Paggalugad sa Mga Tungkulin sa Cybersecurity ng Mga Manufacturer at Mga Organisasyon sa Pangangalagang Pangkalusugan Sa Panahon ng Lifecycle ng Medical Device
TLP: PUTI Maaaring ibahagi ang ulat na ito nang walang paghihigpit.
Tiyaking i-download ng mga Miyembro ng Health-ISAC ang buong bersyon ng ulat mula sa Health-ISAC Threat Intelligence Portal (HTIP)
Mga Pangunahing Hatol
Ang mga medikal na device ay dumaan sa apat na yugto ng lifecycle, na may iba't ibang antas ng mga responsibilidad na iniatang sa tagagawa ng medikal na device at sa organisasyon ng paghahatid ng pangangalagang pangkalusugan.
Ang mga Organisasyon sa Paghahatid ng Pangangalaga sa Pangkalusugan ay dapat na magsagawa ng mas regular na mga pagtatasa ng panganib sa Pagtatapos ng Buhay at Pagtatapos ng Suporta upang matukoy kung maaari nilang tanggapin ang panganib ng patuloy na paggamit.
Ang manufacturer ay nagpapatupad ng Mga Kategorya sa Pagkontrol sa Seguridad sa yugto ng pag-unlad upang matiyak na ang device ay Secure sa pamamagitan ng Disenyo, Secure sa pamamagitan ng Default, at Secure sa pamamagitan ng Demand.
Ang Dokumentasyon at Transparency ay kritikal sa pagpapanatili ng cybersecurity. Kabilang dito ang pagbibigay ng detalyadong dokumentasyon ng seguridad, isang Software Bill of Materials (SBOM), at malinaw na komunikasyon tungkol sa mga kahinaan at update.
Habang nagiging mas magkakaugnay ang mga medikal na device at may mga kakayahan sa internet at wireless na komunikasyon, ang pag-unawa sa mga yugto ng lifecycle at ang mga gawaing kailangan para mapanatili ang kanilang postura sa seguridad ay makakatulong sa mga organisasyon na ma-secure ang mga device laban sa mga banta sa cybersecurity. Ang lifecycle ng device ay ang iba't ibang yugtong pagdadaanan ng isang device, mula sa pananaliksik at pag-unlad, sa merkado, at kalaunan, katapusan ng buhay at pagtatapos ng suporta. Habang gumagalaw ang mga medikal na device sa mga yugto ng lifecycle, ang responsibilidad para sa mga gawain ay maaaring ilipat sa pagitan ng mga tagagawa at ng customer. Ang komunikasyon sa pagitan ng dalawang partido ay mahalaga habang ang device ay gumagalaw sa lifecycle upang ang mga gawain ay magkakaugnay, at ang mga puwang sa seguridad sa loob ng produkto ay nabawasan.
Sinasaliksik ng dokumentong ito ang mga gawaing kailangan upang mapanatili ang cyber resilience ng mga medikal na device at kung paano maaaring lumipat ang mga responsibilidad mula sa partido patungo sa partido sa kabuuan ng kabuuang produkto. Ang responsibilidad para sa pagpapanatili ng cybersecurity posture ng isang medikal na device ay nagbabago sa buong lifecycle ng isang device. Magsisimula ang proseso sa tagagawa ng device sa panahon ng yugto ng disenyo at pag-develop at maaaring lalong lumipat sa Healthcare Delivery Organization (HDO) kapag ginamit nang klinikal. Ang International Medical Device Regulators Forum (IMDRF) Principles and Practices for the Cybersecurity of Legacy Medical Devices ay nagbabalangkas ng apat na lifecycle phase. Ang Food and Drug Administration (FDA) ay nagbibigay ng mga kinakailangan para sa cybersecurity ng mga medikal na device sa pre-at post-market na gabay. Maaaring tugunan ng mga tagagawa ang cybersecurity ng isang device sa panahon ng disenyo at pag-develop gamit ang mga kinakailangan sa premarket. Ang mga kinakailangan sa post-market ay kinakailangan dahil sa mga panganib sa cybersecurity na patuloy na nagbabago pagkatapos maabot ng medikal na aparato ang merkado.
