Testowanie cyberbezpieczeństwa wyrobów medycznych
Sytance · Zaktualizowano
Testy cyberbezpieczeństwa wyrobu medycznego sprawdzają, czy wymagania dotyczące bezpieczeństwa i środki kontroli ryzyka działają w konfiguracji wyrobu zgodnej z przeznaczeniem. Wyniki muszą przedstawiać warunki testu i zaobserwowane zachowanie, aby osoby dokonujące przeglądu mogły ocenić, co testy wykazują na temat produktu.
Cel testów
Zakres testów wynika z zagrożeń i wymagań bezpieczeństwa wyrobu. Jeśli konfigurację może zmienić wyłącznie autoryzowane konto serwisowe, należy przetestować bezpośredni interfejs zarówno z kontami uprawnionymi, jak i nieuprawnionymi oraz sprawdzić, czy zapisane ustawienia ulegają zmianie.
Dowody przed wprowadzeniem do obrotu
Dokumentacja przedrynkowa wykorzystuje testy jako dowody weryfikacji projektu, walidacji projektu, skuteczności środków kontroli bezpieczeństwa i adekwatności środków kontroli ryzyka.
Dowody po wprowadzeniu do obrotu
Proces po wprowadzeniu do obrotu wykorzystuje testy do oceny nowych podatności, weryfikacji poprawek, sprawdzania regresji i utrzymywania zaufania do wersji znajdujących się u użytkowników.
Zakres testów przed wprowadzeniem do obrotu
Aktualne wytyczne FDA dotyczące etapu przedrynkowego wskazują kilka rodzajów testów i analiz cyberbezpieczeństwa, które mogą należeć do zgłoszenia. Zgłoszenie powinno wyjaśniać, dlaczego wybrane testy są odpowiednie do ryzyka, architektury i środków kontroli dotyczących wyrobu.
Testy te wykazują, że zrealizowano wymagania wejściowe projektu i uzasadniono założenia dotyczące granic. Powinny łączyć wymagania z elementami architektury i kryteriami akceptacji środków kontroli bezpieczeństwa.
Testy te wykazują, że środki kontroli ryzyka działają wobec zagrożeń zidentyfikowanych w modelu zagrożeń i widokach architektury. Powinny obejmować skuteczność zabezpieczeń, stabilność, niezawodność oraz warunki ruchu lub obciążenia, jeżeli mają one znaczenie.
Przykłady FDA obejmują przypadki nadużycia lub niewłaściwego użycia, niepoprawne i nieoczekiwane dane wejściowe, testy odporności, fuzzing, analizę powierzchni ataku, łańcuchy podatności, skanowanie w poszukiwaniu znanych podatności, analizę składu oprogramowania w plikach wykonywalnych oraz statyczną lub dynamiczną analizę kodu.
Testy penetracyjne powinny próbować wykrywać i wykorzystywać podatności bezpieczeństwa produktu. FDA oczekuje, że raporty będą wyjaśniały niezależność i kompetencje testerów, zakres i czas trwania testów, metody, wyniki, ustalenia i obserwacje.
Jeden skan nie wystarczy
Skan podatności wskazuje ustalenia w ramach objętego nim zakresu. Może wykryć znaną słabość usługi sieciowej, podczas gdy osobny test będzie potrzebny do sprawdzenia, czy wyrób odrzuca nieuprawnione polecenie lub odzyskuje działanie po nieudanej aktualizacji. Wpływ na pacjenta należy ocenić na podstawie architektury i analizy ryzyka dotyczących wyrobu.
- Skan podatności może wykrywać znane problemy, ale może przeoczyć błędy projektowe i niebezpieczne założenia dotyczące zaufania.
- Analiza statyczna może wykryć słabości na poziomie kodu, ale nie dowodzi prawidłowej konfiguracji wdrożenia ani działania środków kontroli w czasie pracy.
- Testy fuzzingowe mogą ujawnić sposób obsługi nieprawidłowych danych wejściowych, ale nie zastępują przeglądu architektury ani testów penetracyjnych.
- Testy penetracyjne mogą ujawnić ścieżki wykorzystania podatności, ale ich zakres ograniczają przyjęty plan, czas, dostęp testera i zastosowana metodologia.
Ustalenia z testów wspierają zarządzanie ryzykiem
Ustalenia z testów należy oceniać pod kątem wpływu na bezpieczeństwo i łączyć z procesem zarządzania ryzykiem cyberbezpieczeństwa. FDA wyjaśnia, że anomalia bezpieczeństwa może wymagać ograniczenia, ponieważ możliwość wykorzystania podatności może prowadzić do szkody innego rodzaju niż zwykły defekt oprogramowania.
Ocena ustaleń
Raporty powinny wyjaśniać ustalenie, komponent lub interfejs, którego dotyczy problem, możliwość wykorzystania podatności, objęte wersje, status środków kontroli i wpływ na możliwość wyrządzenia szkody pacjentowi.
Odroczenie działań naprawczych
Jeśli naprawa zostaje odroczona, dokumentacja powinna wyjaśniać uzasadnienie dotyczące ryzyka, planowane wydanie, wyroby znajdujące się u użytkowników, których dotyczy problem, oraz sposób dostarczenia im aktualizacji.
Testy po wprowadzeniu do obrotu
FDA zaleca testowanie bezpieczeństwa podczas rozwoju i po wprowadzeniu do obrotu, w odstępach odpowiednich do ryzyka. Na przykład zmiana mechanizmu aktualizacji może wymagać nowych testów integralności i odzyskiwania działania. Nowo ujawniona podatność komponentu może wymagać zbadania i testów regresji poprawki.
W dokumentacji UE wyniki weryfikacji wspierają ocenę ryzyka i mogą wskazywać zmiany wymagane w wyrobie lub jego instrukcjach. MDCG 2019-16 wyjaśnia, jak prace te są kontynuowane po wprowadzeniu do obrotu. IEC 81001-5-1 zapewnia proces cyklu życia służący utrzymaniu tych działań.
Źródła
- FDA, Cybersecurity in Medical Devices: Quality Management System Considerations and Content of Premarket Submissions, ostateczne wytyczne, luty 2026 r.
- FDA, Postmarket Management of Cybersecurity in Medical Devices, ostateczne wytyczne, grudzień 2016 r.
- Komisja Europejska, MDCG 2019-16, Wytyczne dotyczące cyberbezpieczeństwa wyrobów medycznych
- IEC, IEC 81001-5-1:2021 Bezpieczeństwo, skuteczność i ochrona oprogramowania medycznego oraz systemów IT w ochronie zdrowia