Ein Angebot von

Security für Medizingeräte: Wie Sie die Herausforderungen meistern

| Autor / Redakteur: Alex Wilson * / Sebastian Gerstl

Für Software in Medizinelektronik müssen hinsichtlich Security mehrere Fragen beantwortet werden: Werden alle gesetzlichen Vorschriften und Zertifizierungsauflagen erfüllt? Was muss mit Blick auf den Gerätehersteller beachtet werden? Und welche Voraussetzungen gelten im endgültigen Einsatz in Krankenhaus oder Pflegeeinrichtung?
Für Software in Medizinelektronik müssen hinsichtlich Security mehrere Fragen beantwortet werden: Werden alle gesetzlichen Vorschriften und Zertifizierungsauflagen erfüllt? Was muss mit Blick auf den Gerätehersteller beachtet werden? Und welche Voraussetzungen gelten im endgültigen Einsatz in Krankenhaus oder Pflegeeinrichtung? (Bild: Wind River)

Gerade in der Medizinelektronik muss für die eingebettete Software ein hohes Maß an Security gelten. Dabei müssen nicht nur Zertifizierungsauflagen und gesetzliche Bestimmungen, sondern auch spezielle Konditionen der Einsatzorte des medizintechnischen Geräts im Auge behalten werden.

Bei Gesprächen mit Medizingeräte-Herstellern über Innovationen und ihre gravierendsten betrieblichen Probleme innerhalb der letzten 12 Monate hat sich ein Thema klar herauskristallisiert: Security – sei es nun Gerätesicherheit oder Cybersecurity. Die meisten Unternehmen begnügen sich mit einem “ausreichenden” Ansatz, doch dieser greift nicht an allen Stellen im Geräte-Lebenszyklus. Den meisten Softwareentwicklungsleitern ist sehr wohl bewusst, dass derart einfache Security-Maßnahmen unzureichend oder veraltet sind und dass ein pauschales Vorgehen nicht die Security-Anforderungen von heute oder morgen erfüllen kann.

Führungskräfte stimmen darin überein, dass die Gerätesicherheit eine äußerst wichtige Rolle spielt. Sie sind besorgt, dass als nächstes in ihrem Unternehmen die Produktsicherheit kompromittiert werden könnte. Eine kürzlich durchgeführte Umfrage ergab, dass 65 Prozent der Unternehmen der Meinung sind, ihr Unternehmen sei in erheblichem Maß Security-Risiken ausgesetzt, und zwar aufgrund der Nutzung von Mobiltechnik, IT-Security und cloudbasierten Lösungen innerhalb des Unternehmens. Doch trotz dieses Bewusstseins wurde häufig noch keine umfassende Strategie mit konkreten Maßnahmen definiert oder eine betriebswirtschaftliche Begründung erstellt, um Mittel für die Implementierung einer solchen Strategie bereitzustellen. Die Gründe, warum dieses Thema so schleppend angegangen wird, sind vielfältig: mangelndes Verständnis in den Führungsetagen, zu wenig Budget, interne Kompetenzlücken, unzureichende Entwicklungsressourcen, Nichtvorhandensein einer zuständigen Rolle sowie die Komplexität der gesetzlichen Bestimmungen.

Medizintechnische Geräte und gesetzliche Bestimmungen

Gerätehersteller konnten früher guten Gewissens davon ausgehen, dass ihre Geräte nur in einem durch eine Firewall geschützten Netzwerk zum Einsatz kommen. Inzwischen wird dies realistischer gesehen. Man weiß heute z.B., dass sich ein Krankenhaus-Netzwerk nicht vollständig schützen lässt, auch wenn dies eigentlich der Fall sein sollte. Nicht nur in Krankenhäusern, sondern auch in anderen Bereichen arbeiten IT-Mitarbeiter mit Hochdruck daran, ihre Netzwerke zu patchen und aktuell zu halten. Dabei müssen sie aber auch immer mehr und immer unterschiedlichere Arten von Geräten in diese Netzwerke und inzwischen auch in cloudbasierte Dienste außerhalb des Krankenhauses einbinden. Folglich entstehen mehr Ausnahmen zu den ursprünglichen Einsatzregeln. Erst vor kurzem wurde belegt, dass selbst eine Firewall längst nicht mehr umfassenden Schutz bedeutet, wenn an verschiedensten Stellen unzureichend ausgestattete Geräte und ungenügende Sicherheitsmaßnahmen im Einsatz sind. Auch laufen medizintechnische Geräte in Langzeitpflege-Einrichtungen außerhalb der Klinikmauern oder in Privathaushalten - und dort gibt es kein IT-Team, das einen Security-Prozess bzw. ein sicheres Netzwerk implementiert.

