IEC 81001-5-1 Keamanan, Efisiensi, dan Keselamatan Sistem Informasi Kesehatan - Aktivitas dalam Siklus Hidup Produk

Standar “IEC 81001-5-1 Keselamatan, efektivitas, dan keamanan perangkat lunak perawatan kesehatan dan sistem informasi perawatan kesehatan - Bagian 5-1: Keselamatan - Aktivitas dalam siklus hidup produk”, yang dikembangkan oleh Komisi Elektroteknik Internasional (IEC), menjelaskan persyaratan siklus hidup untuk pengembangan dan pemeliharaan perangkat lunak perawatan kesehatan yang diperlukan untuk mendukung kepatuhan terhadap standar IEC 62443-4-1. Persyaratan ini juga mempertimbangkan kebutuhan spesifik perangkat lunak perawatan kesehatan.

Rangkaian proses, aktivitas, dan tugas yang dijelaskan dalam standar ini menyediakan kerangka kerja umum untuk proses siklus hidup perangkat lunak perawatan kesehatan yang aman. Tujuannya adalah untuk meningkatkan keamanan siber perangkat lunak perawatan kesehatan dengan mendefinisikan aktivitas dan tugas spesifik dalam proses siklus hidup perangkat lunak perawatan kesehatan dan dengan meningkatkan keamanan proses-proses tersebut.

IEC 81001-5-1 adalah standar internasional yang membahas keamanan siber perangkat lunak perawatan kesehatan dan sistem informasi perawatan kesehatan. Standar ini mendefinisikan proses, aktivitas, dan tugas yang harus diintegrasikan organisasi ke dalam siklus hidup pengembangan dan pemeliharaan perangkat lunak perawatan kesehatan. Tujuan utamanya adalah untuk meningkatkan keamanan siber sambil menjaga keseimbangan yang tepat antara keamanan, efektivitas, dan keselamatan.

Standar IEC 81001-5-1 pada dasarnya adalah standar siklus hidup perangkat lunak yang aman untuk sektor kesehatan. Standar ini mengadaptasi praktik keamanan siber yang terkait dengan standar IEC 62443-4-1 ke persyaratan dan risiko spesifik perangkat lunak kesehatan.

Standar IEC 81001-5-1 berlaku untuk berbagai macam perangkat lunak perawatan kesehatan, termasuk perangkat lunak yang terintegrasi ke dalam perangkat medis dan perangkat lunak sebagai perangkat medis (SaMD). Standar ini didefinisikan sebagai standar proses yang mencakup perangkat lunak perawatan kesehatan, termasuk perangkat lunak yang terintegrasi ke dalam perangkat medis.

Standar IEC 81001-5-1 mengintegrasikan aktivitas keamanan di seluruh siklus hidup produk, alih-alih hanya berfokus pada pengujian keamanan siber di akhir pengembangan.

Perangkat lunak perawatan kesehatan semakin banyak berkomunikasi melalui jaringan, layanan cloud, sistem informasi rumah sakit, perangkat seluler, dan peralatan medis yang terhubung. Akibatnya, kerentanan keamanan siber berpotensi memengaruhi tidak hanya privasi data tetapi juga keamanan dan efektivitas fungsi perawatan kesehatan.

Standar IEC 81001-5-1 penting karena membantu produsen dan perusahaan perangkat lunak dalam bidang-bidang berikut:

• Mengidentifikasi risiko keamanan siber selama pengembangan.
• Menciptakan praktik pengembangan yang aman.
• Mengelola risiko terkait keselamatan sepanjang siklus hidup produk.
• Memeriksa konfigurasi dan perubahan perangkat lunak.
• Menangani masalah keamanan perangkat lunak.
• Menjaga keamanan setelah produk diluncurkan
• Untuk menunjukkan bahwa keamanan siber dipertimbangkan secara sistematis.

Tujuan dari standar ini adalah untuk meningkatkan keamanan siber perangkat lunak perawatan kesehatan dengan mendefinisikan aktivitas dan tugas yang tepat dalam proses siklus hidup perangkat lunak perawatan kesehatan.

Standar IEC 81001-5-1 mengatur persyaratan seputar berbagai proses siklus hidup perangkat lunak utama. Area utama meliputi:

