Ugrás a tartalomra

Bejegyzés témája: Orvosi eszközök biztonsága

Elkaphatatlan csend: Hogyan erősítheti fel a MAUDE a biztonságosabb eszközök iránti igényt?

Orvostechnikai eszközökről szóló blog Phil Englerttől, a Health-ISAC orvostechnikai eszközök biztonságáért felelős alelnökétől

Az orvostechnikai eszközök tulajdonosait egyre frusztrálja, hogy az orvostechnikai eszközök gyártói milyen korlátozott információkat osztanak meg az orvostechnikai technológiák ismert, de nem nyilvános sebezhetőségeiről, és milyen gyorsan javítják az ismert sebezhetőségeket. Az Élelmiszer- és Gyógyszerügyi Hatóság (FDA) MAUDE-jának kihasználása a hatékonyság növelésének egyik módja lehet.

Az FDA MAUDE adatbázisa – a Manufacturer and User Facility Device Experience (gyártó és felhasználói létesítmény eszközélmény) rövidítése – az orvostechnikai eszközökkel kapcsolatos mellékhatásokról szóló jelentések nyilvános adattára, és az FDA forgalomba hozatal utáni felügyeleti stratégiájának része. Elsődleges célja, hogy segítse az FDA-t az eszközök teljesítményének ellenőrzésében, a potenciális biztonsági problémák felderítésében, valamint az előnyök és kockázatok értékelésének támogatásában az eszközök forgalomba hozatala után. A kötelező bejelentőknek (például a gyártóknak, importőröknek és egészségügyi intézményeknek) jelentést kell benyújtaniuk, ha egy eszköz halálesetet, súlyos sérülést vagy meghibásodást okozhatott vagy ahhoz hozzájárulhatott. Az önkéntes bejelentők (például az egészségügyi szakemberek, a betegek vagy a gondozók) szintén jelentést nyújthatnak be, ha eszközzel kapcsolatos problémát észlelnek vagy tapasztalnak.

Tudjon meg többet a MAUDE-ról, beleértve egy Példa egy kiberrel kapcsolatos MAUDE-jelentés narratívájára a TechNationben.

Kattints ide

Orvostechnikai eszközök biztonsága: Amit az egészségügyi vásárlók valójában akarnak

A kiberbiztonság mostantól a piacra jutás kapuőre

VEZETŐI ÖSSZEFOGLALÓ A 2025-ÖS ORVOSI ESZKÖZÖK KIBERBIZTONSÁGI INDEXÉBŐL

Az egészségügy elérte a kiberbiztonsági fordulópontot. Az egészségügyi szervezetek 22%-a tapasztaltak már orvostechnikai eszközöket veszélyeztető kibertámadásokat, ezek 75%-a a betegellátást közvetlenül befolyásoló események. Amikor a támadások arra kényszerítik a betegeket, hogy más kórházba szállítsák őket létesítmények – ami az esetek közel negyedében történt –, már nem az informatikáról beszélünk kellemetlenség, de orvosi vészhelyzetek.

 

MAGAS AZ ORVOSI ESZKÖZÖK BIZTONSÁGA IRÁNTI IGÉNY

1. Átláthatóság SBOM-okon keresztül – A válaszadók 78%-a elengedhetetlennek tartja a szoftverek anyagjegyzékeit a beszerzési döntésekben. Ez nem csupán a szabályozási megfelelésről szól, hanem a gyakorlati sebezhetőségek kezeléséről egy összekapcsolt ökoszisztémában.

2. Beépített vs. csavarozható biztonság – A válaszadók 60%-a az integrált kiberbiztonsági védelmet részesíti előnyben az utólagosan telepített megoldásokkal szemben. Az egészségügyi vezetők megtanulták, hogy a hagyományos biztonsági intézkedések kudarcot vallanak a kifinomult támadásokkal szemben.

3. Fejlett futásidejű védelem - 36%-uk aktívan keres futásidejű védelemmel ellátott eszközöket, míg további 38%-uk tud róla, de még nincs rá szüksége – ami a piac gyors fejlődésére utal a korai elterjedéstől a mainstream elvárásokig.

