IEC 81001-5-1 Безопасность, эффективность и защита информационных систем здравоохранения — мероприятия на протяжении всего жизненного цикла продукта

Стандарт «IEC 81001-5-1 Безопасность, эффективность и защищенность программного обеспечения и информационных систем здравоохранения — Часть 5-1: Безопасность — Действия на протяжении жизненного цикла продукта», разработанный Международной электротехнической комиссией (IEC), описывает требования к жизненному циклу разработки и сопровождения программного обеспечения для здравоохранения, необходимые для обеспечения соответствия стандарту IEC 62443-4-1. Эти требования также учитывают специфические потребности программного обеспечения для здравоохранения.

Описанный в данном стандарте набор процессов, действий и задач обеспечивает общую основу для безопасных процессов жизненного цикла программного обеспечения в здравоохранении. Цель состоит в повышении кибербезопасности программного обеспечения в здравоохранении путем определения конкретных действий и задач в рамках процессов жизненного цикла программного обеспечения и повышения безопасности этих процессов.

IEC 81001-5-1 — это международный стандарт, регулирующий кибербезопасность программного обеспечения и информационных систем здравоохранения. Этот стандарт определяет процессы, действия и задачи, которые организации должны включать в жизненный цикл разработки и сопровождения программного обеспечения для здравоохранения. Его основная цель — повышение кибербезопасности при сохранении надлежащего баланса между безопасностью, эффективностью и защитой.

Стандарт IEC 81001-5-1 по сути является стандартом обеспечения безопасности жизненного цикла программного обеспечения для здравоохранения. Этот стандарт адаптирует методы кибербезопасности, связанные со стандартом IEC 62443-4-1, к специфическим требованиям и рискам программного обеспечения для здравоохранения.

Стандарт IEC 81001-5-1 применим к широкому спектру программного обеспечения для здравоохранения, включая программное обеспечение, интегрированное в медицинские устройства, и программное обеспечение как медицинское устройство (SaMD). Этот стандарт определяется как процессный стандарт, охватывающий программное обеспечение для здравоохранения, включая программное обеспечение, интегрированное в медицинские устройства.

Стандарт IEC 81001-5-1 интегрирует мероприятия по обеспечению безопасности на протяжении всего жизненного цикла продукта, а не сосредотачивается исключительно на тестировании кибербезопасности в конце разработки.

Программное обеспечение для здравоохранения все чаще взаимодействует через сети, облачные сервисы, больничные информационные системы, мобильные устройства и подключенное медицинское оборудование. В результате уязвимости в области кибербезопасности могут потенциально повлиять не только на конфиденциальность данных, но и на безопасность и эффективность работы медицинских учреждений.

Стандарт IEC 81001-5-1 важен, поскольку он помогает производителям и компаниям-разработчикам программного обеспечения в следующих областях:

• Выявление рисков кибербезопасности в процессе разработки.
• Создание безопасных методов разработки.
• Управление рисками, связанными с безопасностью, на протяжении всего жизненного цикла продукта.
• Проверка конфигураций и изменений программного обеспечения.
• Решение проблем безопасности программного обеспечения.
• Обеспечение безопасности после запуска продукта в продажу
• Продемонстрировать, что вопросы кибербезопасности систематически принимаются во внимание.

Цель данного стандарта — повысить кибербезопасность программного обеспечения для здравоохранения путем определения соответствующих действий и задач в рамках процессов жизненного цикла программного обеспечения для здравоохранения.

Стандарт IEC 81001-5-1 систематизирует требования к различным ключевым процессам жизненного цикла программного обеспечения. Ключевые области включают:

