معيار IEC 81001-5-1: أمن وكفاءة وسلامة أنظمة المعلومات الصحية - الأنشطة في دورة حياة المنتج

يصف معيار "IEC 81001-5-1 سلامة وفعالية وأمان برامج الرعاية الصحية وأنظمة معلومات الرعاية الصحية - الجزء 5-1: السلامة - الأنشطة في دورة حياة المنتج"، الذي وضعته اللجنة الكهروتقنية الدولية (IEC)، متطلبات دورة حياة تطوير وصيانة برامج الرعاية الصحية اللازمة لدعم الامتثال لمعيار IEC 62443-4-1. وتراعي هذه المتطلبات أيضًا الاحتياجات الخاصة ببرامج الرعاية الصحية.

توفر مجموعة العمليات والأنشطة والمهام الموضحة في هذا المعيار إطارًا مشتركًا لعمليات دورة حياة برمجيات الرعاية الصحية الآمنة. والهدف هو تعزيز الأمن السيبراني لبرمجيات الرعاية الصحية من خلال تحديد أنشطة ومهام محددة ضمن عمليات دورة حياة هذه البرمجيات، وتحسين أمن هذه العمليات.

المعيار الدولي IEC 81001-5-1 هو معيار دولي يُعنى بالأمن السيبراني لبرمجيات الرعاية الصحية وأنظمة معلوماتها. يُحدد هذا المعيار العمليات والأنشطة والمهام التي يجب على المؤسسات دمجها في دورة تطوير وصيانة برمجيات الرعاية الصحية. هدفه الأساسي هو تحسين الأمن السيبراني مع الحفاظ على توازن مناسب بين الأمن والفعالية والسلامة.

يُعدّ معيار IEC 81001-5-1 معيارًا أساسيًا لدورة حياة البرمجيات الآمنة في مجال الرعاية الصحية. ويُكيّف هذا المعيار ممارسات الأمن السيبراني المرتبطة بمعيار IEC 62443-4-1 مع المتطلبات والمخاطر الخاصة ببرمجيات الرعاية الصحية.

ينطبق معيار IEC 81001-5-1 على نطاق واسع من برامج الرعاية الصحية، بما في ذلك البرامج المدمجة في الأجهزة الطبية والبرامج التي تُستخدم كأجهزة طبية (SaMD). ويُعرَّف هذا المعيار بأنه معيار إجرائي يغطي برامج الرعاية الصحية، بما في ذلك البرامج المدمجة في الأجهزة الطبية.

يدمج معيار IEC 81001-5-1 أنشطة الأمن طوال دورة حياة المنتج بأكملها، بدلاً من التركيز فقط على اختبار الأمن السيبراني في نهاية عملية التطوير.

تتزايد اعتماد برامج الرعاية الصحية على الشبكات، والخدمات السحابية، وأنظمة معلومات المستشفيات، والأجهزة المحمولة، والمعدات الطبية المتصلة. ونتيجةً لذلك، قد تؤثر ثغرات الأمن السيبراني سلبًا ليس فقط على خصوصية البيانات، بل أيضًا على سلامة وكفاءة وظائف الرعاية الصحية.

يُعد معيار IEC 81001-5-1 مهمًا لأنه يساعد الشركات المصنعة وشركات البرمجيات في المجالات التالية:

• تحديد مخاطر الأمن السيبراني أثناء التطوير.
• إنشاء ممارسات تطوير آمنة.
• إدارة المخاطر المتعلقة بالسلامة طوال دورة حياة المنتج.
• التحقق من إعدادات البرامج والتغييرات.
• معالجة مشكلات أمن البرمجيات.
• الحفاظ على السلامة بعد إطلاق المنتج
• لإثبات أن الأمن السيبراني يؤخذ في الاعتبار بشكل منهجي.

يهدف هذا المعيار إلى تعزيز الأمن السيبراني لبرامج الرعاية الصحية من خلال تحديد الأنشطة والمهام المناسبة ضمن عمليات دورة حياة برامج الرعاية الصحية.

ينظم معيار IEC 81001-5-1 المتطلبات حول عمليات دورة حياة البرمجيات الرئيسية المختلفة. وتشمل المجالات الرئيسية ما يلي:

