Cyber-Sicherheitsanforderungen an netzwerkfähige Medizinprodukte
Die Digitalisierung und der damit verbundene Trend zur Vernetzung ist auch bei Medizinprodukten ein wichtiges Thema. Der schnelle und komfortable Austausch von Informationen ist beispielsweise bei der Analyse des Gesundheitszustandes von Patient:innen gewinnbringend und kann die Qualität der Behandlung steigern.
Diese Medizinprodukte werden in Bereichen, die für Patient:innen als sicherheitskritisch gelten, verwendet. Zusätzlich zählen die übertragenen Daten auf Basis der DSVGO als besonders schützenswert. Nicht zuletzt mit Blick auf Audit-Verfahren gilt es für Hersteller:innen, einen besonderen Augenmerk auf Cybersecurity zu legen. Dementsprechend sind Fragen zu Cyber-Sicherheitsanforderungen an netzwerkfähige Medizinprodukte und deren Schutz wichtige Themen.
Ein solcher Schutz beinhaltet neben technischen, auch organisatorischen Maßnahmen. Wir geben Ihnen einen Überblick über beide Bereiche und stellen wichtige Punkte vor.
von Sebastian Wittor
Technische Maßnahmen
Unter technische Maßnahmen sind alle soft- und hardwarebasierten, umsetzbaren Schutzmaßnamen zur Absicherung des Medizinprodukts gegenüber Angriffen Dritter zu verstehen. Sie behandeln konkrete potenzielle Angriffsvektoren und sichern das Medizinprodukt demgegenüber ab.
Absicherung der Netzwerkkommunikation
Der größte Angriffsvektor für netzwerkfähige Medizinprodukte ist ein Angriff auf die Kommunikationskanäle und den damit verbundenen Datenaustausch sowie die -verarbeitung. Hierbei besitzt ein:e Angreifer:in die Möglichkeit, diese Daten auszulesen oder zu manipulieren. Zur Absicherung der Kommunikation ist zuerst eine Analyse notwendig. Basierend hierauf erfolgt die Planung und technische Umsetzung der Datenübertragung. Unter Beachtung aktueller Schutzmaßnahmen und kryptografischer Verfahren sollte eine Absicherung der Daten auf Basis der Schutzziele erfolgen.
Verhinderung der Preisgabe von Informationen
Neben dem Schutz der Datenübertragung ist auch die Absicherung des Medizinproduktes samt Hostsystems zu beachten. Durch systembasierte Schwachstellen besitzen Angreifer:innen die Möglichkeit, Informationen über die Kommunikation und verwendete Sicherheitsmerkmale zu erhalten die zum Angriff auf diese Netzwerkverbindung verwendet werden können.
Erkennung von Angriffen
Trotz der Verwendung aktueller Sicherheitsstandards und ihrer gewissenhaften Umsetzung lassen sich potenzielle Angriffe auf unbekannte Schwachstellen nicht ausschließen. Deswegen ist die Implementierung eines Systems zur Erkennung potenzieller Angriffe empfehlenswert. Es analysiert die Verwendung des Medizinprodukts sowie deren Kommunikationskanäle. Zudem stellt es auf Basis dieser Daten Unregelmäßigkeiten fest, die auf einen Angriff hindeuten können. Dies dient neben der Erkennung auch dem Verständnis über den Ablauf eines Angriffes und seines Angriffsvektors, um darauf basierend konkrete Gegenmaßnahmen einleiten zu können.
Sicherstellung von Grundfunktionalitäten
Medizinprodukte sollen ihre Grundfunktionalität auch ohne aktive Netzwerkverbindung oder bei einem potenziellen Angriff sicherstellen. Das oberste Schutzziel und somit zentral für Fragen rund um Cybersecurity ist die Wahrung der Gesundheit von Patient:innen.
Analyse zur Absicherung der Netzwerkkommunikation
Die wichtigsten Fragen im Überblick
