Nu ska IT-säkerheten hos medicintekniska system bli bättre

Förslag till rapport för att underlätta bedömning av IT-säkerhet hos medicintekniska system.

En medicinteknisk utrustning som ansluts till ett datanät ska inte kunna bli farlig för patienter eller personal, genom att den kan påverkas av andra enheter i nätet, eller omvänt. Det finns en svensk standard SS-EN 80001-1, som lägger fast grunderna för detta, ger riktlinjer för hur det ska gå till och beskriver vem som har ansvaret.

På samma sätt ska inte heller IT-säkerheten äventyras, t ex vad det gäller tillgången till uppgifter om patienter. Det beskrivs i den tekniska rapporten SEK TR 80001-2-2, som, liksom standarden, ursprungligen tagits fram inom IEC, den internationella organisationen för standardisering på elområdet. Arbete har skett inom den tekniska kommittén IEC SC 62A, Common aspects of electrical equipment used in medical practice, i nära samarbete med kommittén TC 215, Health informatics, inom ISO.

Nu finns ett förslag ute bland medlemmarna i IEC, att göra ytterligare en teknisk rapport, som ska ge hjälp när konstruktörer och tillverkare ska beskriva vilka risker som kan förekomma och hur de hanteras. Förslaget beskriver olika steg för att identifiera hot och sårbarhet och hur de kan kopplas till den försäkran som tillverkaren gör, enligt den enkla klassning av säkerhetsåtgärder som beskrivs i 80001-2-2. Dessa är tänkta att användas av tillverkare och användare vid en gemensam bedömning av IT-säkerheten just i medicintekniska nät, och ersätter inte den allmänna ISO/IEC 15408, Information technology – Security techniques – Evaluation criteria for IT security.

Den föreslagna tekniska rapporten ska också, som ett nästa steg, motivera de åtgärder som behöver vidtas för att upprätthålla IT-säkerheten i det medicintekniska nätverket.

Förslaget, som betecknas 62A/975/NP, är ute på röstning till den 13 februari 2015 och kan fram till dess utan kostnad beställas från SEK Svensk Elstandard, som är den svenska organisation som representerar svenska intressen i IEC.

Se preview här på SS-EN 80001-1, Riskhantering tillämpad på IT-nätverk som innehåller eller är kopplade till medicintekniska produkter - Del 1: Roller, ansvar och aktiviteter.

Se preview här på SEK TR 80001-2-2, Application of risk management for IT-networks incorporating medical devices - Part 2-2: Guidance for the disclosure and communication of medical device security needs, risks and controls.

Funktionen ”Preview” ger direkt tillgång till de inledande avsnitt som visar omfattning och ändamål för alla standarder från SEK Svensk Elstandard.