Olvasd el a RunSafe Security, egy Health-ISAC Navigator által készített tanulmányt. Kattints ide

Az egészségügyi kiberbiztonság helyzete: Előrelépések és buktatók

Phil Englert, a Health-ISAC munkatársa és Murad Dikeidek, az UI Health munkatársa az egészségügyi szektor biztonságának kihívásairól beszél, és betekintést nyújt ebbe a témába.

Miközben az egészségügyi szektor előrelépéseket tesz a kiberbiztonság terén, továbbra is mélyen gyökerező kihívásokkal néz szembe, beleértve az együttműködést, a kiber munkaerővel kapcsolatos problémákat és a költségvetési korlátokat, ami folyamatos alkalmazkodást és újraprioritást igényel, ahogy az ellenfelek megváltoztatják taktikájukat – mondták Phil Englert és Murad Dikeidek biztonsági szakértők.

„Az egyik dolog, amit egyre gyakrabban, de még mindig nem eleget látunk, az információmegosztás” – mondta Englert, az Egészségügyi Információmegosztási és Elemző Központ orvostechnikai eszközök biztonságáért felelős alelnöke.

Az információmegosztás létfontosságú lehet ahhoz, hogy az ágazat jobban megértse a rá leselkedő veszélyeket, mégis sok szervezetnél még mindig bizonytalanság van azzal kapcsolatban, hogy az egészségügyi szolgáltatóknak milyen részletességgel kellene nyilvánosságra hozniuk információkat – mondta.

Olvasd el vagy hallgasd meg ezt a beszélgetést a Data Breach Today-ben. Kattints ide

Contec CMS8000 sebezhetőség

Contec CMS8000 sebezhetőség: Kritikus kiberbiztonsági probléma vagy rossz kódolási gyakorlat?

Health-ISAC Medical Device Security Blog a TechNationben

Írta: Phil Englert, az egészségügyi ISAC orvosi eszközök biztonságáért felelős alelnöke

30. január 2025-án a Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség (CISA) kiadta az ICSMA-25-030-01 számú orvosi tanácsadó dokumentumot, amelyben a Contec CMS8000 betegmonitorok kritikus sebezhetőségeire mutatott rá. Ezek a sebezhetőségek – köztük a határokon kívüli írás, a rejtett hátsó ajtó funkció és az adatvédelmi szivárgás – jelentős kockázatot jelentenek a betegek biztonságára és az adatbiztonságra nézve. Az Egyesült Államok Élelmiszer- és Gyógyszerügyi Hivatala (FDA) ugyanazon a napon kiadott egy biztonsági közleményt, amelyben hangsúlyozta az ezekkel a sebezhetőségekkel kapcsolatos kockázatokat. Az FDA kiemelte, hogy a Contec CMS8000 és az átcímkézett verziók, mint például az Epsimed MN-120, jogosulatlan felhasználók által távolról vezérelhetők, ami potenciálisan veszélyeztetheti a betegadatokat és az eszköz működését. A CMS8000 2005 körül került forgalomba, és 510 júniusában kapta meg az FDA 2011(k) engedélyt.

Az FDA kettős ajánlásokat fogalmazott meg az egészségügyi szolgáltatók és a betegek számára: Húzza ki a készüléket a konnektorból, és hagyja abba a használatát, ha távoli monitorozási funkciókra támaszkodik. Másodszor, az FDA csak a helyi monitorozási funkciók használatát javasolta, például a vezeték nélküli képességek letiltását és az ethernet-kábelek kihúzását. A fiziológiai monitorok nem nyújtanak életmentő vagy életfenntartó kezelést, de elengedhetetlenek a veszélyeztetett betegek állapotának monitorozásához. A betegmonitorokat központilag figyelik, hogy azonnal értesítsék az ápolókat a betegek állapotának változásairól. A gyors reagálás lehet a különbség a jó és a rossz kimenetel között.

A CISA által feltárt és az FDA, a Claroty és a Cylera által elemzett Contec CMS8000 sebezhetőségek rávilágítanak az egészségügyi intézményekben a robusztus kiberbiztonsági intézkedések kritikus szükségességére. Azt is kiemelik, hogy a sebezhetőségek inkább a nem biztonságos tervezésből, mintsem rosszindulatból eredhetnek, és a betegbiztonságra és az adatbiztonságra gyakorolt ​​potenciális hatásukat nem szabad alábecsülni. Az egészségügyi szolgáltatóknak gyorsan kell cselekedniük ezen kockázatok enyhítése és orvostechnikai eszközeik integritásának biztosítása érdekében.

