TLP: سفید این گزارش ممکن است بدون محدودیت به اشتراک گذاشته شود.
اعضای Health-ISAC حتما نسخه کامل گزارش را از پورتال اطلاعاتی تهدیدات سلامت-ISAC (HTIP) دانلود کنند.
قضاوت های کلیدی
دستگاههای پزشکی چهار مرحله چرخه حیات را طی میکنند که سطوح مختلفی از مسئولیتها بر عهده سازنده دستگاههای پزشکی و سازمان ارائه مراقبتهای بهداشتی گذاشته میشود.
سازمانهای ارائهدهنده مراقبتهای بهداشتی باید ارزیابیهای ریسک منظمتری را در پایان عمر و پایان پشتیبانی انجام دهند تا تعیین کنند آیا میتوانند خطر استفاده مداوم را بپذیرند یا خیر.
سازنده دستههای کنترل امنیتی را در مرحله توسعه پیادهسازی میکند تا اطمینان حاصل کند که دستگاه براساس طراحی، ایمن بر اساس پیشفرض و ایمن بر اساس تقاضا است.
مستندسازی و شفافیت در حفظ امنیت سایبری حیاتی است. این شامل ارائه مستندات امنیتی دقیق، لایحه مواد نرم افزاری (SBOM) و ارتباط شفاف در مورد آسیب پذیری ها و به روز رسانی ها است.
از آنجایی که دستگاههای پزشکی بیشتر به هم متصل میشوند و قابلیتهای اینترنت و ارتباطات بیسیم دارند، درک مراحل چرخه حیات و وظایف مورد نیاز برای حفظ وضعیت امنیتی آنها به سازمانها کمک میکند دستگاهها را در برابر تهدیدات امنیت سایبری ایمن کنند. چرخه عمر دستگاه مراحل مختلفی است که دستگاه طی خواهد کرد، از تحقیق و توسعه، در بازار، و در نهایت، پایان عمر و پایان پشتیبانی. همانطور که دستگاه های پزشکی در مراحل چرخه عمر حرکت می کنند، مسئولیت وظایف ممکن است بین تولید کنندگان و مشتری منتقل شود. ارتباط بین دو طرف ضروری است زیرا دستگاه در چرخه عمر حرکت می کند تا وظایف هماهنگ شده و شکاف های امنیتی در محصول کاهش یابد.
این سند وظایف مورد نیاز برای حفظ انعطافپذیری سایبری دستگاههای پزشکی و چگونگی تغییر مسئولیتها از طرفی به طرف دیگر در کل محصول را بررسی میکند. مسئولیت حفظ وضعیت امنیت سایبری یک دستگاه پزشکی در طول چرخه عمر یک دستگاه تکامل می یابد. این فرآیند با سازنده دستگاه در مرحله طراحی و توسعه آغاز میشود و ممکن است پس از استفاده بالینی، به طور فزایندهای به سازمان تحویل مراقبتهای بهداشتی (HDO) منتقل شود. انجمن بین المللی تنظیم کننده تجهیزات پزشکی (IMDRF) اصول و شیوه ها برای امنیت سایبری دستگاه های پزشکی قدیمی چهار مرحله چرخه حیات را تشریح می کند. سازمان غذا و دارو (FDA) الزاماتی را برای امنیت سایبری دستگاههای پزشکی در دستورالعملهای قبل و بعد از بازار ارائه میکند. سازندگان می توانند با استفاده از الزامات قبل از بازار، امنیت سایبری دستگاه را در طول طراحی و توسعه بررسی کنند. به دلیل خطرات امنیت سایبری که پس از رسیدن دستگاه پزشکی به بازار ادامه دارد، نیازمندیهای پس از فروش هستند.
