Ny trusselmodelleringshåndbok forbereder medisinsk utstyr på cybersikkerhetsproblemer

Av Matt Walker, tilbakekallingsrådgiver

Nettsikkerhet har blitt et kritisk problem for medisinsk utstyrsindustrien, der en cybertrussel kan føre til skade eller til og med død.

For å håndtere dette voksende problemet har det amerikanske mat- og legemiddeltilsynet (FDA), MITRE Corporation og Medical Device Innovation Consortium (MDIC) publisert en håndbok som gir innsikt til organisasjoner som utvikler eller videreutvikler en tilnærming til å lage trusselmodeller for cybersikkerhet innen medisinsk utstyr.

Hva er trusselmodellering, og hvordan er det nyttig?

I følge strategien er trusselmodellering «å analysere representasjoner av et system for å fremheve bekymringer om sikkerhets- og personvernegenskaper». Dette innebærer å stille fire viktige spørsmål for å begynne å gjenkjenne hva som kan gå galt i et system. Disse spørsmålene inkluderer:

• Hva jobber vi med?
• Hva kan gå galt?
• Hva skal vi gjøre med det?
• Gjorde vi en god nok jobb?

Etter å ha gjennomført en trusselmodelleringsøvelse, identifiserer selskaper «trusler» – design- eller implementeringsproblemer i et medisinsk utstyr som krever justeringer eller tiltaksreduksjoner. Gitt kompleksiteten og sammenkoblingen av medisinsk utstyr, er det viktig at alle selskaper regelmessig gjennomfører trusselmodelleringsøvelser. Å oppdage en trussel tidlig kan ofte forhindre død eller skade på fremtidige pasienter.

Truslene som oppstår fra sårbarheter i nettsikkerheten er også risikoer som kan føre til tilbakekalling for en produsent av medisinsk utstyr. Å gjennomføre en trusselmodelleringsøvelse kan hjelpe produsenter med å identifisere disse risikoene gjennom hele livssyklusen til et medisinsk utstyr og skape muligheten til å redusere risikoene før de fører til en tilbakekalling.

Selv om FDA har delt at trusselmodelleringshåndboken ikke er en veiledning, har Suzanne Schwartz, direktør for FDAs Center for Devices and Radiological Health's Office of Strategic Partnerships and Technology Innovation, advart om at FDA «vil se etter mye mer detaljert og omfattende trusselmodellering som en del av klarerings- eller godkjenningsprosessen for medisinsk utstyr.» Med dette i tankene bør alle produsenter av medisinsk utstyr som planlegger å sende inn en enhet til godkjenning, følge nøye med på trusselmodelleringshåndboken og ta de nødvendige skrittene nå for å sikre at de er forberedt på å presentere bevis på en tilstrekkelig trusselmodell.

Trusselmodellering vil også hjelpe produsenter med å identifisere risikoer tidlig i FoU-fasen, samt hjelpe dem med å tenke på hvilken innvirkning risikoene kan ha når enheten er på markedet. Til syvende og sist vil nøye trusselmodellering skape trygghet, spare penger og enda viktigere, redde liv.