IEC 81001-5-1 Безбедност, ефикасност и сигурност на здравствените информациски системи - Активности во животниот циклус на производот

Стандардот „IEC 81001-5-1 Безбедност, ефикасност и сигурност на софтвер за здравствена заштита и информациски системи за здравствена заштита - Дел 5-1: Безбедност - Активности во животниот циклус на производот“, развиен од Меѓународната електротехничка комисија (IEC), ги опишува барањата за животниот циклус за развој и одржување на софтвер за здравствена заштита неопходен за поддршка на усогласеноста со стандардот IEC 62443-4-1. Овие барања, исто така, ги земаат предвид специфичните потреби на софтверот за здравствена заштита.

Збирот на процеси, активности и задачи опишани во овој стандард обезбедува заедничка рамка за безбедни процеси на животниот циклус на здравствениот софтвер. Целта е да се подобри сајбер безбедноста на здравствениот софтвер преку дефинирање на специфични активности и задачи во рамките на процесите на животниот циклус на здравствениот софтвер и преку подобрување на безбедноста на овие процеси.

IEC 81001-5-1 е меѓународен стандард кој се однесува на сајбер безбедноста на здравствениот софтвер и информациските системи за здравство. Овој стандард ги дефинира процесите, активностите и задачите што организациите мора да ги вклучат во животниот циклус на развој и одржување на здравствениот софтвер. Неговата примарна цел е да ја подобри сајбер безбедноста, а воедно да одржува соодветна рамнотежа помеѓу безбедноста, ефикасноста и сигурноста.

Стандардот IEC 81001-5-1 е во суштина стандард за безбеден животен циклус на софтверот за здравствена заштита. Овој стандард ги прилагодува практиките за сајбер безбедност поврзани со стандардот IEC 62443-4-1 на специфичните барања и ризици на софтверот за здравствена заштита.

Стандардот IEC 81001-5-1 е применлив за широк спектар на софтвер за здравствена заштита, вклучувајќи софтвер интегриран во медицински помагала и софтвер како медицински уред (SaMD). Овој стандард е дефиниран како процесен стандард што опфаќа софтвер за здравствена заштита, вклучувајќи софтвер интегриран во медицински помагала.

Стандардот IEC 81001-5-1 ги интегрира безбедносните активности во текот на целиот животен циклус на производот, наместо да се фокусира исклучиво на тестирање на сајбер безбедноста на крајот од развојот.

Здравствениот софтвер сè повеќе комуницира преку мрежи, услуги во облак, болнички информациски системи, мобилни уреди и поврзана медицинска опрема. Како резултат на тоа, ранливостите во сајбер безбедноста потенцијално можат да влијаат не само врз приватноста на податоците, туку и врз безбедноста и ефикасноста на здравствените функции.

Стандардот IEC 81001-5-1 е важен бидејќи им помага на производителите и софтверските компании во следниве области:

• Идентификување на ризиците од сајбер безбедноста за време на развојот.
• Создавање безбедни практики за развој.
• Управување со ризици поврзани со безбедноста во текот на целиот животен циклус на производот.
• Проверка на конфигурациите и промените на софтверот.
• Решавање на безбедносни проблеми со софтверот.
• Одржување на безбедноста по лансирањето на производот
• Да се ​​покаже дека сајбер безбедноста систематски се зема предвид.

Целта на овој стандард е да се подобри сајбер безбедноста на здравствениот софтвер преку дефинирање на соодветни активности и задачи во рамките на процесите на животниот циклус на здравствениот софтвер.

Стандардот IEC 81001-5-1 ги организира барањата околу различни клучни процеси на животниот циклус на софтверот. Клучните области вклучуваат:

