Cybersicherheitstests für Medizinprodukte
Sytance · Aktualisiert
Cybersicherheitstests bei Medizinprodukten prüfen, ob Sicherheitsanforderungen und Risikokontrollen in der vorgesehenen Gerätekonfiguration funktionieren. Die Ergebnisse müssen Testbedingungen und beobachtetes Verhalten darlegen, damit prüfende Personen beurteilen können, was die Tests über das Produkt belegen.
Zweck der Tests
Der Testumfang richtet sich nach den Bedrohungen und Sicherheitsanforderungen des Geräts. Wenn nur ein autorisiertes Servicekonto die Konfiguration ändern darf, testen Sie die direkte Schnittstelle sowohl mit berechtigten als auch mit unberechtigten Konten und beobachten Sie, ob sich gespeicherte Einstellungen ändern.
Nachweise vor dem Inverkehrbringen
Die Akte vor dem Inverkehrbringen verwendet Tests zur Unterstützung der Designverifizierung, Designvalidierung, Wirksamkeit von Sicherheitskontrollen und Angemessenheit der Risikokontrollen.
Nachweise nach dem Inverkehrbringen
Im Nachmarktprozess dienen Tests der Bewertung neuer Schwachstellen, der Überprüfung von Korrekturen, der Suche nach Regressionen und der Aufrechterhaltung des Vertrauens in ausgelieferte Versionen.
Testumfang vor dem Inverkehrbringen
Die aktuellen Vormarkt-Leitlinien der FDA benennen verschiedene Arten von Cybersicherheitstests und -analysen, die in einer Einreichung enthalten sein können. Die Einreichung sollte erläutern, warum die gewählten Tests für Gerätrisiken, Architektur und Kontrollen geeignet sind.
Diese Tests belegen, dass Eingabeanforderungen für den Entwurf umgesetzt wurden und dass Annahmen zu Grenzen begründet sind. Sie sollten Anforderungen mit Architekturelementen und Akzeptanzkriterien für Sicherheitskontrollen verknüpfen.
Diese Tests zeigen, dass Risikokontrollen gegen die im Bedrohungsmodell und in den Architekturansichten ermittelten Bedrohungen wirksam sind. Sie sollten Wirksamkeit, Stabilität, Zuverlässigkeit sowie Verkehrs- oder Arbeitslastbedingungen einbeziehen, sofern diese relevant sind.
Zu den FDA-Beispielen gehören Missbrauchs- und Fehlgebrauchsfälle, fehlerhafte und unerwartete Eingaben, Robustheitstests, Fuzz-Tests, Angriffsflächenanalysen, Verkettung von Schwachstellen, Scans nach bekannten Schwachstellen, Softwarekompositionsanalysen ausführbarer Binärdateien sowie statische oder dynamische Codeanalysen.
Penetrationstests sollten Sicherheitslücken im Produkt aufdecken und ausnutzen. Die FDA erwartet, dass Berichte Unabhängigkeit und Fachkenntnis der Tester, Testumfang, Dauer, Methoden, Ergebnisse, Feststellungen und Beobachtungen erläutern.
Ein Scan genügt nicht
Ein Schwachstellenscan meldet Funde innerhalb seiner Abdeckung. Er kann eine bekannte Schwachstelle in einem Netzwerkdienst identifizieren; ein separater Test kann jedoch erforderlich sein, um zu prüfen, ob das Gerät einen unbefugten Befehl zurückweist oder sich nach einem fehlgeschlagenen Update erholt. Bewerten Sie die Auswirkungen auf Patienten anhand der Gerätearchitektur und Risikoanalyse.
- Ein Schwachstellenscan kann bekannte Probleme finden, aber Entwurfsfehler und unsichere Vertrauensannahmen übersehen.
- Statische Analyse kann Schwachstellen im Quellcode finden, belegt jedoch nicht die bereitgestellte Konfiguration oder das Laufzeitverhalten von Kontrollen.
- Fuzz-Tests können die Verarbeitung fehlerhafter Eingaben sichtbar machen, ersetzen jedoch weder Architekturprüfung noch Penetrationstests.
- Penetrationstests können Angriffspfade aufzeigen, bleiben jedoch durch Umfang, Zeit, Testerzugriff und Methode begrenzt.
Feststellungen fließen ins Risikomanagement ein
Testergebnisse sollten auf Sicherheitsauswirkungen bewertet und mit dem Cybersicherheitsrisikomanagement verknüpft werden. Die FDA erklärt, dass eine Sicherheitsanomalie möglicherweise gemindert werden muss, weil ihre Ausnutzbarkeit eine andere Art von Schaden verursachen kann als ein gewöhnlicher Softwarefehler.
Bewertung von Feststellungen
Berichte sollten die Feststellung, betroffene Komponente oder Schnittstelle, Ausnutzbarkeit, betroffene Versionen, Status der Kontrollen und mögliche Patientenschäden erläutern.
Aufgeschobene Abhilfe
Wird eine Korrektur aufgeschoben, sollte die Akte die Risikobegründung, die geplante Version, betroffene ausgelieferte Geräte und den Weg des Updates zu diesen Geräten erläutern.
Tests nach dem Inverkehrbringen
Die FDA empfiehlt Sicherheitstests während der Entwicklung und nach der Veröffentlichung in risikogerechten Abständen. Eine Änderung am Update-Mechanismus kann beispielsweise neue Integritäts- und Wiederherstellungstests erfordern. Eine neu offengelegte Schwachstelle in einer Komponente kann Untersuchungen und Regressionstests der Korrektur erforderlich machen.
Für EU-Dokumentation stützen Verifizierungsergebnisse die Risikobewertung und können erforderliche Änderungen am Gerät oder seinen Anweisungen aufzeigen. MDCG 2019-16 erläutert, wie diese Arbeit nach der Veröffentlichung fortgesetzt wird. IEC 81001-5-1 bietet einen Lebenszyklusprozess zur Aufrechterhaltung dieser Aktivitäten.
Quellen
- FDA, Cybersicherheit bei Medizinprodukten: Überlegungen zum Qualitätsmanagementsystem und Inhalt von Vormarkteinreichungen, endgültige Leitlinie, Februar 2026
- FDA, Nachmarktmanagement der Cybersicherheit bei Medizinprodukten, endgültige Leitlinie, Dezember 2016
- Europäische Kommission, MDCG-2019-16-Leitlinie zur Cybersicherheit von Medizinprodukten
- IEC, IEC 81001-5-1:2021 Sicherheit, Wirksamkeit und Schutz von Gesundheitssoftware und Gesundheits-IT-Systemen