• Общие требования: Общие требования составляют основу для реализации безопасных мероприятий на протяжении всего жизненного цикла программного обеспечения. Они включают аспекты, связанные с организационными процессами, управлением качеством и управлением рисками. Цель состоит в том, чтобы кибербезопасность рассматривалась не как отдельная деятельность, выполняемая только после разработки, а как неотъемлемая часть процесса разработки программного обеспечения.
• Процесс разработки программного обеспечения: Этот процесс охватывает мероприятия по обеспечению безопасности, которые необходимо включить в процесс разработки. Типичные мероприятия включают в себя определение требований к безопасности, оценку угроз и уязвимостей, разработку соответствующих мер контроля безопасности, внедрение мер безопасности и проверку соответствия требованиям безопасности. Такой подход помогает предотвратить проникновение уязвимостей в продукт с самого начала.
• Процесс сопровождения программного обеспечения: кибербезопасность не заканчивается с выпуском программного обеспечения. Уязвимости могут быть обнаружены даже спустя годы после запуска продукта. Поэтому стандарт IEC 81001-5-1 рассматривает мероприятия по обеспечению безопасности в процессе сопровождения программного обеспечения, включая изменения, обновления, исправления и другие модификации. Это особенно важно для медицинских изделий, которые могут оставаться в рабочем состоянии в течение многих лет.
• Процесс управления рисками безопасности: Управление рисками безопасности является ключевым компонентом данного стандарта. Организациям необходимо выявлять потенциальные угрозы кибербезопасности и определять, как эти угрозы могут повлиять на программное обеспечение и, в конечном итоге, на безопасность и эффективность. Управление рисками безопасности может включать в себя:
  • идентификация угроз
  • Анализ уязвимостей
  • Оценка риска
  • контроль рисков
  • Оценка оставшихся рисков.
  • Мониторинг рисков безопасности с течением времени.
• Процесс управления конфигурацией программного обеспечения: Управление конфигурацией программного обеспечения позволяет организации знать, какое программное обеспечение установлено, какие версии доступны и какие изменения были внесены. Это особенно важно, когда медицинское устройство содержит несколько программных компонентов или программное обеспечение сторонних производителей. Управление программным обеспечением поддерживает контролируемые обновления программного обеспечения и упрощает определение того, подвержена ли конкретная версия вновь обнаруженной уязвимости.
• Процесс решения проблем программного обеспечения: Этот стандарт также рассматривает систематическое решение проблем программного обеспечения. При обнаружении уязвимости или ошибки в программном обеспечении организации необходим встроенный процесс для исследования, оценки, исправления и документирования проблемы. Это обеспечивает структурированный механизм реагирования на инциденты кибербезопасности и уязвимости программного обеспечения.

Ключевой темой стандарта IEC 81001-5-1 является моделирование угроз. Этот стандарт включает информативное приложение, посвященное моделированию угроз. Моделирование угроз помогает разработчикам оценить, как злоумышленник может взаимодействовать с программным обеспечением, выявить уязвимые интерфейсы или функции и определить соответствующие меры безопасности. Например, подключенное медицинское устройство может иметь следующие характеристики:

• Сетевые интерфейсы
• Каблосуз илетишим
• Аутентификация пользователя
• Облачные подключения
• С возможностью снятия носителей
• механизмы обновления программного обеспечения
• Интерфейсы к информационным системам больниц

Каждый из этих факторов может представлять потенциальные риски кибербезопасности, которые необходимо учитывать на этапе разработки.

Основные преимущества внедрения стандарта IEC 81001-5-1 заключаются в следующем:

• Повышенная кибербезопасность: вместо того, чтобы рассматривать безопасность как заключительный этап тестирования, она интегрирована во весь процесс разработки и сопровождения.
• Раннее выявление уязвимостей: моделирование угроз и управление рисками безопасности позволяют выявлять слабые места до выпуска продуктов на рынок.
• Улучшенное управление уязвимостями: четко определенные процессы технического обслуживания и устранения неполадок помогают организациям реагировать на вновь обнаруженные уязвимости.
• Дополнительная поддержка со стороны регулирующих органов: Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) считает этот стандарт общепринятым стандартом для медицинских изделий.
• Улучшенная отслеживаемость: процессы управления конфигурацией, управления рисками и решения проблем помогают организациям сохранять доказательства того, как выявляются и устраняются проблемы кибербезопасности.

Стандарт IEC 81001-5-1 применяется конкретно к следующим категориям:

• Производители медицинского оборудования
• Разработчики программного обеспечения как медицинского устройства (SaMD)
• разработчики программного обеспечения для здравоохранения
• Производители сопутствующего медицинского оборудования
• Организации, разрабатывающие программное обеспечение для больниц или клиник.
• Поставщики программного обеспечения и системные интеграторы
• Организации, ответственные за техническое обслуживание программного обеспечения для здравоохранения.

Его сфера применения достаточно широка, чтобы охватывать программное обеспечение для здравоохранения, выходя за рамки одного типа медицинских устройств.

На протяжении многих лет наша организация, располагающая компетентным и опытным персоналом, понимает потребности своих клиентов, предоставляет им необходимые передовые услуги по тестированию и помогает в создании, внедрении и совершенствовании систем управления. В рамках этой деятельности мы также предоставляем услуги по тестированию в соответствии со стандартом IEC 81001-5-1.