Olvasd el a teljes blogbejegyzést a TechNationben. Kattints ide

 

Az orvostechnikai eszközök kiberbiztonságát a HHS létszámleépítése veszélyeztetheti

A képviselőház albizottságának meghallgatása a régi orvosi eszközök kiberbiztonsági védelméről, amelyet beárnyékoltak a HHS-csökkentések.

A Felügyeleti és Vizsgálati Albizottság „Elöregedő technológia, újonnan kialakuló fenyegetések: a kiberbiztonsági sebezhetőségek vizsgálata az örökölt orvosi eszközökben” című megbeszélésén részt vevő bizottság tagjait arról kérdezték, hogy az FDA létszámleépítése milyen hatással van az orvostechnikai eszközök biztonságára. 

„Remek” – mondta Kevin Fu, a Northeastern University Khoury College of Computer Sciences Elektromos és Számítástechnikai Tanszékének professzora. Fu korábban az FDA Eszközök és Radiológiai Egészségügyi Központ (CDRH) Orvosi Eszközök Kiberbiztonsági részlegének beiktató igazgatójaként, valamint a Digitális Egészségügyi Kiválósági Központ kiberbiztonsági programigazgatójaként dolgozott.

Erik Decker, alelnöke és CISO at Intermountain Egészségügy, mondta az FDA a kiberbiztonsági erőfeszítések kulcsfontosságú szereplője.

„Igen, ennek lesz hatása” – mondta Decker. 

Orvosi eszközgyártók, kórházak és az FDA-partner – mondta. A HHS, az FDA és az egészségügyi ágazat számos munkacsoportot hozott létre az Egészségügyi Ágazati Koordinációs Tanács (HSCC) Kiberbiztonsági Munkacsoportja (CWG) keretében.

Decker szerint azonban az elemzések azt mutatják, hogy a kórházakban átlagosan az Egészségügyi Kiberbiztonsági Gyakorlatok (HICP) által javasolt orvostechnikai eszközök biztonságára vonatkozó gyakorlatának csak körülbelül 55%-a valósult meg. 

Decker elmondta, hogy a fenyegetés szereplőinek négy csoportja van: nemzetállami szereplők, szervezett bűnözés, „hacktivisták” és bennfentes fenyegetések. 

Greg Garcia, az Egészségügyi Ágazati Koordinációs Tanács Kiberbiztonsági Munkacsoportjának ügyvezető igazgatója azt mondta, a jövő héten kiadnak egy fehér könyvet arról, hogy az egészségügyi rendszerek miként vannak alulfinanszírozva a kiberbiztonsági védelem pénzügyei és személyzete terén.

Olvassa el a teljes cikket az Egészségügyi Pénzügyi Hírekben. Kattints ide

Hogyan készülhetnek fel a HTM munkatársai a HIPAA biztonsági szabály javasolt módosításaira

Health-ISAC Medical Device Security Blog a TechNationben

Írta: Phil Englert, az egészségügyi ISAC orvosi eszközök biztonságáért felelős alelnöke

 

27. december 2024-én az Egyesült Államok Egészségügyi és Humánszolgáltatási Minisztériuma (HHS) Állampolgári Jogi Hivatala (OCR) közleményt adott ki a javasolt szabályalkotásról (NPRM) az 1996. évi egészségbiztosítási hordozhatóságról és elszámoltathatóságról szóló törvény (HIPAA) biztonsági szabályának módosítására. A cél az elektronikus egészségügyi információkat (ePHI) védő kiberbiztonsági védelem megerősítése. Ez a javasolt frissítés proaktív megközelítést jelent az érzékeny egészségügyi információk védelmében a kiberfenyegetések fokozódásának korszakában.

A javasolt módosítások számos kritikus intézkedést emelnek ki az ePHI védelmének megerősítésére. E szabályok némelyike ​​folyamatorientált, néhány pedig technikai jellegű. E javasolt változtatások beépítése a beszerzési folyamatba segít a szervezeteknek felkészülni a változásokra, amikor azok hatályba lépnek. Itt van egy válogatás, amely kifejezetten az orvosi eszközökre vonatkozik.

