Teknoloji · Biyomex Medikal · · 5 dk okuma
Yıllardır tıbbi cihaz sektöründe kalite, güvenlik ve performans denildiğinde aklımıza ilk olarak elektriksel güvenlik testleri, EMC testleri, kalibrasyon ve bakım süreçleri geliyordu.
Ancak teknoloji hızla değişiyor. Bugün bir hasta monitörü, MR cihazı, ventilatör, infüzyon pompası veya laboratuvar analizörü artık sadece elektronik bir cihaz değil; aynı zamanda hastane ağına bağlanan, veri paylaşan, uzaktan güncellenebilen ve yazılım ile yönetilen bir bilgisayar sistemi haline geldi. Bu dönüşüm, beraberinde yeni bir soruyu da gündeme getiriyor: “Bu cihaz siber saldırılara karşı ne kadar güvenli?”
Bir tıbbi cihazın doğru ölçüm yapması elbette çok önemlidir. Ancak cihazın kötü niyetli kişiler tarafından ele geçirilebilmesi, yazılımının değiştirilebilmesi veya hasta verilerinin dışarı sızdırılabilmesi de en az bunun kadar kritik bir güvenlik problemidir.
Bu nedenle günümüzde tıbbi cihaz güvenliği üç temel başlık altında değerlendirilmektedir:
Özellikle ağ bağlantılı cihazlarda üçüncü başlık artık vazgeçilmez hale gelmiştir.
Siber güvenlik yalnızca antivirüs programlarından ibaret değildir. Bir tıbbi cihazın güvenliği iki farklı açıdan değerlendirilmelidir.
Bu testler cihazın fiziksel donanımına yönelik saldırıları değerlendirir. Örneğin;
• USB portundan cihaz ele geçirilebilir mi?
• Debug portları korunuyor mu?
• Firmware fiziksel olarak okunabiliyor mu?
• Secure Boot kullanılıyor mu?
• Şifreleme anahtarları güvenli şekilde saklanıyor mu?
• Bellek içerikleri dışarı çıkarılabiliyor mu?
Bu testlerin amacı, cihaz fiziksel olarak ele geçirilse bile güvenliğini koruyabilmesini sağlamaktır.
• Yetkisiz erişim mümkün mü?
• Parolalar güvenli mi?
• Firmware güncellemeleri doğrulanıyor mu?
• Ağ haberleşmesi şifreli mi?
• Güvenlik açıkları bulunuyor mu?
• Penetrasyon testleri gerçekleştirildi mi?
Amaç; cihazın uzaktan saldırılarla ele geçirilmesini veya hasta verilerinin tehlikeye girmesini önlemektir.
Avrupa Birliği Tıbbi Cihaz Regülasyonu (MDR), üreticilerin siber güvenlik risklerini yaşam döngüsü boyunca yönetmesini beklemektedir. Bu kapsamda üreticiler;
• Siber güvenlik risk analizi yapmak,
• Riskleri azaltacak teknik önlemleri uygulamak,
• Güvenli yazılım geliştirme süreçlerini oluşturmak,
• Güvenlik açıklarını takip etmek,
• Yazılım güncellemelerini güvenli şekilde yönetmek
zorundadır. Yani artık siber güvenlik, teknik dosyanın ayrılmaz bir parçasıdır.
Bugün birçok satın alma şartnamesinde; CE Belgesi, EMC Test Raporu, Elektriksel Güvenlik Testi ve Kalibrasyon Belgeleri istenmektedir. Yakın gelecekte bunlara aşağıdaki belgelerin de eklenmesi kaçınılmaz görünmektedir:
• Cybersecurity Assessment Report
• Hardware Cybersecurity Test Report
• Software/Firmware Cybersecurity Test Report
• Vulnerability Assessment Report
• Penetration Test Report
Çünkü hastaneler artık yalnızca bir cihaz satın almıyor. Aslında kendi bilgi işlem altyapısına yeni bir ağ cihazı ekliyor.
Bana göre önümüzdeki yıllarda üniversite hastaneleri, şehir hastaneleri ve uluslararası satın alma süreçlerinde teknik şartnamelere aşağıdaki gibi maddelerin eklenmesi yaygınlaşacaktır:
• Üretici, cihazın siber güvenlik risk değerlendirme raporunu sunmalıdır.
• Donanım ve yazılım siber güvenlik testlerinin gerçekleştirildiği belgelendirilmelidir.
• Güvenlik güncellemeleri yaşam döngüsü boyunca sağlanmalıdır.
• Firmware yalnızca doğrulanmış yazılımlarla güncellenebilmelidir.
• Kritik güvenlik açıklarının yönetim süreci tanımlanmış olmalıdır.
Bu yaklaşım hem hasta güvenliğini artıracak hem de hastane bilgi sistemlerinin korunmasına katkı sağlayacaktır.
Elektriksel güvenlik testleri ve EMC testleri yıllardır tıbbi cihaz sektörünün vazgeçilmez bir parçasıdır. Benzer şekilde, önümüzdeki dönemde Hardware ve Software Siber Güvenlik Testlerinin de standart uygunluk değerlendirme süreçlerinin ayrılmaz bir parçası olacağını düşünüyorum.
Bu durum yalnızca üreticiler için değil; test laboratuvarları, biyomedikal mühendisleri, siber güvenlik uzmanları, hastane biyomedikal birimleri ve satın alma komisyonları için de yeni bir uzmanlık alanı oluşturacaktır.
Dijitalleşen sağlık sistemlerinde güvenlik artık yalnızca cihazın çalışmasıyla ölçülmüyor. Asıl soru şudur: “Bu cihaz siber saldırılara karşı ne kadar dayanıklı?”
Yakın gelecekte tıbbi cihazların teknik yeterliliği değerlendirilirken yalnızca performansı değil, siber güvenliği de temel kriterlerden biri olacaktır. Bu nedenle üreticilerin, hastanelerin ve sektör profesyonellerinin bugünden bu dönüşüme hazırlanması gerektiğine inanıyorum. Çünkü geleceğin güvenli hastaneleri, yalnızca kaliteli cihazlarla değil, aynı zamanda siber güvenliği doğrulanmış cihazlarla inşa edilecektir.
Etiketler: Tıbbi Cihazlar, MDR, Siber Güvenlik, Donanım Güvenliği, Yazılım Güvenliği