אם אתה משתמש כרגע במכשירים רפואיים מחוברים או מתכנן לעשות זאת, הנה 5 טיפים שיעזרו לך לנהל את חובות אבטחת הסייבר שלך במכשירים רפואיים:

1. עקוב אחר הנחיות אבטחת הסייבר של ה-   FDA ושל הרשות האירופית. בין ההנחיות:

• כדי לתפקד כראוי, מכשירים רפואיים המחוברים לענן מסתמכים על מערכת אקולוגית מורכבת של שרתים, מסדי נתונים ורשתות.
• זהה והגב לאיומי אבטחת סייבר
• שמור על סודיות נתונים רגישים הן באחסון והן במעבר
• שמור על שלמות הקוד והנתונים שלהם
• מנע שימוש לא מורשה במערכת

2. שליטה בגישה למידע בריאותי מוגן

מידע בריאותי מוגן (PHI) הוא סוג מוגן של נתונים הנופל תחת חוק הפרטיות של HIPAA. PHI כולל כל מידע שניתן לזהות באופן אינדיבידואלי המתייחס ל:

• מצב בריאותי בעבר או בהווה של אדם
• כל טיפול רפואי בעבר, בהווה או בעתיד שאדם מקבל
• כל תשלום בעבר, בהווה או בעתיד שנעשה עבור מתן טיפול רפואי על ידי או בשמו של אותו אדם

ציפיות HIPAA מחמירות להגנת PHI הן אחת הסיבות לכך שתקני אבטחת מכשירים רפואיים מחוברים כה גבוהים. קנסות של מיליוני דולרים ואפילו מאסר נגזרו על הפרות של חוק פרטיות המידע המרכזי הזה.

כדי להבטיח שנתוני המכשיר הרפואי המחוברים של המטופלים שלך יישארו מוגנים, יש לנעול אותם מאחורי בקרות גישה קפדניות מבוססות זהות ותפקידים. רק אנשים עם הכשרת אבטחה HIPAA וצורך מוכח בגישה צריכים להיות מורשים לאחזר או לשנות נתוני בריאות שנשלפו ממכשירים מחוברים. כל אחד מהאנשים הללו חייב להשתמש בשם משתמש ייחודי וסיסמה חזקה המשתנה באופן קבוע. זה עוזר להקל על איתור איומים במקרה של פריצת נתונים.

3. ליישם שיטות עבודה מומלצות להנדסת אבטחת ענן

תוכנה מבוססת ענן נמצאת בשימוש כבר למעלה מ-20 שנה. במהלך תקופה זו, מומחי אבטחת סייבר פיתחו סדרה של שיטות עבודה מומלצות כדי להגן על נקודות התורפה הייחודיות של סוג זה של מערכת. כמה מהשיטות החשובות ביותר בתחום אבטחת הענן שיש לקחת בחשבון בעת יישום אבטחה עבור מכשירים רפואיים המחוברים לענן כוללות:

•   בחר פלטפורמת מכשיר רפואי מחוברת עם מערכת התראה כדי לקבל התראה מראש על כל אירוע חשוד המתרחש ברשת שלך
•   ביצוע גיבויים שוטפים של כל הנתונים הנגזרים מהתקני תקינות מחוברים
• הטמעת הצפנה במהלך כל העברות הנתונים של ההתקן
• ביצוע עדכוני תוכנה רגילים כאשר הספק שלך מבקש זאת
• מעקב אחר אופן השימוש בפלטפורמת המכשירים מבוססת הענן שלך

4. לערוך ביקורות אבטחה סדירות

אבטחת סייבר עבור מכשור רפואי אינה דאגה חד פעמית. אם אינך מבצע ביקורות רגילות, אמצעי אבטחת הענן שלך ייכשלו בסופו של דבר. ספקי שירותי בריאות המשתמשים במכשירים רפואיים מחוברים צריכים לבקר את אבטחת הסייבר שלהם כל כמה חודשים.

כאשר מחשוב ענן מסתמך על פתרונות של צד שלישי על-ידי תכנון, תהליך הביקורת עבור סוג זה של תוכנה שונה באופן משמעותי מביקורת IT פנימית טיפוסית. במקום לבדוק את תקינותם של רוב אמצעי האבטחה בעצמך, ביקורת יסודית עבור מערכת מבוססת ענן תכלול אישור המצב של אמצעים אלה אצל ספק התוכנה שלך. צוות ה- IT שלך צריך להיות מסוגל לשאול את הספק שלך מה נעשה כדי לשמור על אבטחת הנתונים והרשת שלך, כולל סוג הנתונים המאוחסנים בשרתי ענן ומה משמש להגנה עליו.

החלק הפנימי של הביקורת שלך צריך להתייחס לשיקולים כגון תאימות HIPAA, נהלי אימות משתמשים והליכי הערכת סיכונים. ניהול שינויים צריך להיות תחום מסוים של מיקוד במהלך תהליך זה. פגיעויות חדשות צפויות לצוץ בעקבות תיקונים, עדכונים ושינויים אחרים שבוצעו בקוד של תוכנת המכשיר הרפואי שלך.

5. יצירת תרחישי שחזור מאסון

אפילו עם אמצעי ההגנה החזקים ביותר לאבטחת סייבר, התקפות סייבר מוצלחות תמיד אפשריות. ספקי שירותי הבריאות חייבים לתכנן את התרחיש הגרוע ביותר.

צור תהליכים מפורטים המתארים מה תעשה אם יש פריצת נתונים ברשת המכשיר הרפואי שלך. תוכנית זו צריכה לכסות שיקולים מרכזיים:

• כיצד ומתי לגשת לנתוני גיבוי
• כיצד ייעשה שימוש בניתוח מערכת כדי לגלות את נקודת הכשל
• אילו הליכים ישמשו לזיהוי והסרה של כל תוכנה זדונית

כאשר הפונקציונליות של מכשיר רפואי נפגעת על ידי מתקפת סייבר, יש צורך גם ליידע בעלי עניין מרכזיים על האירוע. בתי חולים מקומיים או משרד הבריאות האזורי יוכלו לסייע לך במתן טיפול ביניים בזמן שאתה עובד כדי לפתור את המצב.