Risicobeheer van cyberbeveiliging voor medische hulpmiddelen
Sytance · Bijgewerkt
Bij cyberbeveiligingsrisicobeheer voor medische hulpmiddelen wordt beoordeeld hoe dreigingen en kwetsbaarheden de veiligheid, doeltreffendheid en prestaties kunnen beïnvloeden. Een dreigingsmodel, SBOM, kwetsbaarheidsscan of penetratietest kan de beoordeling ondersteunen, maar is op zichzelf geen risicobeoordeling.
Rol van risicobeheer
De FDA beschouwt beheer van beveiligingsrisico's als onderdeel van het kwaliteitssysteem en de levenscyclus van het hulpmiddel. Dit verschilt van veiligheidsrisicobeheer volgens ISO 14971, omdat beveiligingsfouten opzettelijk kunnen zijn, de exploiteerbaarheid in de tijd verandert en schade indirect kan ontstaan door verlies van beschikbaarheid, integriteit, vertrouwelijkheid of controle. De twee processen moeten wel op elkaar aansluiten, omdat een beveiligingsprobleem schade voor patiënten kan veroorzaken.
MDCG 2019-16 licht toe dat een beveiligingsmaatregel zelf gevolgen kan hebben voor de veiligheid. Een toegangsbeperking kan bijvoorbeeld onbevoegde wijzigingen voorkomen, maar ook een legitieme handeling vertragen. De fabrikant moet beide effecten beoordelen in de beoogde gebruiksomgeving.
Schade voor patiënten
De postmarket-richtsnoeren van de FDA baseren de centrale vraag naar schade voor patiënten op letsel of gezondheidsschade bij de patiënt, met inbegrip van overlijden, en niet uitsluitend op bedrijfsimpact.
Veiligheid en prestaties
Beoordeel of het beveiligingsprobleem de beoogde werking van het hulpmiddel verandert en of een beheersmaatregel nieuwe zorgen over de veiligheid of prestaties oplevert.
Het dreigingsmodel voedt de beoordeling
Het dreigingsmodel beschrijft hoe een aanvaller een interface van het hulpmiddel of een externe afhankelijkheid zou kunnen gebruiken om een ongewenst resultaat te veroorzaken. De aanvalsomstandigheden en mogelijke gevolgen vormen input voor de cyberbeveiligingsrisicobeoordeling.
- Het dreigingsmodel brengt in kaart wat er mis kan gaan en via welke weg een aanvaller of onbedoelde trigger het systeem kan bereiken.
- De cyberbeveiligingsrisicobeoordeling evalueert de risico's, beheersmaatregelen, restrisico's en acceptatiecriteria.
- Het proces voor veiligheidsrisico's neemt cyberbeveiligingsrisico's mee wanneer misbruik schade voor patiënten, klinische prestaties of een veilige werking kan beïnvloeden.
- Het postmarketproces actualiseert het model wanneer nieuwe kwetsbaarheden, gewijzigde implementaties, nieuwe interfaces of nieuwe aanvalstechnieken het risicobeeld veranderen.
Exploiteerbaarheid verandert de analyse
Een cyberbeveiligingsrisicobeoordeling kan niet uitsluitend steunen op historische waarschijnlijkheden. De FDA legt uit dat de beoordeling van beveiligingsrisico's zich richt op exploiteerbaarheid: de haalbaarheid, het gemak en de technische middelen waarmee een kwetsbaarheid kan worden misbruikt. Daarom kan de beoordeling veranderen als tijdens tests een kwetsbaarheid wordt gevonden, als een kwetsbaarheid voorkomt op de CISA Known Exploited Vulnerabilities-lijst, als een netwerkpad verandert of als een nieuwe openbare exploit verschijnt, ook wanneer zich geen patiëntincident heeft voorgedaan.
Bij de beoordeling vóór marktintroductie wordt het dreigingsmodel gebruikt om aanvallen te evalueren en beheersmaatregelen te selecteren. De verificatieresultaten tonen aan of de maatregelen tegen die aanvallen werken. De FDA staat zowel een aanname van de ongunstigste exploiteerbaarheid als een onderbouwde exploiteerbaarheidsbeoordeling toe waarin de volledige levenscyclus van het hulpmiddel wordt meegewogen.
De beoordeling na marktintroductie begint met een concreet signaal, zoals een CVE, een melding van een onderzoeker, een bericht van een leverancier of een waargenomen exploit. De postmarket-richtsnoeren van de FDA structureren de beslissing rond exploiteerbaarheid, de ernst van mogelijke patiëntschade, compenserende maatregelen en de vraag of het restrisico op patiëntschade beheerst of onbeheerst is.
Een SBOM is geen risicobeoordeling
Een SBOM identificeert softwarecomponenten en hun afhankelijkheidsrelaties. De fabrikant kan hiermee blootstelling aan bekende kwetsbaarheden van componenten, de ondersteuningsstatus en getroffen versies opsporen. Een SBOM toont niet of een kwetsbare component bereikbaar is, of een maatregel misbruik voorkomt, of klinische prestaties veranderen of dat het restrisico op patiëntschade aanvaardbaar is.
Een SBOM is een formele, machineleesbare inventaris van softwarecomponenten en afhankelijkheden, informatie over die componenten en hun hiërarchische relaties.
NTIA, Framing Software Component Transparency, 2021 (oorspronkelijk Engels)
Bijdrage van de SBOM
Gegevens over componentidentiteit, versie, leverancier, afhankelijkheden en ondersteuning helpen blootstelling vast te stellen en ondersteunen kwetsbaarhedenbeheer.
Bijdrage aan de risicoanalyse
Architectuur, dreigingsmodellering, exploiteerbaarheid, bewijs van beheersmaatregelen en analyse van patiëntschade bepalen wat de blootstelling voor het hulpmiddel betekent.
Gekoppelde dossiers
De FDA beveelt traceerbaarheid aan tussen het dreigingsmodel, de risicobeoordeling, de SBOM en testdossiers. Een beoordelaar moet bij een getroffen component kunnen beginnen en de daaruit voortvloeiende risicobeslissing en het verificatieresultaat kunnen vinden. Licht voor een technisch dossier in de EU toe hoe deze dossiers de toepasselijke MDR- of IVDR-eisen ondersteunen.
Bronnen
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, definitieve richtsnoeren, februari 2026
- FDA, Postmarket Management of Cybersecurity in Medical Devices, definitieve richtsnoeren, december 2016
- Europese Commissie, MDCG 2019-16 Guidance on Cybersecurity for medical devices
- NTIA, Framing Software Component Transparency: Establishing a Common Software Bill of Materials