TLP: TRẮNG Báo cáo này có thể được chia sẻ mà không bị hạn chế.
Các thành viên của Health-ISAC hãy tải xuống phiên bản đầy đủ của báo cáo từ Cổng thông tin tình báo về mối đe dọa của Health-ISAC (HTIP)
Phán quyết chính
Các thiết bị y tế trải qua bốn giai đoạn vòng đời, với các mức độ trách nhiệm khác nhau được giao cho nhà sản xuất thiết bị y tế và tổ chức cung cấp dịch vụ chăm sóc sức khỏe.
Các tổ chức cung cấp dịch vụ chăm sóc sức khỏe nên tiến hành đánh giá rủi ro thường xuyên hơn khi kết thúc vòng đời và kết thúc hỗ trợ để xác định xem họ có thể chấp nhận rủi ro khi tiếp tục sử dụng hay không.
Nhà sản xuất triển khai các Danh mục kiểm soát bảo mật trong giai đoạn phát triển để đảm bảo thiết bị Bảo mật theo Thiết kế, Bảo mật theo Mặc định và Bảo mật theo Yêu cầu.
Tài liệu và tính minh bạch rất quan trọng trong việc duy trì an ninh mạng. Điều này bao gồm cung cấp tài liệu bảo mật chi tiết, Danh mục vật liệu phần mềm (SBOM) và truyền đạt rõ ràng về các lỗ hổng và bản cập nhật.
Khi các thiết bị y tế ngày càng được kết nối với nhau và có khả năng truyền thông không dây và internet, việc hiểu các giai đoạn vòng đời và các nhiệm vụ cần thiết để duy trì trạng thái bảo mật của chúng sẽ giúp các tổ chức bảo vệ các thiết bị chống lại các mối đe dọa an ninh mạng. Vòng đời thiết bị là các giai đoạn khác nhau mà một thiết bị sẽ trải qua, từ nghiên cứu và phát triển, trên thị trường và cuối cùng là kết thúc vòng đời và kết thúc hỗ trợ. Khi các thiết bị y tế trải qua các giai đoạn vòng đời, trách nhiệm đối với các nhiệm vụ có thể được chuyển giao giữa các nhà sản xuất và khách hàng. Việc giao tiếp giữa hai bên là điều cần thiết khi thiết bị trải qua vòng đời để các nhiệm vụ được phối hợp và các khoảng cách bảo mật trong sản phẩm được giảm thiểu.
Tài liệu này khám phá các nhiệm vụ cần thiết để duy trì khả năng phục hồi mạng của các thiết bị y tế và cách các trách nhiệm có thể chuyển từ bên này sang bên khác trong toàn bộ sản phẩm. Trách nhiệm duy trì tư thế an ninh mạng của thiết bị y tế phát triển trong suốt vòng đời của thiết bị. Quy trình bắt đầu với nhà sản xuất thiết bị trong giai đoạn thiết kế và phát triển và có thể ngày càng chuyển sang Tổ chức cung cấp dịch vụ chăm sóc sức khỏe (HDO) khi được sử dụng lâm sàng. Các nguyên tắc và thực hành của Diễn đàn quản lý thiết bị y tế quốc tế (IMDRF) về an ninh mạng của các thiết bị y tế cũ phác thảo bốn giai đoạn vòng đời. Cục Quản lý Thực phẩm và Dược phẩm (FDA) đưa ra các yêu cầu về an ninh mạng của các thiết bị y tế trong hướng dẫn trước và sau khi đưa ra thị trường. Các nhà sản xuất có thể giải quyết vấn đề an ninh mạng của thiết bị trong quá trình thiết kế và phát triển bằng cách sử dụng các yêu cầu trước khi đưa ra thị trường. Các yêu cầu sau khi đưa ra thị trường là cần thiết do rủi ro an ninh mạng tiếp tục phát triển sau khi thiết bị y tế ra mắt thị trường.