Der amerikanischen Bundesaufsichtsbehörde für Lebens- und Arzneimittel (Food and Drug Administration FDA) ist das Thema Cybersicherheit ein Anliegen. Sie hat als ersten Schritt im Oktober 2014 das Regelwerk Content of Premarket Submissions for Management of Cybersecurity in Medical Devices veröffentlicht.

Das Regelwerk hat übrigens einige anerkannte Security-Standards bestätigt, mit denen sich diese Maßnahmen umsetzen ließen, darunter IEC 80001 und IEC 62443. Ein guter Anfang – doch um diese Standards auf Geräte und Infrastrukturen im Healthcare-Bereich anzuwenden, ist umfassenderes Fachwissen und Expertise vonnöten.

Für den Medizingeräte-Hersteller gilt die Norm nicht nur unabhängig für ein einzelnes Gerät, sondern zielt vielmehr darauf ab, inwiefern das Gerät ein vernetztes IEC 80001-konformes Healthcare-System unterstützt und wie es in dieses vernetzte System eingebunden ist.

Umgekehrt deckt die Norm IEC 62443 viele Aspekte industrieller Steuersysteme ab, richtet sich aber nicht speziell an Medizinprodukte. Man muss also verstehen, wie sie anzuwenden ist und inwiefern sie dabei helfen kann, eine Security-Strategie zu entwickeln, die die Anforderungen der Endnutzer erfüllt, damit ein Gerät in ein ISO 80001-basiertes Healthcare-System eingebunden werden kann.

Im Dezember 2016 wurde das FDA-Regelwerk um das Dokument Postmarket Management of Cybersecurity in Medical Devices erweitert. Es behandelt das Cybersecurity-Risikomanagement für im Einsatz befindliche Geräte und besagt, dass eine wirksame Risikomanagement-Strategie die Cybersecurity von Medizinprodukten von der Konzeption bis hin zur Obsoleszenz sicherstellt. Herstellern wird die Anwendung des Framework for Improving Critical Infrastructure Cybersecurity des National Institute of Standards and Technology (NIST) empfohlen.

Betrachten wir die wichtigsten Stakeholder bei der Entwicklung und Implementierung einer erfolgreichen Security-Strategie und ihre Hauptargumente und Zielsetzung.

Wichtige Fragestellungen für Medizinprodukt-Hersteller

Medizingeräte-Hersteller müssen sicherstellen, dass ihre Geräte wettbewerbsfähig sind und sich ständig ändernde gesetzliche Vorgaben erfüllen, besonders was die Security betrifft. Auf folgende Fragen müssen sie schnell Antworten finden:

1. Wie können wir eine Security-Strategie implementieren, die

  • a. sich unmissverständlich und wirkungsvoll kommunizieren lässt: an Medizinprodukt-Hersteller, ihre Vertriebsorganisation und ihre Kunden?
  • b. die Anforderungen der Endnutzer (z.B. IEC 80001) sowie Anforderungen aus nationalen gesetzlichen Vorgaben zur Sicherheit und Nothilfe erfüllt (z.B. Katastrophenschutzgesetz in Deutschland oder Federal Disaster Relief Act7 in den USA)?
  • c. die gesamte korrekte Dokumentation liefert, die von den Aufsichtsbehörden gefordert wird?

2. Haben wir ausgebildetes Personal, das sowohl die Sicherheits- als auch die Security-Anforderungen für Medizinprodukte versteht?

3. Wie können wir die IT-Leiter unserer Kunden bei der Implementierung einer IEC 80001 Strategie unterstützen? Und wie reagieren wir auf Ausschreibungen, die IEC 80001-konforme Medizingeräte spezifizieren, und wie stellen wir die für Endnutzer erforderlichen Daten bereit, um die IEC 80001 Konformität zu wahren?

4. Wie reagieren wir auf Anforderungen der Krankenhäuser, was innovative Behandlungsmethoden, die neuesten Medizintechnik-Entwicklungen, kostenoptimierte Dienstleistungen oder auch völlig neue Geschäftsmodelle betrifft?

5. Sollten wir vernetzte Medizingeräte in Betracht ziehen, um den Trend hin zu intelligenten Krankenhäusern voranzutreiben?

  • a. Wie adressieren wir die Bedenken von Krankenhaus-Betreibern?
  • b. Wie ermöglichen wir den Datentransfer an solche Systeme? Bleiben wir im Besitz der Daten, und wie ist der Datenschutz geregelt?
  • c. Wie gewährleisten wir die Security bei der Übertragung von Daten zwischen diesen Systemen?

