TLP: BIJELA Ovo se izvješće može dijeliti bez ograničenja.
Članovi Health-ISAC-a svakako preuzmite punu verziju izvješća s portala Health-ISAC Threat Intelligence Portal (HTIP)
Ključne presude
Medicinski uređaji prolaze kroz četiri faze životnog ciklusa, s različitim razinama odgovornosti proizvođača medicinskih uređaja i organizacije za pružanje zdravstvene skrbi.
Organizacije za pružanje zdravstvene skrbi trebale bi provoditi redovitije procjene rizika do kraja životnog vijeka i kraja podrške kako bi utvrdile mogu li prihvatiti rizik od daljnje upotrebe.
Proizvođač implementira kategorije sigurnosne kontrole u razvojnoj fazi kako bi osigurao da je uređaj siguran prema dizajnu, siguran prema zadanim postavkama i siguran prema zahtjevu.
Dokumentacija i transparentnost ključni su za održavanje kibernetičke sigurnosti. To uključuje pružanje detaljne sigurnosne dokumentacije, popis materijala za softver (SBOM) i jasnu komunikaciju o ranjivostima i ažuriranjima.
Kako medicinski uređaji postaju međusobno povezaniji i imaju mogućnosti interneta i bežične komunikacije, razumijevanje faza životnog ciklusa i zadataka potrebnih za održavanje njihovog sigurnosnog položaja pomoći će organizacijama da zaštite uređaje od prijetnji kibernetičkom sigurnošću. Životni ciklus uređaja različite su faze kroz koje će uređaj proći, od istraživanja i razvoja, na tržištu i na kraju do kraja životnog vijeka i kraja podrške. Kako medicinski uređaji prolaze kroz faze životnog ciklusa, odgovornost za zadatke može se prenijeti između proizvođača i kupca. Komunikacija između dviju strana ključna je dok se uređaj kreće kroz životni ciklus kako bi se zadaci koordinirali i smanjili sigurnosni nedostaci unutar proizvoda.
Ovaj dokument istražuje zadatke potrebne za održavanje kibernetičke otpornosti medicinskih uređaja i kako se odgovornosti mogu prenijeti od strane do strane u cijelom proizvodu. Odgovornost za održavanje kibernetičke sigurnosti medicinskog uređaja razvija se tijekom životnog ciklusa uređaja. Proces počinje s proizvođačem uređaja tijekom faze dizajna i razvoja i može se sve više prebaciti na Healthcare Delivery Organization (HDO) nakon kliničke upotrebe. Načela i prakse Međunarodnog foruma regulatora medicinskih uređaja (IMDRF) za kibersigurnost naslijeđenih medicinskih uređaja ocrtavaju četiri faze životnog ciklusa. Uprava za hranu i lijekove (FDA) daje zahtjeve za kibernetičku sigurnost medicinskih uređaja u smjernicama prije i nakon stavljanja na tržište. Proizvođači se mogu pozabaviti kibersigurnošću uređaja tijekom dizajna i razvoja koristeći zahtjeve prije stavljanja na tržište. Zahtjevi nakon stavljanja na tržište potrebni su zbog rizika kibernetičke sigurnosti koji se nastavljaju razvijati nakon što medicinski uređaj stigne na tržište.
