IEC 81001-5-1 Sağlık Bilişim Sistemlerinin Güvenliği, Etkinliği ve Emniyeti - Ürün Yaşam Döngüsündeki Faaliyetler

Uluslararası Elektroteknik Komisyonu (IEC) tarafından geliştirilen “IEC 81001-5-1 Sağlık yazılımları ve sağlık bilişim sistemlerinin güvenliği, etkinliği ve emniyeti - Bölüm 5-1: Güvenlik - Ürün yaşam döngüsündeki faaliyetler” standardında, IEC 62443-4-1 standardına uygunluğu desteklemek için gerekli olan sağlık yazılımının geliştirilmesi ve bakımı için yaşam döngüsü gereksinimleri açıklanmaktadır. Bu gereksinimler, sağlık yazılımının özel ihtiyaçlarını da dikkate alır.

Bu standartta açıklanan süreçler, aktiviteler ve görevler kümesi, güvenli sağlık yazılımı yaşam döngüsü süreçleri için ortak bir çerçeve oluşturur. Amaç, sağlık yazılımı yaşam döngüsü süreçlerinde belirli aktiviteler ve görevler belirleyerek ve ayrıca yazılım yaşam döngüsü süreçlerinin güvenliğini artırarak sağlık yazılımının siber güvenliğini artırmaktır.

IEC 81001-5-1 standardı, sağlık yazılımlarının ve sağlık bilişim sistemlerinin siber güvenliğini ele alan uluslararası bir standarttır. Bu standart, kuruluşların sağlık yazılımlarının geliştirme ve bakım yaşam döngüsüne dahil etmesi gereken süreçleri, faaliyetleri ve görevleri belirler. Temel amacı, güvenlik, etkinlik ve emniyet arasında uygun bir dengeyi korurken siber güvenliği iyileştirmektir.

IEC 81001-5-1 standardı, esasen sağlık hizmetleri için güvenli bir yazılım yaşam döngüsü standardıdır. Bu standart, IEC 62443-4-1 standardı ile ilişkili siber güvenlik uygulamalarını sağlık yazılımlarının özel gereksinimlerine ve risklerine uyarlar.

IEC 81001-5-1 standardı, tıbbi cihazlara entegre edilmiş yazılımlar ve tıbbi cihaz olarak yazılım (SaMD) dahil olmak üzere çok çeşitli sağlık yazılımlarına uygulanabilir. Bu standart, tıbbi cihazlara entegre edilmiş yazılımlar dahil olmak üzere sağlık yazılımlarını kapsayan bir süreç standardı olarak tanımlanmaktadır.

IEC 81001-5-1 standardı, sadece geliştirmenin sonunda siber güvenlik testine odaklanmak yerine, güvenlik faaliyetlerini ürün yaşam döngüsünün tamamına entegre eder.

Sağlık yazılımları giderek artan bir şekilde ağlar, bulut hizmetleri, hastane bilgi sistemleri, mobil cihazlar ve bağlantılı tıbbi ekipmanlar aracılığıyla iletişim kurmaktadır. Sonuç olarak, siber güvenlik açıkları yalnızca veri gizliliğini değil, aynı zamanda sağlık fonksiyonlarının güvenliğini ve etkinliğini de potansiyel olarak etkileyebilir.

IEC 81001-5-1 standardı önemlidir çünkü üreticilere ve yazılım kuruluşlarına şu konularda yardımcı olur:

• Geliştirme sırasında siber güvenlik risklerini belirlemek
• Güvenli geliştirme uygulamaları oluşturmak
• Ürün yaşam döngüsü boyunca güvenlikle ilgili riskleri yönetmek
• Yazılım yapılandırmalarını ve değişikliklerini kontrol etmek
• Yazılım güvenlik sorunlarını ele almak
• Ürün piyasaya sürüldükten sonra güvenliği sürdürmek
• Siber güvenliğin sistematik olarak dikkate alındığını göstermek

Bu standardın amacı, sağlık yazılımı yaşam döngüsü süreçlerinde uygun faaliyetleri ve görevleri tanımlayarak sağlık yazılımlarının siber güvenliğini artırmaktır.

IEC 81001-5-1 standardı, gereksinimleri, çeşitli önemli yazılım yaşam döngüsü süreçleri etrafında düzenler. Temel alanlar şunlardır:

• Genel gereksinimler: Genel gereksinimler, güvenli yazılım yaşam döngüsü faaliyetlerinin uygulanması için temel oluşturur. Bunlar, organizasyonel süreçler, kalite yönetimi ve risk yönetimi ile ilgili hususları içerir. Amaç, siber güvenliğin, yalnızca geliştirme sonrasında gerçekleştirilen ayrı bir faaliyet olarak değil, yazılım geliştirmenin ayrılmaz bir parçası olarak ele alınmasını sağlamaktır.
• Yazılım geliştirme süreci: Bu süreç, geliştirme sırasında dahil edilmesi gereken güvenlik faaliyetlerini ele alır. Tipik faaliyetler arasında güvenlik gereksinimlerinin belirlenmesi, tehditlerin ve güvenlik açıklarının değerlendirilmesi, uygun güvenlik kontrollerinin tasarlanması, güvenlik önlemlerinin uygulanması ve güvenlik gereksinimlerinin karşılandığının doğrulanması yer alır. Bu yaklaşım, güvenlik zafiyetlerinin ürüne baştan girmesini önlemeye yardımcı olur.
• Yazılım bakım süreci: Siber güvenlik, yazılım piyasaya sürüldüğünde sona ermez. Güvenlik açıkları, bir ürün piyasaya sürüldükten yıllar sonra bile keşfedilebilir. Bu nedenle IEC 81001-5-1 standardı, değişiklikler, güncellemeler, yamalar ve diğer modifikasyonlar da dahil olmak üzere yazılım bakımı sırasındaki güvenlik faaliyetlerini ele alır. Bu, özellikle uzun yıllar boyunca çalışır durumda kalabilecek tıbbi ürünler için önemlidir.
• Güvenlik risk yönetimi süreci: Güvenlik risk yönetimi, bu standardın önemli bir bileşenidir. Kuruluşların potansiyel siber güvenlik tehditlerini belirlemesi ve bu tehditlerin yazılımı ve nihayetinde güvenliği ve etkinliği nasıl etkileyebileceğini belirlemesi gerekir. Güvenlik risk yönetimi şunları içerebilir:
  • Tehdit tanımlama
  • Güvenlik açığı analizi
  • Risk tahmini
  • Risk kontrolü
  • Kalan risklerin değerlendirilmesi
  • Zaman içinde güvenlik risklerinin izlenmesi
• Yazılım yapılandırma yönetimi süreci: Yazılım yapılandırma yönetimi, kuruluşun hangi yazılımın yüklü olduğunu, hangi sürümlerin mevcut olduğunu ve hangi değişikliklerin yapıldığını bilmesini sağlar. Bu, özellikle tıbbi bir cihaz birden fazla yazılım bileşeni veya üçüncü taraf yazılım içerdiğinde önem kazanır. Yazılım yönetimi, kontrollü yazılım güncellemelerini destekler ve belirli bir sürümün yeni keşfedilen bir güvenlik açığından etkilenip etkilenmediğini belirlemeyi kolaylaştırır.
• Yazılım sorunlarının çözüm süreci: Bu standart, ayrıca yazılım sorunlarının sistematik çözümünü de ele almaktadır. Bir güvenlik açığı veya yazılım hatası tespit edildiğinde, kuruluşun sorunu araştırmak, değerlendirmek, düzeltmek ve belgelemek için yerleşik bir sürece ihtiyacı vardır. Bu, siber güvenlik olaylarına ve yazılım güvenlik açıklarına yanıt vermek için yapılandırılmış bir mekanizma sağlar.

IEC 81001-5-1 standardı ile ilgili önemli bir konu tehdit modellemesidir. Bu standart, tehdit modellemesine ayrılmış bilgilendirici bir ek içerir. Tehdit modellemesi, geliştiricilerin bir saldırganın yazılımla nasıl etkileşime girebileceğini düşünmelerine, savunmasız arayüzleri veya işlevleri belirlemelerine ve uygun güvenlik kontrollerini belirlemelerine yardımcı olur. Örneğin, bağlı bir tıbbi cihaz şunlara sahip olabilir:

• Ağ arayüzleri
• Kablosuz iletişim
• Kullanıcı kimlik doğrulaması
• Bulut bağlantıları
• Çıkarılabilir ortamla
• Yazılım güncelleme mekanizmaları
• Hastane bilgi sistemlerine arayüzler

Bunların her biri, geliştirme sırasında dikkate alınması gereken potansiyel siber güvenlik riskleri oluşturabilir.

IEC 81001-5-1 standardının uygulamasının başlıca faydaları şunlardır:

• Geliştirilmiş siber güvenlik: Güvenlik, son aşama test faaliyeti olarak ele alınmak yerine, geliştirme ve bakım süreçlerinin tamamına entegre edilir.
• Güvenlik açıklarının daha erken tespiti: Tehdit modellemesi ve güvenlik risk yönetimi, ürünler piyasaya sürülmeden önce zayıf noktaları belirleyebilir.
• Daha iyi güvenlik açığı yönetimi: Tanımlanmış bakım ve sorun çözme süreçleri, kuruluşların yeni keşfedilen güvenlik açıklarına yanıt vermesine yardımcı olur.
• Daha fazla düzenleyici destek: ABD Gıda ve İlaç İdaresi (FDA), bu standardı tıbbi cihazlar için bir uzlaşma standardı olarak kabul etmektedir.
• Geliştirilmiş izlenebilirlik: Yapılandırma yönetimi, risk yönetimi ve sorun çözme süreçleri, kuruluşların siber güvenlik sorunlarının nasıl tespit edildiğine ve ele alındığına dair kanıtları korumasına yardımcı olur.

IEC 81001-5-1 standardı özellikle şunlar için geçerlidir:

• Tıbbi cihaz üreticileri
• Tıbbi cihaz olarak yazılım (SaMD) geliştiricileri
• Sağlık hizmetleri yazılım geliştiricileri
• Bağlantılı tıbbi ekipman üreticileri
• Hastane veya klinik yazılım geliştiren kuruluşlar
• Yazılım tedarikçileri ve sistem entegratörleri
• Sağlık yazılımlarının bakımından sorumlu kuruluşlar

Kapsamı, tek bir tıbbi cihaz türünün ötesinde sağlık yazılımlarını ele alacak kadar geniştir.

Kuruluşumuz, yıllardır yetkin ve deneyimli bir kadro ile müşterilerinin ihtiyaçlarını anlamakta, ihtiyaç duydukları ileri test hizmetlerini vermekte ve yönetim sistemlerinin kurulması, uygulanması ve iyileştirilmesi konusunda yardımcı olmaktadır. Bu çerçevede işletmelere IEC 81001-5-1 standardına uygun test hizmetleri de verilmektedir.