• Persyaratan umum: Persyaratan umum menjadi dasar untuk mengimplementasikan aktivitas siklus hidup perangkat lunak yang aman. Ini mencakup aspek-aspek yang berkaitan dengan proses organisasi, manajemen kualitas, dan manajemen risiko. Tujuannya adalah untuk memastikan bahwa keamanan siber tidak diperlakukan sebagai aktivitas terpisah yang hanya dilakukan setelah pengembangan, tetapi sebagai bagian integral dari pengembangan perangkat lunak.
• Proses pengembangan perangkat lunak: Proses ini membahas aktivitas keamanan yang perlu disertakan selama pengembangan. Aktivitas tipikal meliputi identifikasi persyaratan keamanan, evaluasi ancaman dan kerentanan, perancangan kontrol keamanan yang tepat, implementasi langkah-langkah keamanan, dan verifikasi bahwa persyaratan keamanan telah terpenuhi. Pendekatan ini membantu mencegah kerentanan keamanan masuk ke dalam produk sejak awal.
• Proses pemeliharaan perangkat lunak: Keamanan siber tidak berakhir saat perangkat lunak dirilis. Kerentanan dapat ditemukan bahkan bertahun-tahun setelah produk diluncurkan. Oleh karena itu, standar IEC 81001-5-1 membahas aktivitas keamanan selama pemeliharaan perangkat lunak, termasuk perubahan, pembaruan, tambalan, dan modifikasi lainnya. Hal ini sangat penting untuk produk medis yang mungkin tetap beroperasi selama bertahun-tahun.
• Proses manajemen risiko keamanan: Manajemen risiko keamanan merupakan komponen kunci dari standar ini. Organisasi perlu mengidentifikasi potensi ancaman keamanan siber dan menentukan bagaimana ancaman ini dapat memengaruhi perangkat lunak dan pada akhirnya keamanan serta efektivitas. Manajemen risiko keamanan dapat mencakup:
  • Identifikasi ancaman
  • Analisis kerentanan
  • Estimasi risiko
  • Pengendalian risiko
  • Penilaian terhadap risiko yang tersisa.
  • Memantau risiko keamanan dari waktu ke waktu.
• Proses manajemen konfigurasi perangkat lunak: Manajemen konfigurasi perangkat lunak memungkinkan suatu organisasi untuk mengetahui perangkat lunak mana yang terpasang, versi mana yang tersedia, dan perubahan apa yang telah dilakukan. Hal ini sangat penting terutama ketika perangkat medis berisi banyak komponen perangkat lunak atau perangkat lunak pihak ketiga. Manajemen perangkat lunak mendukung pembaruan perangkat lunak yang terkontrol dan mempermudah penentuan apakah versi tertentu terpengaruh oleh kerentanan yang baru ditemukan.
• Proses penyelesaian masalah perangkat lunak: Standar ini juga membahas penyelesaian masalah perangkat lunak secara sistematis. Ketika kerentanan atau bug perangkat lunak teridentifikasi, organisasi membutuhkan proses bawaan untuk menyelidiki, mengevaluasi, memperbaiki, dan mendokumentasikan masalah tersebut. Ini menyediakan mekanisme terstruktur untuk menanggapi insiden keamanan siber dan kerentanan perangkat lunak.

Topik utama yang terkait dengan standar IEC 81001-5-1 adalah pemodelan ancaman. Standar ini mencakup lampiran informatif yang khusus membahas pemodelan ancaman. Pemodelan ancaman membantu pengembang mempertimbangkan bagaimana penyerang dapat berinteraksi dengan perangkat lunak, mengidentifikasi antarmuka atau fungsi yang rentan, dan menentukan kontrol keamanan yang tepat. Misalnya, perangkat medis yang terhubung mungkin memiliki hal-hal berikut:

• Antarmuka jaringan
• komunikasi nirkabel
• Autentikasi pengguna
• Koneksi cloud
• Dengan media yang dapat dilepas
• Mekanisme pembaruan perangkat lunak
• Antarmuka ke sistem informasi rumah sakit

Masing-masing dari hal ini dapat menimbulkan potensi risiko keamanan siber yang perlu dipertimbangkan selama pengembangan.

Manfaat utama dari penerapan standar IEC 81001-5-1 adalah sebagai berikut:

• Keamanan siber yang ditingkatkan: Alih-alih memperlakukan keamanan sebagai aktivitas pengujian akhir, keamanan diintegrasikan ke dalam seluruh proses pengembangan dan pemeliharaan.
• Deteksi kerentanan lebih awal: Pemodelan ancaman dan manajemen risiko keamanan dapat mengidentifikasi titik lemah sebelum produk dirilis ke pasar.
• Manajemen kerentanan yang lebih baik: Proses pemeliharaan dan pemecahan masalah yang terdefinisi membantu organisasi merespons kerentanan yang baru ditemukan.
• Dukungan regulasi lebih lanjut: Badan Pengawas Obat dan Makanan AS (FDA) menganggap standar ini sebagai standar konsensus untuk perangkat medis.
• Peningkatan kemampuan pelacakan: Manajemen konfigurasi, manajemen risiko, dan proses pemecahan masalah membantu organisasi mempertahankan bukti tentang bagaimana masalah keamanan siber diidentifikasi dan ditangani.

Standar IEC 81001-5-1 secara khusus berlaku untuk hal-hal berikut:

• Pabrikan Alat Kesehatan
• Pengembang Perangkat Lunak sebagai Perangkat Medis (SaMD)
• Pengembang perangkat lunak perawatan kesehatan
• Produsen peralatan medis terkait
• Organisasi yang mengembangkan perangkat lunak rumah sakit atau klinik.
• Pemasok perangkat lunak dan integrator sistem
• Organisasi yang bertanggung jawab atas pemeliharaan perangkat lunak perawatan kesehatan.

Cakupannya cukup luas untuk meliputi perangkat lunak perawatan kesehatan, melampaui hanya satu jenis perangkat medis.

Selama bertahun-tahun, organisasi kami, dengan staf yang kompeten dan berpengalaman, telah memahami kebutuhan klien, menyediakan layanan pengujian canggih yang mereka butuhkan, dan membantu mereka dalam pembentukan, implementasi, dan peningkatan sistem manajemen. Dalam kerangka kerja ini, kami juga menyediakan layanan pengujian yang sesuai dengan standar IEC 81001-5-1.