6. Vedlegg

Grunnleggende prinsipper

Medical Device Coordination Group (MDCG) har i desember 2019 utgitt veilederen "MDCG 2019-16 Guidance on Cybersecurity for medical devices" som bl.a. beskriver grunnleggende prinsipper for digital sikkerhet for medisinsk utstyr. Nedenfor følger et utdrag av momenter som bør inngå i virksomhetenes arbeid for å oppnå godt sikkerhetsarbeid på dette området.

Medisinsk utstyr bør brukes slik som produsenten har tiltenkt, i henhold til bruksanvisningen som følger med enhetene. Virksomheten bør følge produsentens publiserte krav og retningslinjer angående sikkerhet for igangkjøring, drift og demontering av medisinsk utstyr, f.eks. isolere et medisinsk utstyr fra internett hvis det ikke er nødvendig for dets drift; bruke programvareoppdateringer i henhold til produsentens instruksjoner (når dette er virksomhetens ansvar), eller sørge for at programvare til beskyttelse mot skadelig kode er oppdatert, hvis det er aktuelt for utstyret.

Driftsmiljøet for medisinsk utstyr er definert som ethvert IT/nettverksmiddel som samhandler med det medisinske utstyret som ikke leveres av produsenten av medisinsk utstyr.

Eventuelle minimumskrav til maskinvare, IT-nettverksegenskaper og IT-sikkerhetstiltak for driftsmiljøet bør defineres på grunnlag av følgende prinsipper:

• Ethvert foreslått IT-sikkerhetskrav for driftsmiljøet bør være basert på risikovurderingen for det medisinske utstyret.
• Det medisinske utstyret skal være så autonomt som mulig når det gjelder IT-sikkerhet, og den eneste avhengigheten av at det eksisterer IT-sikkerhetskrav til driftsmiljøet, bør holdes på et minimum og gjenspeile produsentens antagelser om grunnleggende miljøsikkerhet for sikker drift av det medisinske utstyret.
• Produsentens forutsetninger om IT-sikkerheten i driftsmiljøet skal være tydelig dokumentert i bruksanvisningen og kan referere til sikkerhetsstandarder for beste praksis.
• I samsvar med prinsippet om lagdelt sikkerhet, bør IT-sikkerhetstiltak for driftsmiljøet generelt ikke tjene formålet med å kompensere sikkerhetskontroll for sårbarheter i medisinsk utstyr, med mindre det er tilstrekkelig begrunnelse. I tilfeller der medisinsk utstyr er avhengig av driftsmiljøet for å gi viktige IT-sikkerhetskontroller, bør dette fremgå av den medfølgende tekniske dokumentasjonen.

Produsenten av medisinsk utstyr bør bestemme IT-sikkerhetskravene for driftsmiljøet på grunnlag av de ovennevnte prinsippene. De relevante sikkerhetskravene kan inkludere enhver kombinasjon av tekniske og organisatoriske tiltak som påvirker IT-sikkerheten til driftsmiljøet til det medisinske utstyret. 

 Eksempler på uønskede hendelser av betydning for informasjonssikkerhet knyttet til medisinsk utstyr

Disse eksemplene kan brukes som utgangspunkt for risikovurdering. Listen over uønskede hendelser må tilpasses virksomheten.

1. Ansatte har ikke fått opplæring i hvordan bruk av MU skal skje i henhold til rutiner i virksomheten.
2. Pasient ser opplysninger om en annen pasient på PC/visningsutstyr (som er plassert slik at innsyn er mulig).
3. Manglende passord/felles passord på utstyret.
4. MU/Server med helse- og personopplysninger fra MU er stjålet (inklusive sikkerhetskopi som satt i maskinen).
5. Identifiserbare helse- og personopplysninger på MU som ikke lenger er nødvendige og relevante blir ikke slettet.
6. Manglende tilgangskontroll til utstyr, system eller lagringsområde med helse- og personopplysninger (personell uten tjenstlig behov har tilgang).
7. Manglende hendelsesregistrering hos utstyr, system eller lagringsområde med helse- og personopplysninger.
8. Ansatt som slutter blir ikke fjernet som bruker i system med tilgang til helse- og personopplysninger fra MU.
9. Helse- og personopplysninger fra MU inkluderes ikke i backup.
10. Manglende tilgjengelighet ved lokale systemfeil.
11. Manglende tilgjengelighet ved nedetid på sentral infrastruktur.
12. Sikkerhetskopi oppbevares ikke avlåst, brannsikkert og adskilt fra driftsutstyret.
13. Digitale angrep (datavirus eller ondsinnet kode via f.eks. minnepinne eller nettverk) fører til at utstyret blir utilgjengelig.
14. Digitale angrep mot MU, slik at utstyret blir brohode for slike angrep videre inn i infrastrukturen.
15. Manglende kryptering/sikring av trådløs kommunikasjon kan medføre uautorisert tilgang til opplysninger.
16. Utilsiktet lagring av helse- og personopplysninger hos leverandør (ved fjernaksess for support).
17. Utilsiktet lagring av helse- og personopplysninger i tekniske logger.
18. Manglende databehandleravtale der det er krav til dette.
19. Data slettes ikke hos databehandler ved opphør av avtale.
20. Manglende avtaler for tjenestenivå, f.eks. oppetid og support.
21. Utlevering av personopplysninger utenfor EU/EØS-området.
22. Det lagres helse- og personopplysninger som ikke er lenger er nødvendig og relevante på utstyr/system.