Cyberbeveiligingstests voor medische hulpmiddelen
Sytance · Bijgewerkt
Cyberbeveiligingstests van medische hulpmiddelen controleren of beveiligingsvereisten en risicobeheersmaatregelen werken in de beoogde configuratie van het hulpmiddel. De resultaten moeten de testomstandigheden en het waargenomen gedrag beschrijven, zodat beoordelaars kunnen vaststellen wat de tests over het product aantonen.
Doel van testen
De testscope volgt uit de dreigingen en beveiligingsvereisten van het hulpmiddel. Als alleen een geautoriseerd serviceaccount de configuratie mag wijzigen, test dan de directe interface met zowel toegestane als verboden accounts en controleer of de opgeslagen instellingen veranderen.
Bewijs vóór het in de handel brengen
In het dossier vóór het in de handel brengen worden tests gebruikt als bewijs voor ontwerpverificatie, ontwerpvalidatie, de doeltreffendheid van beveiligingsmaatregelen en de geschiktheid van risicobeheersing.
Bewijs na het in de handel brengen
Het proces na het in de handel brengen gebruikt tests om nieuwe kwetsbaarheden te beoordelen, oplossingen te verifiëren, regressies te controleren en vertrouwen in de gebruikte versies te behouden.
Testscope vóór het in de handel brengen
De actuele FDA-richtsnoeren voor vóór het in de handel brengen noemen verschillende soorten cyberbeveiligingstests en -analyses die in een indiening kunnen worden opgenomen. De indiening moet uitleggen waarom de gekozen tests passen bij de risico’s, architectuur en maatregelen van het hulpmiddel.
Deze tests tonen aan dat ontwerpinputvereisten zijn geïmplementeerd en dat aannames over grenzen zijn onderbouwd. De tests moeten vereisten koppelen aan architectuurelementen en acceptatiecriteria voor beveiligingsmaatregelen.
Deze tests tonen aan dat risicobeheersmaatregelen werken tegen dreigingen die in het dreigingsmodel en de architectuurweergaven zijn vastgesteld. Ze moeten doeltreffendheid, stabiliteit, betrouwbaarheid en verkeers- of werkbelastingomstandigheden behandelen wanneer die van belang zijn.
FDA-voorbeelden zijn onder meer misbruikscenario’s, misvormde en onverwachte invoer, robuustheidstests, fuzztesting, analyse van het aanvalsoppervlak, combineren van kwetsbaarheden, scannen op bekende kwetsbaarheden, softwarecompositieanalyse van uitvoerbare binaire bestanden en statische of dynamische codeanalyse.
Penetratietesten moeten proberen beveiligingskwetsbaarheden in het product te ontdekken en uit te buiten. De FDA verwacht dat rapporten de onafhankelijkheid en deskundigheid van testers, de testscope, duur, methoden, resultaten, bevindingen en observaties toelichten.
Eén scan is niet genoeg
Een kwetsbaarheidsscan rapporteert bevindingen binnen de dekking ervan. De scan kan een bekende zwakte in een netwerkdienst identificeren, maar een afzonderlijke test kan nodig zijn om te controleren of het hulpmiddel een ongeautoriseerde opdracht weigert of herstelt na een mislukte update. Beoordeel de gevolgen voor patiënten aan de hand van de architectuur en risicoanalyse van het hulpmiddel.
- Een kwetsbaarheidsscan kan bekende problemen vinden, maar ontwerpfouten en onveilige vertrouwensaannames missen.
- Statische analyse kan codezwaktes vinden, maar bewijst niet dat de geïmplementeerde configuratie of het runtimegedrag van maatregelen klopt.
- Fuzztesting kan verwerking van misvormde invoer aan het licht brengen, maar vervangt geen architectuurbeoordeling of penetratietest.
- Penetratietesten kunnen aanvalspaden aantonen, maar blijven begrensd door scope, tijd, toegang van testers en methodologie.
Bevindingen voeden risicobeheer
Testbevindingen moeten worden beoordeeld op beveiligingsimpact en gekoppeld aan het cyberbeveiligingsrisicobeheerproces. De FDA licht toe dat een beveiligingsafwijking mogelijk moet worden beperkt omdat de uitbuitbaarheid ervan een ander soort schade kan veroorzaken dan een gewone softwarefout.
Beoordeling van bevindingen
Rapporten moeten de bevinding, getroffen component of interface, uitbuitbaarheid, getroffen versies, status van maatregelen en gevolgen voor patiënten toelichten.
Uitgesteld herstel
Als herstel wordt uitgesteld, moet het dossier de risicomotivering, geplande release, getroffen hulpmiddelen in het veld en de manier waarop de update hen bereikt toelichten.
Testen na het in de handel brengen
De FDA adviseert beveiligingstests tijdens de ontwikkeling en na uitgave met intervallen die passen bij het risico. Een wijziging van het updatemechanisme kan bijvoorbeeld nieuwe integriteits- en hersteltests vereisen. Een nieuw bekendgemaakte kwetsbaarheid in een component kan onderzoek en regressietests van de oplossing vereisen.
Voor EU-documentatie ondersteunen verificatieresultaten de risicobeoordeling en kunnen zij wijzigingen aan het hulpmiddel of de instructies identificeren. MDCG 2019-16 licht toe hoe dit werk na uitgave doorgaat. IEC 81001-5-1 biedt een levenscyclusproces voor het onderhouden van deze activiteiten.
Bronnen
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, definitieve richtsnoeren, februari 2026
- FDA, Postmarket Management of Cybersecurity in Medical Devices, definitieve richtsnoeren, december 2016
- Europese Commissie, MDCG 2019-16-richtsnoeren over cyberbeveiliging van medische hulpmiddelen
- IEC, IEC 81001-5-1:2021 Veiligheid, doeltreffendheid en beveiliging van gezondheidssoftware en IT-systemen in de zorg