Olvassa tovább ezt a cikket a TechNationben. Kattints ide

Orvostechnikai eszközök kockázat-hatáselemzése egészségügyi szolgáltatók számára

Health-ISAC Medical Device Security Blog a TechNationben

Írta: Phil Englert, az egészségügyi ISAC orvosi eszközök biztonságáért felelős alelnöke

Az egészségügyi ágazatban az orvostechnikai eszközök biztonságának és hatékonyságának biztosítása kiemelkedő fontosságú. A kiberbiztonság túl gyakran a sebezhetőségekre összpontosít, és bár fontos, a sebezhetőségi elemzés túl szűk. A sebezhetőségeket a Common Vulnerability Scoring System (CVSS) segítségével értékelik, amely megpróbálja meghatározni, hogy mennyire veszélyes egy sebezhetőség. Ez hasznos információ, de a sebezhetőségi kockázatot a benne rejlő komponensen belül veszi figyelembe, nem pedig magát a terméket. Ez a korlátozott nézet nem veszi figyelembe azokat a kockázatokat, amelyeket a sebezhetőség egy adott környezetre jelent. A kockázatértékelés során figyelembe kell venni a kontextuális tényezőket, mint például az eszköz fontossága, az eszköz használatának módja, vagy a terméken vagy a hálózaton belüli ellenőrzések. Ezen korlátozások miatt az orvostechnikai eszközök kockázat-hatáselemzésének (MDRIA) elvégzése egy kritikus folyamat, amely segít az egészségügyi szolgáltatóknak az orvostechnikai eszközökkel kapcsolatos kockázatok azonosításában, értékelésében és enyhítésében. Ez az esszé az MDRIA lényeges összetevőit vázolja fel.

Olvasd el a teljes blogbejegyzést a TechNationben.  Kattints ide

Az Health-ISAC tanulmánya kiemeli a kiberbiztonsági kötelezettségeket az orvosi eszközök életciklusában, és a rugalmasságra összpontosít

 

A Health-ISAC kiadott egy tanulmányt az orvostechnikai eszközök kiberellenállóságának fenntartásához szükséges feladatokról, és arról, hogy a felelősségek hogyan oszlhatnak át félről pártra a teljes termékben. Ahogy az orvostechnikai eszközök áthaladnak az életciklus-fázisokon, a feladatokért való felelősség átszállhat a gyártókra és a vásárlókra. A Health-ISAC fehér könyv azonosítja, hogy a két fél közötti kommunikáció elengedhetetlen, mivel az eszköz végighalad az életcikluson, így a feladatok összehangoltak, és a terméken belüli biztonsági rések csökkennek.

„A gyártók és egészségügyi szervezetek kiberbiztonsági szerepének feltárása az orvosi eszközök életciklusa során” című fehér könyv azonosította azt az orvostechnikai eszközök négy életciklus-fázison mennek keresztül, és különböző szintű felelősségek hárulnak az orvostechnikai eszközök gyártójára és az egészségügyi ellátást nyújtó szervezetre. Az egészségügyi szolgáltatást nyújtó szervezeteknek (HDO-knak) rendszeresebb kockázatértékelést kell végezniük az élettartam végére (EOL) és a támogatás lejártakor (EOS) annak megállapítására, hogy elfogadják-e a további használat kockázatát. Arra is rámutat, hogy az orvostechnikai eszköz kiberbiztonsági helyzetének fenntartásáért járó felelősség az eszköz életciklusa során folyamatosan fejlődik. 

Olvassa el a teljes cikket az Industrial Cyberben. Kattints ide

A gyártók és egészségügyi szervezetek kiberbiztonsági szerepének feltárása az orvostechnikai eszközök életciklusa során

 

TLP: FEHÉR Ez a jelentés korlátozás nélkül megosztható.
A Health-ISAC tagok feltétlenül töltsék le a jelentés teljes verzióját a Health-ISAC Threat Intelligence Portal (HTIP) portáljáról.

