FDA präzisiert Erwartungen an das Cybersicherheitsmanagement

Die FDA hat deutlich gemacht, dass sie erwartet, Hersteller medizinischer Geräte und andere Life-Science-Unternehmen haben starke Cybersicherheits-Managementprogramme. Da die FDA nicht immer klar formuliert hat, was sie im Einzelnen erwartet, kann das Common Vulnerability Scoring System dringend benötigte Leitlinien für das Cybersicherheitsmanagement bieten.

Common Vulnerability Scoring System (CVSS)

Die FDA regelt die Arzneimittel- und Hersteller medizinischer Geräte zu einem wichtigen Dokument der gemeinnützigen Organisation FIRST, das Herstellern hilft, Risiken zu identifizieren und zu priorisieren. Es heißt Common Vulnerability Scoring System (CVSS) v3.0.

Wir haben Häufig wird über die zunehmenden Herausforderungen der Cybersicherheit für medizinische Geräte geschrieben, Pharmazeutika und VersorgungsunternehmenDie Herausforderung ist groß. Die Lösungen sind nicht immer so eindeutig. Das CVSS ist eine willkommene Ergänzung zur Diskussion.

Der Anstieg der Cybersicherheitsrisiken

„Schwachstellen in Software, Hardware und Firmware stellen für jede Organisation, die ein Computernetzwerk betreibt, ein kritisches Risiko dar und können schwer zu kategorisieren und zu beheben sein“, heißt es im CVSS-Spezifikationsdokument.

CVSS enthält 3 Metrikgruppen

CVSS besteht aus drei Metrikgruppen: Basis, Zeit und Umgebung.

• Die Basisgruppe stellt die intrinsischen Eigenschaften der Schwachstelle dar, einschließlich Angriffsvektor und Komplexität sowie Auswirkungen auf Vertraulichkeit, Integrität und Produktverfügbarkeit.
• Die zeitliche Gruppe spiegelt die Merkmale einer Sicherheitslücke wider, die sich im Laufe der Zeit ändern können, einschließlich des Behebungsgrads.
• Die Gruppe „Umgebung“ stellt Merkmale einer Sicherheitslücke dar, die für die Umgebung eines Benutzers spezifisch sind. Zu den Faktoren gehören unter anderem Anforderungen an Vertraulichkeit, Integrität und Verfügbarkeit.

Basismetriken ergeben eine Punktzahl zwischen null und zehn. Diese Punktzahlen können dann durch Berücksichtigung zeitlicher und umweltbezogener Metriken geändert werden.

Standardisierte Schwachstellenbewertungen

CVSS ermöglicht es, die Hauptmerkmale einer Schwachstelle zu erfassen und einen numerischen Wert zu ermitteln, der deren Schweregrad widerspiegelt. CVSS liefert standardisierte Schwachstellenbewertungen für das Cybersicherheitsmanagement. Diese Bewertung lässt sich wiederum in ein Schema mit den Werten niedrig, mittel und hoch übersetzen. Noch hilfreicher ist, dass CVSS ein offenes Framework bietet. Anstatt sich auf willkürliche Bewertungen Dritter zu verlassen, bietet CVSS transparente Bewertungen.

Einfachere Priorisierung von Risiken

Im Hinblick auf die Bestimmung Risikomanagement Das CVSS erleichtert zudem die Priorisierung von Risiken erheblich. Durch die Berechnung des vollständigen Umwelt-Scores wird die Schwachstelle für jede Organisation kontextbezogen. Dies „trägt zu einem besseren Verständnis des Risikos bei, das diese [spezifische] Schwachstelle für die Organisation darstellt“, heißt es im Dokument.

Organisationen vereinbaren formell Zusammenarbeit im Bereich Cybersicherheit

Andernorts schließen sich Organisationen zusammen, um zu helfen Hersteller medizinischer Geräte potenzielle Risiken besser definieren und verstehen. Im Oktober unterzeichneten das National Health Information Sharing and Analysis Center (NH-ISAC), das Medical Device Innovation, Safety and Security Consortium (MDISS) und das Center for Devices and Radiological Health (CDRH) der US-amerikanischen Food and Drug Administration (FDA) eine Vereinbarung zur Zusammenarbeit in mehreren Bereichen, darunter:

1. Schaffung eines Umfelds, das die Zusammenarbeit und Kommunikation der Beteiligten fördert. Es sollte den Informationsaustausch über Schwachstellen in der Cybersicherheit fördern, die die Sicherheit, Wirksamkeit und den Schutz der Medizinprodukte und/oder die Integrität und Sicherheit der umgebenden IT-Infrastruktur des Gesundheitswesens beeinträchtigen können.
2. Sensibilisierung für das Rahmenwerk zur Verbesserung der Cybersicherheit kritischer Infrastrukturen. Dies soll es den Beteiligten ermöglichen, das Rahmenwerk erfolgreich an ihre Organisationen und Produkte anzupassen und umzusetzen;
3. Ermutigung der Beteiligten, innovative Strategien zur Bewertung und Minderung von Cybersicherheitslücken zu entwickeln, die ihre Produkte betreffen; und
4. Aufbau einer Vertrauensbasis innerhalb der Gemeinschaft. Die Hoffnung besteht darin, dass alle Gesundheitstechnologien und Interessenvertreter für Medizinprodukte können direkt vom Austausch von Informationen zu Schwachstellen und/oder Bedrohungen im Bereich der Cybersicherheit sowie von Geheimdienstinformationen und Feeds aus anderen kritischen Infrastruktursektoren profitieren, die sich sekundär auf das Gesundheitswesen und die öffentliche Gesundheit auswirken können.

AssurX bietet eine leistungsstarke #Risikomanagement Lösung als Teil seiner #Qualitätsmanagement System. Bereit, mehr zu erfahren? http://ow.ly/abpP309q3X3 

— AssurX (@AssurX) 1. März 2017

Ist Ihr Unternehmen auf einen Cyberangriff vorbereitet?

Ob es ein ist Hack des Stromnetzes oder Manipulationen an Arzneimittel oder Medizinprodukt Um die Integrität zu schützen, entwickeln Kriminelle immer ausgefeiltere Werkzeuge, um Betriebsabläufe zu beeinträchtigen. Kluge Unternehmen ergreifen die notwendigen Maßnahmen, um Risiken klar zu definieren. Der nächste Schritt besteht darin, Werkzeuge und Taktiken zu entwickeln, um diese gefährlichen Bedrohungen zu verhindern oder einzudämmen.

Ein Cyberangriff kann jederzeit erfolgen. Hersteller von Medizinprodukten muss über eine starke Ressource verfügen, die kritische Analysen für eine effektive Entscheidungsfindung liefert. Ein automatisiertes Qualitätsmanagementsystem Dazu gehört eine starke Risikomanagement Lösung wie AssurX bietet diese wichtigen Werkzeuge, wenn das Undenkbare – ein Cyberangriff – auftritt.