TLP: BEYAZ Bu rapor herhangi bir kısıtlama olmaksızın paylaşılabilir.
Health-ISAC Üyeleri, raporun tam sürümünü Health-ISAC Tehdit İstihbarat Portalı'ndan (HTIP) indirdiğinizden emin olun.
Temel Yargılar
Tıbbi cihazlar dört yaşam döngüsü aşamasından geçer ve bu aşamalarda tıbbi cihaz üreticisine ve sağlık hizmeti sunan kuruluşa farklı düzeylerde sorumluluklar yüklenir.
Sağlık Hizmeti Sunum Kuruluşları, kullanım süresinin sonuna ve desteğin sonuna gelindiğinde, devam eden kullanımın riskini kabul edip edemeyeceklerini belirlemek için daha düzenli risk değerlendirmeleri yapmalıdır.
Üretici, cihazın Tasarımda Güvenli, Varsayılan Olarak Güvenli ve Talep Üzerine Güvenli olduğundan emin olmak için geliştirme aşamasında Güvenlik Kontrol Kategorileri uygular.
Belgeleme ve Şeffaflık, siber güvenliğin sürdürülmesinde kritik öneme sahiptir. Buna ayrıntılı güvenlik belgeleri, bir Yazılım Malzeme Listesi (SBOM) ve güvenlik açıkları ve güncellemeler hakkında net iletişim sağlanması dahildir.
Tıbbi cihazlar daha fazla birbirine bağlı hale geldikçe ve internet ve kablosuz iletişim yeteneklerine sahip oldukça, yaşam döngüsü aşamalarını ve güvenlik duruşlarını sürdürmek için gereken görevleri anlamak, kuruluşların cihazları siber güvenlik tehditlerine karşı güvence altına almasına yardımcı olacaktır. Cihaz yaşam döngüsü, bir cihazın araştırma ve geliştirmeden, pazara sunulmasından ve sonunda kullanım ömrünün sonuna ve desteğinin sonuna kadar geçeceği çeşitli aşamalardır. Tıbbi cihazlar yaşam döngüsü aşamalarından geçerken, görev sorumluluğu üreticiler ve müşteri arasında aktarılabilir. Cihaz yaşam döngüsü boyunca ilerledikçe, görevlerin koordine edilmesi ve ürün içindeki güvenlik açıklarının azaltılması için iki taraf arasındaki iletişim önemlidir.
Bu belge, tıbbi cihazların siber dayanıklılığını sürdürmek için gereken görevleri ve sorumlulukların toplam ürün boyunca taraftan tarafa nasıl değişebileceğini inceler. Bir tıbbi cihazın siber güvenlik duruşunu sürdürme sorumluluğu, bir cihazın yaşam döngüsü boyunca gelişir. Süreç, tasarım ve geliştirme aşamasında cihaz üreticisiyle başlar ve klinik kullanımda giderek Sağlık Hizmeti Sunum Örgütü'ne (HDO) kayabilir. Uluslararası Tıbbi Cihaz Düzenleyicileri Forumu (IMDRF) Eski Tıbbi Cihazların Siber Güvenliği için İlkeler ve Uygulamalar dört yaşam döngüsü aşamasını ana hatlarıyla belirtir. Gıda ve İlaç Dairesi (FDA), pazar öncesi ve sonrası kılavuzda tıbbi cihazların siber güvenliği için gereklilikler sağlar. Üreticiler, pazar öncesi gereklilikleri kullanarak tasarım ve geliştirme sırasında bir cihazın siber güvenliğini ele alabilir. Tıbbi cihaz pazara ulaştıktan sonra siber güvenlik risklerinin gelişmeye devam etmesi nedeniyle pazar sonrası gerekliliklere ihtiyaç duyulur.
