IEC 81001-5-1 Säkerhet, effektivitet och trygghet i hälso- och sjukvårdsinformationssystem - Aktiviteter i produktens livscykel

Standarden ”IEC 81001-5-1 Säkerhet, effektivitet och trygghet för hälso- och sjukvårdsprogramvara och hälso- och sjukvårdsinformationssystem - Del 5-1: Säkerhet - Aktiviteter i produktens livscykel”, utvecklad av Internationella elektrotekniska kommissionen (IEC), beskriver livscykelkraven för utveckling och underhåll av hälso- och sjukvårdsprogramvara som är nödvändiga för att stödja efterlevnaden av IEC 62443-4-1-standarden. Dessa krav tar också hänsyn till de specifika behoven hos hälso- och sjukvårdsprogramvara.

De processer, aktiviteter och uppgifter som beskrivs i denna standard utgör ett gemensamt ramverk för säkra livscykelprocesser för hälso- och sjukvårdsprogramvara. Syftet är att förbättra cybersäkerheten för hälso- och sjukvårdsprogramvara genom att definiera specifika aktiviteter och uppgifter inom livscykelprocesserna för hälso- och sjukvårdsprogramvara och genom att förbättra säkerheten för dessa processer.

IEC 81001-5-1 är en internationell standard som behandlar cybersäkerhet för hälso- och sjukvårdsprogramvara och hälso- och sjukvårdsinformationssystem. Denna standard definierar de processer, aktiviteter och uppgifter som organisationer måste införliva i utvecklings- och underhållscykeln för hälso- och sjukvårdsprogramvara. Dess primära mål är att förbättra cybersäkerheten samtidigt som en lämplig balans mellan säkerhet, effektivitet och trygghet upprätthålls.

IEC 81001-5-1-standarden är i huvudsak en standard för säker programvarulivscykel för hälso- och sjukvård. Denna standard anpassar cybersäkerhetspraxis i samband med IEC 62443-4-1-standarden till de specifika kraven och riskerna med hälso- och sjukvårdsprogramvara.

IEC 81001-5-1-standarden är tillämplig på ett brett spektrum av hälso- och sjukvårdsprogramvara, inklusive programvara integrerad i medicintekniska produkter och programvara som medicinteknisk produkt (SaMD). Denna standard definieras som en processstandard som omfattar hälso- och sjukvårdsprogramvara, inklusive programvara integrerad i medicintekniska produkter.

IEC 81001-5-1-standarden integrerar säkerhetsaktiviteter genom hela produktens livscykel, snarare än att enbart fokusera på cybersäkerhetstestning i slutet av utvecklingen.

Programvara för hälso- och sjukvård kommunicerar i allt högre grad via nätverk, molntjänster, sjukhusinformationssystem, mobila enheter och uppkopplad medicinsk utrustning. Som ett resultat kan cybersäkerhetssårbarheter potentiellt påverka inte bara dataintegriteten utan även säkerheten och effektiviteten i hälso- och sjukvårdsfunktioner.

IEC 81001-5-1-standarden är viktig eftersom den hjälper tillverkare och mjukvaruföretag inom följande områden:

• Identifiera cybersäkerhetsrisker under utveckling.
• Skapa säkra utvecklingspraxis.
• Hantera säkerhetsrelaterade risker under hela produktens livscykel.
• Kontrollerar programkonfigurationer och ändringar.
• Att hantera säkerhetsproblem med programvara.
• Upprätthålla säkerheten efter att produkten har lanserats
• Att visa att cybersäkerhet systematiskt beaktas.

Syftet med denna standard är att förbättra cybersäkerheten för hälso- och sjukvårdsprogramvara genom att definiera lämpliga aktiviteter och uppgifter inom hälso- och sjukvårdsprogramvarans livscykelprocesser.

Standarden IEC 81001-5-1 organiserar krav kring olika viktiga programvarulivscykelprocesser. Viktiga områden inkluderar:

