää uudet FDA:n ohjeet ja luoda uusia prosesseja, jotka auttavat vaatimustenmukaisuuden varmistamisessa, sekä uusia työkaluja FDA:n vaatimusten täyttämiseen tarvittavien tulosten tuottamiseksi. Tämä ei ole pieni yritys. Olemme käyttäneet paljon aikaa ja vaivaa näiden järjestelmien käyttöön ottamiseksi. Panostus on tuottanut tulosta asiakkaillemme, koska meillä on automatisoitu haavoittuvuuksien havaitseminen ja raportointi.

Jos haluat tietää lisää siitä, kuinka StarFish Medical voi auttaa kyberturvallisuusmääräysten noudattamisessa, ole hyvä ja ota yhteyttä liiketoiminnan kehitysryhmäämme. He keskustelevat mielellään siitä, kuinka Starfish voi auttaa sinua onnistumaan luomaan kestäviä ja turvallisia lääkinnällisiä laitteita.

[1] https://csrc.nist.gov/glossary/term/cybersecurity

[2] https://www.cnss.gov/CNSS/issuances/Instructions.cfm

[3] https://doi.org/10.6028/NIST.IR.8074v2

Kuva: FDA

Russell Haley on StarFish Medical Senior Software Engineer. Hän on ohjelmisto- ja IT-veteraani, jolla on yli 20 vuoden start-up-kokemus IoT-järjestelmien suunnittelusta, jotka keräävät dataa Wi-Fi-, Bluetooth- ja MICS-radioiden (implantoitavien) kautta ja tallentavat tärkeitä tietueita pilveen merentutkimuspoijuista, rahoituslaitoksista ja matkustajajunista. ja viimeksi lääketieteelliset laitteet.

• SEO-pohjainen sisällön ja PR-jakelu. Vahvista jo tänään.
• PlatoData.Network Vertical Generatiivinen Ai. Vahvista itseäsi. Pääsy tästä.
• PlatoAiStream. Web3 Intelligence. Tietoa laajennettu. Pääsy tästä.
• PlatoESG. hiili, CleanTech, energia, ympäristö, Aurinko, Jätehuolto. Pääsy tästä.
• PlatonHealth. Biotekniikan ja kliinisten kokeiden älykkyys. Pääsy tästä.
• Lähde: https://starfishmedical.com/blog/fda-guidance-medical-device-cybersecurity/