• Општи барања: Општите барања ја формираат основата за спроведување на активности за безбеден животен циклус на софтверот. Тие вклучуваат аспекти поврзани со организациските процеси, управувањето со квалитетот и управувањето со ризици. Целта е да се обезбеди дека сајбер безбедноста не се третира како посебна активност што се извршува само по развојот, туку како составен дел од развојот на софтверот.
• Процес на развој на софтвер: Овој процес се однесува на безбедносните активности што треба да се вклучат за време на развојот. Типичните активности вклучуваат идентификување на безбедносните барања, евалуација на заканите и ранливостите, дизајнирање соодветни безбедносни контроли, спроведување безбедносни мерки и проверка дали се исполнети безбедносните барања. Овој пристап помага да се спречат безбедносните ранливости да влезат во производот уште од самиот почеток.
• Процес на одржување на софтвер: Кибербезбедноста не завршува кога софтверот е објавен. Ранливостите може да се откријат дури и години по лансирањето на производот. Затоа, стандардот IEC 81001-5-1 се однесува на безбедносните активности за време на одржувањето на софтверот, вклучувајќи промени, ажурирања, закрпи и други модификации. Ова е особено важно за медицинските производи кои можат да останат оперативни многу години.
• Процес на управување со безбедносни ризици: Управувањето со безбедносни ризици е клучна компонента на овој стандард. Организациите треба да ги идентификуваат потенцијалните закани за сајбер безбедноста и да утврдат како овие закани би можеле да влијаат на софтверот и на крајот на безбедноста и ефикасноста. Управувањето со безбедносни ризици може да вклучува:
  • Идентификација на закана
  • Анализа на ранливост
  • Проценка на ризик
  • Контрола на ризик
  • Проценка на преостанатите ризици.
  • Следење на безбедносните ризици со текот на времето.
• Процес на управување со конфигурацијата на софтверот: Управувањето со конфигурацијата на софтверот ѝ овозможува на организацијата да знае кој софтвер е инсталиран, кои верзии се достапни и кои промени се направени. Ова е особено важно кога медицинскиот уред содржи повеќе софтверски компоненти или софтвер од трети страни. Управувањето со софтверот поддржува контролирани ажурирања на софтверот и го олеснува утврдувањето дали одредена верзија е засегната од новооткриена ранливост.
• Процес на решавање на софтверски проблеми: Овој стандард, исто така, се однесува на систематско решавање на софтверски проблеми. Кога ќе се идентификува ранливост или софтверска грешка, на организацијата ѝ е потребен вграден процес за истражување, евалуација, корекција и документирање на проблемот. Ова обезбедува структуриран механизам за реагирање на инциденти поврзани со сајбер безбедноста и софтверски ранливости.

Клучна тема поврзана со стандардот IEC 81001-5-1 е моделирањето на закани. Овој стандард вклучува информативен додаток посветен на моделирањето на закани. Моделирањето на закани им помага на програмерите да размислат како напаѓачот може да комуницира со софтверот, да идентификува ранливи интерфејси или функции и да одреди соодветни безбедносни контроли. На пример, поврзан медицински уред може да ги има следниве карактеристики:

• Мрежни интерфејси
• Безжична комуникација
• Автентикација на корисник
• Врски во облак
• Со отстранлив медиум
• Механизми за ажурирање на софтвер
• Интерфејси со болнички информациски системи

Секое од овие може да претставува потенцијални ризици по сајбер безбедноста што треба да се земат предвид за време на развојот.

Главните придобивки од имплементацијата на стандардот IEC 81001-5-1 се следниве:

• Подобрена сајбер безбедност: Наместо безбедноста да се третира како последна активност за тестирање, таа е интегрирана во целиот процес на развој и одржување.
• Порано откривање на ранливости: Моделирањето на закани и управувањето со безбедносниот ризик можат да идентификуваат слаби точки пред производите да бидат пуштени на пазарот.
• Подобрено управување со ранливости: Дефинираните процеси за одржување и решавање проблеми им помагаат на организациите да реагираат на новооткриени ранливости.
• Понатамошна регулаторна поддршка: Администрацијата за храна и лекови на САД (FDA) го смета овој стандард за консензусен стандард за медицински помагала.
• Подобрена следливост: Управувањето со конфигурацијата, управувањето со ризици и процесите за решавање проблеми им помагаат на организациите да одржуваат евиденција за тоа како се идентификуваат и решаваат проблемите со сајбер безбедноста.

Стандардот IEC 81001-5-1 се однесува конкретно на следново:

• Производители на медицински помагала
• Развивачи на софтвер како медицински уред (SaMD)
• Развивачи на софтвер за здравствена заштита
• Производители на поврзана медицинска опрема
• Организации кои развиваат софтвер за болници или клиники
• Добавувачи на софтвер и системски интегратори
• Организации одговорни за одржување на софтвер за здравствена заштита

Неговиот опсег е доволно широк за да опфати софтвер за здравствена заштита, надминувајќи само еден вид медицински уред.

Со години, нашата организација, со својот компетентен и искусен персонал, ги разбира потребите на своите клиенти, обезбедувајќи им напредни услуги за тестирање што им се потребни и помагајќи им во воспоставувањето, имплементацијата и подобрувањето на системите за управување. Во оваа рамка, ние исто така нудиме услуги за тестирање во согласност со стандардот IEC 81001-5-1.