• Allmänna krav: Allmänna krav utgör grunden för implementering av säkra programvarulivscykelaktiviteter. Dessa inkluderar aspekter relaterade till organisatoriska processer, kvalitetsledning och riskhantering. Målet är att säkerställa att cybersäkerhet inte behandlas som en separat aktivitet som utförs först efter utveckling, utan som en integrerad del av programvaruutvecklingen.
• Programvaruutvecklingsprocess: Denna process behandlar de säkerhetsaktiviteter som behöver inkluderas under utvecklingen. Typiska aktiviteter inkluderar att identifiera säkerhetskrav, utvärdera hot och sårbarheter, utforma lämpliga säkerhetskontroller, implementera säkerhetsåtgärder och verifiera att säkerhetskraven är uppfyllda. Denna metod hjälper till att förhindra att säkerhetsproblem kommer in i produkten från början.
• Programvaruunderhållsprocess: Cybersäkerheten slutar inte när programvara släpps. Sårbarheter kan upptäckas även år efter att en produkt lanserats. Därför behandlar IEC 81001-5-1-standarden säkerhetsaktiviteter under programvaruunderhåll, inklusive ändringar, uppdateringar, patchar och andra modifieringar. Detta är särskilt viktigt för medicinska produkter som kan förbli i drift i många år.
• Process för hantering av säkerhetsrisker: Hantering av säkerhetsrisker är en viktig del av denna standard. Organisationer behöver identifiera potentiella cybersäkerhetshot och avgöra hur dessa hot kan påverka programvara och i slutändan säkerhet och effektivitet. Hantering av säkerhetsrisker kan innefatta:
  • Hotidentifiering
  • Sårbarhetsanalys
  • Riskuppskattning
  • Riskkontroll
  • Bedömning av kvarvarande risker.
  • Övervaka säkerhetsrisker över tid.
• Process för hantering av programkonfiguration: Hantering av programkonfiguration gör det möjligt för en organisation att veta vilken programvara som är installerad, vilka versioner som är tillgängliga och vilka ändringar som har gjorts. Detta är särskilt viktigt när en medicinteknisk produkt innehåller flera programvarukomponenter eller programvara från tredje part. Programvaruhantering stöder kontrollerade programuppdateringar och gör det enklare att avgöra om en viss version påverkas av en nyligen upptäckt sårbarhet.
• Process för problemlösning med programvara: Denna standard behandlar även systematisk lösning av programvaruproblem. När en sårbarhet eller ett programvarufel identifieras behöver organisationen en inbyggd process för att undersöka, utvärdera, korrigera och dokumentera problemet. Detta ger en strukturerad mekanism för att reagera på cybersäkerhetsincidenter och programvarusårbarheter.

Ett viktigt ämne relaterat till IEC 81001-5-1-standarden är hotmodellering. Denna standard innehåller en informativ bilaga dedikerad till hotmodellering. Hotmodellering hjälper utvecklare att överväga hur en angripare kan interagera med programvara, identifiera sårbara gränssnitt eller funktioner och fastställa lämpliga säkerhetskontroller. Till exempel kan en ansluten medicinteknisk apparat ha följande:

• Nätverksgränssnitt
• Trådlös kommunikation
• Användarautentisering
• Molnanslutningar
• Med flyttbara medier
• Mekanismer för programuppdatering
• Gränssnitt till sjukhusets informationssystem

Var och en av dessa kan utgöra potentiella cybersäkerhetsrisker som måste beaktas under utvecklingen.

De främsta fördelarna med att implementera IEC 81001-5-1-standarden är följande:

• Förbättrad cybersäkerhet: Istället för att behandla säkerhet som en sista testaktivitet integreras den i hela utvecklings- och underhållsprocessen.
• Tidigare upptäckt av sårbarheter: Hotmodellering och säkerhetsriskhantering kan identifiera svaga punkter innan produkter släpps på marknaden.
• Förbättrad sårbarhetshantering: Definierade underhålls- och felsökningsprocesser hjälper organisationer att reagera på nyupptäckta sårbarheter.
• Ytterligare regulatoriskt stöd: Den amerikanska läkemedelsmyndigheten Food and Drug Administration (FDA) anser att denna standard är en konsensusstandard för medicintekniska produkter.
• Förbättrad spårbarhet: Konfigurationshantering, riskhantering och problemlösningsprocesser hjälper organisationer att upprätthålla bevis på hur cybersäkerhetsproblem identifieras och åtgärdas.

Standarden IEC 81001-5-1 gäller specifikt följande:

• Tillverkare av medicintekniska apparater
• Programvara som medicinteknisk utrustning (SaMD)-utvecklare
• Utvecklare av hälso- och sjukvårdsprogramvara
• Relaterade tillverkare av medicinsk utrustning
• Organisationer som utvecklar programvara för sjukhus eller kliniker
• Programvaruleverantörer och systemintegratörer
• Organisationer som ansvarar för underhåll av programvara för hälso- och sjukvård

Dess omfattning är tillräckligt bred för att täcka programvara för hälso- och sjukvård, och går utöver bara en typ av medicinteknisk produkt.

I många år har vår organisation, med sin kompetenta och erfarna personal, förstått sina kunders behov, tillhandahållit de avancerade testtjänster de behöver och hjälpt dem med att etablera, implementera och förbättra ledningssystem. Inom detta ramverk tillhandahåller vi även testtjänster som uppfyller IEC 81001-5-1-standarden.