Herausforderungen an Healthcare-Einrichtungen

Healthcare-Einrichtungen stehen zahlreichen Herausforderungen gegenüber:

Innovationsdruck: Nur durch Innovation lässt sich die Wettbewerbsfähigkeit von Krankenhäusern und medizinischen Dienstleistern aufrechterhalten.

Kostenmanagement: Angesichts steigender Fallzahlen und sinkender Mittel im Gesundheitswesen unerlässlich für die finanzielle Gesundheit

Haftung, Versicherung, gesetzliche Bestimmungen: Diese Faktoren verursachen immer höhere Kosten bzw. Aufwand. Gleichzeitig steigen die Anforderungen an IT-Security, Risikomanagement-Strategien werden komplexer und die Risikoaversion steigt (Katastrophenschutzgesetz, IEC 80001).

Neue Aufsichtsbehörden und Normen: Legen einen größeren Schwerpunkt auf die Konnektivität von Medizinprodukten (FDA, TÜV, IEC 62304)

Implementierte IT-Security: Besserer Schutz ist bei Medizingeräten unabdingbar, um auf immer umfassendere Security-Bedrohungen reagieren zu können – auch wenn damit die Interoperabilität unter den Medizingerät-Herstellern komplexer wird.

Datengenerierung: Über das IoT lassen sich Daten immer umfassender nutzen; für Hersteller bedeutet das attraktivere Produkte, geringere Ausgaben und höhere Einnahmen mit neuen Geschäftsfeldern.

Rechtzeitige Koordination mit Zertifizierungsstellen

Angesichts der hochkomplexen Security-Bestimmungen für Medizingeräte ist es unerlässlich, sich bei der Entwicklung einer Security-Strategie rechtzeitig mit den entsprechenden Zertifizierungsstellen abzustimmen. So wissen der Gerätehersteller oder die Healthcare-Einrichtung, dass die festgelegte Security-Strategie mit den aktuellen gesetzlichen Bestimmungen in Einklang steht und der eingeschlagene Weg letztlich zu einer Genehmigung durch die Zertifizierungsstellen führt. Dies gilt ebenso für die Verifikation und Validierung von Sicherheitssystemen.

Hoher Anspruch für Security gerade in Medizinelektronik

Im Zuge der digitalen Business-Transformation sind Hersteller und Anwender von Medizingeräten gleichermaßen gefordert, sich mit den damit verbundenen Problemen der Cybersecurity auseinandersetzen. Nur so lassen sich gesetzliche Vorgaben erfüllen und die Risiken für ihre Marke bzw. den Ruf ihres Unternehmens mindern.

Security muss über den gesamten Lebenszyklus eines Gerätes in der Medizinelektronik sichergestellt sein – nicht nur bei dessen Entwurf, Entwicklung oder Herstellung. Dies betrifft auch Aspekte des Betriebs, wie z.B. Sicherheits-Updates bzw. den Einsatz des Gerätes in einer Healthcare-Umgebung nach IEC 80001. Für Gerätehersteller eröffnet dies aber auch die Möglichkeit, sich erfolgreich von bestehenden und künftigen Mitbewerbern abzuheben.

Risiko Insider-Angriffe – Code-Manipulationen erkennen

Risiko Insider-Angriffe – Code-Manipulationen erkennen

24.05.18 - Nicht nur versehentliche Fehler gefährden die eigene Software: Auch böswillige Angriffe durch Insider stellen ein erhebliches Risiko dar. Um absichtliche Code-Manipulationen und versteckten Schadcode zu finden, bietet sich die statische Analyse an. Eigener, aber auch Code aus fremden Händen sollte damit überprüft werden. lesen

Konsolidierung mehrerer Embedded-Anwendungen mit einem Separation Kernel

Konsolidierung mehrerer Embedded-Anwendungen mit einem Separation Kernel

02.05.18 - Die Entwicklung eingebetteter Systeme steht zunehmend im Zeichen der Konsolidierung: Immer mehr Anwendungen müssen auf immer weniger Hardware-Plattformen laufen. Der gemeinsame Betrieb sicherheitskritischer und unkritischer Anwendungen auf einer Plattform erfordert neue Ansätze. lesen

* Alex Wilson ist Director of Market Development bei Wind River

Kommentar zu diesem Artikel abgeben
Hallo zusammen, ich kann nur unterstreichen: Es ist zwingend notwendig, sich früh um geeignete...  lesen
posted am 12.06.2018 um 12:51 von Unregistriert


Mitdiskutieren
copyright

Dieser Beitrag ist urheberrechtlich geschützt. Sie wollen ihn für Ihre Zwecke verwenden? Infos finden Sie unter www.mycontentfactory.de (ID: 45348092 / Safety & Security)