Kulcsfontosságú ítéletek

  • Az orvostechnikai eszközök négy életciklus-fázison mennek keresztül, és különböző szintű felelősségek hárulnak az orvostechnikai eszközök gyártójára és az egészségügyi ellátást nyújtó szervezetre.

  • Az egészségügyi szállító szervezeteknek rendszeresebb kockázatértékelést kell végezniük az élettartam végén és a támogatás végén, hogy megállapítsák, el tudják-e fogadni a további használat kockázatát.

  • A gyártó a fejlesztési szakaszban biztonsági ellenőrzési kategóriákat alkalmaz, hogy biztosítsa az eszköz tervezési, alapértelmezés szerinti és igény szerinti biztonságosságát.

  • A dokumentáció és az átláthatóság kritikus fontosságú a kiberbiztonság fenntartásában. Ez magában foglalja a részletes biztonsági dokumentációt, a szoftveres anyagjegyzéket (SBOM), valamint a sebezhetőségekről és frissítésekről szóló egyértelmű kommunikációt. 

 

Töltse le ezt a fehér könyvet.

A gyártók és egészségügyi szervezetek kiberbiztonsági szerepének feltárása az orvostechnikai eszközök életciklusa során
Méret: 3.2 MB Formátum: PDF

Bevezetés

Ahogy az orvosi eszközök egyre jobban összekapcsolódnak, és internetes és vezeték nélküli kommunikációs képességekkel rendelkeznek, az életciklus szakaszainak és a biztonsági helyzetük megőrzéséhez szükséges feladatok megértése segíteni fogja a szervezeteket az eszközök védelmében a kiberbiztonsági fenyegetésekkel szemben. Az eszköz életciklusa az eszköz különböző szakaszaiból áll, a kutatástól és fejlesztéstől a piacra kerülésig, végül az élettartam végéig és a támogatás végéig. Ahogy az orvostechnikai eszközök áthaladnak az életciklus-fázisokon, a feladatokért való felelősség átszállhat a gyártókra és a vásárlókra. A két fél közötti kommunikáció elengedhetetlen, mivel az eszköz végighalad az életcikluson, így a feladatok összehangoltak, és a terméken belüli biztonsági rések csökkennek.

Ez a dokumentum feltárja azokat a feladatokat, amelyek szükségesek az orvosi eszközök kiberellenállóságának fenntartásához, és azt, hogy a felelősségek hogyan oszlanak át félről pártra a teljes termékben. Az orvostechnikai eszköz kiberbiztonsági helyzetének fenntartásáért járó felelősség az eszköz életciklusa során fejlődik. A folyamat az eszköz gyártójával kezdődik a tervezési és fejlesztési szakaszban, és a klinikai használatot követően egyre inkább az Egészségügyi Szállítási Szervezethez (HDO) fordulhat. A Nemzetközi Orvostechnikai Eszközszabályozók Fóruma (IMDRF) Az örökölt orvosi eszközök kiberbiztonságának alapelvei és gyakorlata négy életciklus-fázisot vázol fel. Az Élelmiszer- és Gyógyszerügyi Hatóság (FDA) követelményeket ír elő az orvostechnikai eszközök kiberbiztonságára vonatkozóan a forgalomba hozatal előtti és utáni útmutatóban. A gyártók a tervezés és a fejlesztés során foglalkozhatnak az eszközök kiberbiztonságával a piac előtti követelményeknek megfelelően. A forgalomba hozatalt követő követelményekre azért van szükség, mert a kiberbiztonsági kockázatok az orvostechnikai eszköz piacra kerülése után is folyamatosan fejlődnek.

Hogyan kezeljük az orvosi eszközök kiberkockázatát – egy életen át

A szakértők tanácsokat adnak a növekvő készletek kezeléséhez, forrásokat a szolgáltatók számára

A HSCC „Health Industry Cybersecurity – Managing Legacy Technology Security” – vagy HIC-MaLTS – útmutatása olyan bevált gyakorlatokat kínál a szervezetek számára, amelyek felhasználhatók az örökölt orvosi technológiák kiberkockázatainak kezelésére – mondta Phil Englert, az Egészségügyi Információs Központ orvostechnikai eszközök biztonságáért felelős alelnöke. Megosztási és elemző központ.

