Zarządzanie ryzykiem cyberbezpieczeństwa wyrobów medycznych

Rola zarządzania ryzykiem

FDA traktuje zarządzanie ryzykiem bezpieczeństwa jako element systemu jakości i cyklu życia wyrobu. Różni się ono od zarządzania ryzykiem bezpieczeństwa według ISO 14971, ponieważ awarie zabezpieczeń mogą być celowe, podatność na wykorzystanie zmienia się z czasem, a szkoda może być pośrednim skutkiem utraty dostępności, integralności, poufności lub kontroli. Oba procesy muszą jednak być ze sobą powiązane, ponieważ problem bezpieczeństwa może doprowadzić do szkody u pacjenta.

MDCG 2019-16 wyjaśnia, że sam środek bezpieczeństwa może wpływać na bezpieczeństwo. Na przykład ograniczenie dostępu może zapobiec nieuprawnionym zmianom, ale też opóźnić prawidłową operację. Producent musi ocenić oba skutki w zamierzonym środowisku użytkowania.

Modelowanie zagrożeń wspiera ocenę

Model zagrożeń identyfikuje, w jaki sposób atakujący może wykorzystać interfejs wyrobu lub zależność zewnętrzną, aby spowodować niepożądany skutek. Warunki ataku i jego możliwe konsekwencje stanowią dane wejściowe do oceny ryzyka cyberbezpieczeństwa.

• Model zagrożeń identyfikuje możliwe niepożądane zdarzenia oraz miejsca, do których może dotrzeć atakujący lub gdzie może zadziałać przypadkowy bodziec.
• Ocena ryzyka cyberbezpieczeństwa ocenia ryzyko, środki kontroli, ryzyko resztkowe i kryteria akceptacji.
• Proces zarządzania ryzykiem bezpieczeństwa uwzględnia ryzyka cyberbezpieczeństwa, gdy wykorzystanie podatności może wpłynąć na szkodę u pacjenta, działanie kliniczne lub bezpieczną pracę.
• Proces po wprowadzeniu do obrotu aktualizuje model, gdy nowe podatności, zmiany wdrożenia, nowe interfejsy lub nowe techniki ataku zmieniają obraz ryzyka.

Wykorzystanie podatności zmienia ocenę

Ocena ryzyka cyberbezpieczeństwa nie może opierać się wyłącznie na prawdopodobieństwie historycznym. FDA wyjaśnia, że ocena ryzyka bezpieczeństwa koncentruje się na możliwości wykorzystania podatności: wykonalności, łatwości i środkach technicznych potrzebnych do jej wykorzystania. Dlatego podatność wykryta w testach, podatność CISA Known Exploited Vulnerability, zmieniona ścieżka sieciowa lub nowy publicznie dostępny exploit mogą zmienić ocenę, nawet jeśli nie doszło do incydentu z udziałem pacjenta.

SBOM nie jest oceną ryzyka

SBOM identyfikuje komponenty oprogramowania i relacje zależności. Pomaga producentowi wykrywać narażenie na znane podatności komponentów, ustalać ich status wsparcia i identyfikować wersje, których dotyczy problem. Nie pokazuje, czy podatny komponent jest osiągalny, czy środek kontroli zapobiega wykorzystaniu podatności, czy zmienia się działanie kliniczne ani czy ryzyko resztkowe szkody u pacjenta jest akceptowalne.

SBOM to formalny, odczytywalny maszynowo wykaz komponentów oprogramowania i zależności, informacji o tych komponentach oraz ich hierarchicznych relacji.

NTIA, Framing Software Component Transparency, 2021 (oryginał angielski)

Powiązane zapisy

FDA zaleca zapewnienie identyfikowalności między modelem zagrożeń, oceną ryzyka, SBOM i zapisami testów. Osoba dokonująca przeglądu powinna móc rozpocząć od komponentu, którego dotyczy problem, i znaleźć wynikającą z niego decyzję dotyczącą ryzyka oraz wynik weryfikacji. W przypadku dokumentacji technicznej UE należy wyjaśnić, w jaki sposób zapisy te wspierają odpowiednie wymagania MDR lub IVDR.