• المتطلبات العامة: تُشكّل المتطلبات العامة الأساس لتنفيذ أنشطة دورة حياة البرمجيات الآمنة. وتشمل هذه المتطلبات جوانب متعلقة بالعمليات التنظيمية، وإدارة الجودة، وإدارة المخاطر. والهدف هو ضمان التعامل مع الأمن السيبراني ليس كنشاط منفصل يُنفّذ بعد التطوير فقط، بل كجزء لا يتجزأ من عملية تطوير البرمجيات.
• عملية تطوير البرمجيات: تتناول هذه العملية الأنشطة الأمنية التي يجب تضمينها أثناء عملية التطوير. تشمل الأنشطة النموذجية تحديد المتطلبات الأمنية، وتقييم التهديدات ونقاط الضعف، وتصميم ضوابط أمنية مناسبة، وتنفيذ التدابير الأمنية، والتحقق من استيفاء المتطلبات الأمنية. يساعد هذا النهج على منع دخول الثغرات الأمنية إلى المنتج منذ البداية.
• عملية صيانة البرمجيات: لا تنتهي مهمة الأمن السيبراني بمجرد إصدار البرمجيات، إذ يمكن اكتشاف الثغرات الأمنية حتى بعد سنوات من إطلاق المنتج. لذا، يتناول معيار IEC 81001-5-1 أنشطة الأمن أثناء صيانة البرمجيات، بما في ذلك التغييرات والتحديثات والتصحيحات والتعديلات الأخرى. ويُعدّ هذا الأمر بالغ الأهمية، خاصةً بالنسبة للمنتجات الطبية التي قد تبقى قيد التشغيل لسنوات عديدة.
• عملية إدارة مخاطر الأمن السيبراني: تُعدّ إدارة مخاطر الأمن السيبراني عنصرًا أساسيًا في هذا المعيار. تحتاج المؤسسات إلى تحديد التهديدات السيبرانية المحتملة، وتحديد كيفية تأثير هذه التهديدات على البرمجيات، وبالتالي على أمنها وفعاليتها. قد تشمل إدارة مخاطر الأمن السيبراني ما يلي:
  • تحديد التهديدات
  • تحليل نقاط الضعف
  • تقدير المخاطر
  • إدارة المخاطر
  • تقييم المخاطر المتبقية.
  • مراقبة المخاطر الأمنية بمرور الوقت.
• عملية إدارة تكوين البرامج: تُمكّن إدارة تكوين البرامج المؤسسة من معرفة البرامج المثبتة، والإصدارات المتاحة، والتغييرات التي طرأت عليها. يكتسب هذا الأمر أهمية خاصة عندما يحتوي جهاز طبي على مكونات برمجية متعددة أو برامج من جهات خارجية. تدعم إدارة البرامج تحديثات البرامج المُتحكَّم بها، وتُسهّل تحديد ما إذا كان إصدار معين مُتأثرًا بثغرة أمنية مُكتشفة حديثًا.
• عملية حل مشكلات البرمجيات: يتناول هذا المعيار أيضًا الحل المنهجي لمشكلات البرمجيات. فعند اكتشاف ثغرة أمنية أو خلل برمجي، تحتاج المؤسسة إلى عملية مُدمجة للتحقيق في المشكلة وتقييمها وتصحيحها وتوثيقها. وهذا يوفر آلية مُنظمة للاستجابة لحوادث الأمن السيبراني وثغرات البرمجيات.

يُعدّ نمذجة التهديدات موضوعًا رئيسيًا في معيار IEC 81001-5-1. يتضمن هذا المعيار ملحقًا معلوماتيًا مُخصصًا لنمذجة التهديدات. تُساعد نمذجة التهديدات المطورين على دراسة كيفية تفاعل المُهاجم مع البرامج، وتحديد الواجهات أو الوظائف المُعرّضة للاختراق، وتحديد ضوابط الأمان المُناسبة. على سبيل المثال، قد يحتوي جهاز طبي مُتصل على ما يلي:

• واجهات الشبكة
• كابلوسوز إيليتيشيم
• مصادقة المستخدم
• اتصالات السحابة
• مع وسائط قابلة للإزالة
• آليات تحديث البرامج
• واجهات لأنظمة معلومات المستشفيات

كل من هذه الأمور يمكن أن يشكل مخاطر محتملة على الأمن السيبراني يجب أخذها في الاعتبار أثناء التطوير.

تتمثل الفوائد الرئيسية لتطبيق معيار IEC 81001-5-1 فيما يلي:

• تعزيز الأمن السيبراني: بدلاً من التعامل مع الأمن كنشاط اختبار نهائي، يتم دمجه في عملية التطوير والصيانة بأكملها.
• الكشف المبكر عن نقاط الضعف: يمكن لنمذجة التهديدات وإدارة المخاطر الأمنية تحديد نقاط الضعف قبل طرح المنتجات في السوق.
• تحسين إدارة الثغرات الأمنية: تساعد عمليات الصيانة واستكشاف الأخطاء وإصلاحها المحددة المؤسسات على الاستجابة للثغرات الأمنية المكتشفة حديثًا.
• دعم تنظيمي إضافي: تعتبر إدارة الغذاء والدواء الأمريكية (FDA) هذا المعيار معيارًا توافقيًا للأجهزة الطبية.
• تعزيز إمكانية التتبع: تساعد عمليات إدارة التكوين وإدارة المخاطر وحل المشكلات المؤسسات على الاحتفاظ بأدلة حول كيفية تحديد مشكلات الأمن السيبراني ومعالجتها.

ينطبق معيار IEC 81001-5-1 تحديدًا على ما يلي:

• مصنعي الأجهزة الطبية
• مطورو البرمجيات كأجهزة طبية (SaMD)
• مطورو برامج الرعاية الصحية
• الشركات المصنعة للمعدات الطبية ذات الصلة
• المنظمات التي تقوم بتطوير برامج المستشفيات أو العيادات
• موردي البرامج ومكاملين الأنظمة
• المنظمات المسؤولة عن صيانة برامج الرعاية الصحية

نطاقها واسع بما يكفي لتغطية برامج الرعاية الصحية، ويتجاوز مجرد نوع واحد من الأجهزة الطبية.

على مدى سنوات عديدة، دأبت مؤسستنا، بفضل كوادرها المؤهلة وذات الخبرة، على فهم احتياجات عملائها، وتوفير خدمات الاختبار المتقدمة التي تتطلبها، ومساعدتهم في إنشاء أنظمة الإدارة وتطبيقها وتحسينها. وفي هذا الإطار، نقدم أيضًا خدمات اختبار متوافقة مع معيار IEC 81001-5-1.