A HIC-MaLTS vállalja az egészségügyi kiberbiztonsági kihívásokat. Például „sok különböző típusú orvostechnikai eszköz és a felhasználásuk helye egyedi kockázati profillal rendelkezik, és többek között diagnosztikai, terápiás, hordható, beültethető és szoftverként használható orvosi eszköz jellemzőkkel rendelkezik. kórházakban, klinikákon és más nem klinikai és otthoni egészségügyi intézményekben” – mondta.

Ebben a cikkben is:

  • az orvostechnikai eszközök négy életciklus-fázisát
  • „rendszernézeti” készletek szegmentálással és hálózati hozzáférés-vezérléssel kombinálva
  • A HSCC szerződésmodell nyelve a Medtech kiberbiztonsághoz 

Olvassa el a Healthcare Infosecurity cikkét itt. Kattints ide

A kiberbiztonság fokozása az egészségügyben: Az egészség szerepe – ISAC

A Health-ISAC-ban való részvétel kevésbé fogékonyabbá teheti az egészségügyi szolgáltatókat feltörések és jogsértések.

 

Az egyre kifinomultabb és elterjedtebb kiberfenyegetések korszakában az egészségügyi szolgáltatóknak egyedülálló kihívásokkal kell szembenézniük az érzékeny betegek adatainak védelme és rendszereik integritásának megőrzése terén. A kiberbűnözés elleni küzdelem egyik hatékony eszköze az Egészségügyi Információmegosztó és Elemző Központban (Health-ISAC) való részvétel. Ez az együttműködő szervezet kevésbé teszi ki az egészségügyi szolgáltatókat a feltörésekkel és jogsértésekkel szemben.

A Health-ISAC-tagság egyik legjelentősebb előnye a valós idejű fenyegetés-felderítéshez való hozzáférés. A kiberfenyegetések gyorsan fejlődnek, és a naprakész információk elengedhetetlenek a hatékony védekezéshez. A Health-ISAC információkat gyűjt és terjeszt a felmerülő fenyegetésekről, sebezhetőségekről és támadási vektorokról. Ez az intelligencia lehetővé teszi az egészségügyi szolgáltatók számára, hogy kezeljék a lehetséges kockázatokat, mielőtt a rosszindulatú szereplők proaktívan kihasználnák azokat. Például, ha egy új zsarolóvírus-törzset észlelnek, amely egészségügyi rendszereket céloz meg, a Health-ISAC gyorsan riaszthatja a tagjait, részletes tájékoztatást adva a fenyegetésről és az ajánlott mérséklési stratégiákról. Ez a gyors információterjesztés különbséget jelenthet egy kisebb incidens és egy jelentős jogsértés között.

A kiberbiztonság nem magányos törekvés.

Olvassa el Phil Englert, a Health-ISAC orvosi eszközök biztonságáért felelős alelnökének teljes blogját a TechNation munkatársától. Kattints ide

AI, zsarolóvírusok és orvosi eszközök: az egészségügy védelme

McCrary Institute Cyber ​​Focus podcast

A műsorvezető Frank Cilluffo interjút készít Errol Weiss-szel, az Egészségügyi Információmegosztási és Elemző Központ (Health ISAC) biztonsági igazgatójával.

Megvitatják az egészségügyi szektorban kialakuló kiberbiztonsági kihívásokat, beleértve a zsarolóvírusokat, az ellátási lánc sebezhetőségét, valamint az orvosi eszközök és a betegek adatainak védelmét szolgáló jobb biztonsági intézkedések kritikus szükségességét. Weiss megosztja az egészségügyi és a pénzügyi szolgáltatások kiberbiztonsága terén szerzett széleskörű tapasztalatait, kiemelve a levont tanulságokat, az információmegosztás szerepét és a proaktív intézkedések fontosságát a kockázatok csökkentésében.

Hallgasd meg a podcastot a YouTube-on Kattints ide

A témák között szerepel:

  • Egészség és Ransomware

  • Kimaradások a kórházakban

  • Egészségügyi kiberköltségvetések

  • Biztonság és megfelelés

  • Az FS tanulságai

  • Jövő technológiája

  • Orvosi eszközök

  • Ágazatokon átívelő információmegosztás

  • Gyakorlati lépések a biztonság felé