Tanggung jawab bersama: Bagaimana rumah sakit dapat membantu meningkatkan keamanan data perangkat medis

Seperti tim yang bekerja menuju tujuan, rumah sakit dan produsen perangkat medis masing -masing memiliki bagian yang berbeda untuk membantu menciptakan lingkungan yang aman untuk informasi kesehatan pribadi yang berasal dari monitor pasien dan perangkat medis lainnya.

Untuk beberapa waktu, gagasan tentang tanggung jawab bersama untuk keamanan data ini telah diakui sebagai praktik terbaik dalam industri teknologi yang lebih besar. Misalnya, penyedia layanan cloud seperti Amazon Web Services, Microsoft Azure dan Google mengikuti model tanggung jawab bersama ini untuk menentukan kewajiban keamanan timbal balik dari penyedia cloud dan pelanggan mereka.

Dalam perawatan kesehatan, model serupa telah muncul untuk data perangkat medis. Dalam panduan yang dirilis pada bulan September 2023, Administrasi Makanan dan Obat -obatan AS menyatakan, “ FDA mengakui bahwa cybersecurity perangkat medis adalah tanggung jawab bersama di antara para pemangku kepentingan di seluruh lingkungan penggunaan sistem perangkat medis, termasuk fasilitas perawatan kesehatan, pasien, penyedia layanan kesehatan, dan produsen dari alat kesehatan. "

Peneliti dan pengembang industri medis setuju. Sebuah artikel di Medical Product Outsourcing (MPO) menyatakan, “ Cybersecurity secara umum, sebenarnya, adalah tanggung jawab bersama, karena baik rumah sakit maupun produsen perangkat medis tidak dapat menangkal meningkatnya jumlah serangan yang ditargetkan kesehatan sendiri. Mereka harus bergabung untuk melindungi produk dan pasien dari bahaya. "

Jelas produsen perangkat medis, penyedia perangkat lunak rumah sakit dan organisasi kesehatan harus bekerja sama untuk melindungi informasi pasien dan sistem perangkat medis terhadap aktivitas penjahat cyber. Untuk menjadi tim yang sukses, masing -masing pemain harus tahu dan memahami peran mereka.

Memahami Peran dalam Keamanan Data Perangkat Medis

FDA AS mengharuskan produsen perangkat medis dan penyedia perangkat lunak untuk mengikuti proses yang disebut "Keamanan dengan Desain," yang menyatakan bahwa kontrol tertentu harus tertanam ke dalam produk agar lebih mudah bagi rumah sakit untuk menggunakan dan menggunakan produk dengan aman. [2] Fitur seperti enkripsi yang dapat dikonfigurasi, halaman login aman dan persyaratan otentikasi pengguna adalah contoh bagaimana produsen mengintegrasikan kemampuan keamanan ke dalam produk mereka.

Namun, untuk berfungsi secara optimal, fitur -fitur ini memberikan keamanan dalam desain produk sering kali memerlukan tindakan di bagian rumah sakit untuk mengaktifkan dan mempertahankan kelayakan.

Mari kita ambil contoh kontrol akses produk. Produsen perangkat atau penyedia perangkat lunak biasanya dapat menerapkan kontrol akses ke fungsionalitas produk dengan memverifikasi, atau mengotentikasi, identitas pengguna klinis berdasarkan layanan direktori aktif rumah sakit, melalui kata sandi dan protokol, kemudian periksa pengguna ini milik grup Direktori Aktif Produk tahu dari konfigurasinya. Sekarang, hanya organisasi layanan kesehatan yang dapat mengidentifikasi pengguna mana yang harus memiliki otorisasi untuk mengakses sistem dan dapat mengonfigurasi produk dengan tepat, dan kadang -kadang mengonfigurasi direktori aktifnya sendiri dengan membuat grup jika tidak dapat digunakan kembali. Menggunakan grup yang tidak pantas, seperti mengesahkan terlalu banyak pengguna, atau longgar tentang memelihara direktori terkini, dapat membuka jaringan untuk risiko yang tidak perlu. Pabrikan membawa kontrol keamanan, rumah sakit konfigurasi kontrol yang optimal.

Enkripsi data, fitur keamanan lain yang kuat, juga membutuhkan tindakan di bagian rumah sakit serta produsen. Ketika enkripsi digunakan untuk memastikan kerahasiaan data, otentikasi node jaringan juga diperlukan untuk memastikan data tiba di tujuan yang diharapkan. Misalnya, produsen dapat memberikan kontrol keamanan seperti algoritma enkripsi data yang kuat dan verifikasi sertifikat untuk informasi dalam transit antara perangkat medis dan rekam medis elektronik rumah sakit (EMR). Sekarang, untuk mengaktifkan fitur keamanan ini, rumah sakit menyediakan sertifikat otentikasi dan kunci pribadi yang kuat untuk ESDM -nya, dan salinan sertifikat ESDM ke perangkat medis - yang akan menggunakannya untuk mengautentikasi ESDM. Rumah sakit juga bertugas mengelola aset ini - kedaluwarsa, pencabutan. Agar rumah sakit dapat mewujudkan manfaat penuh dari enkripsi dan otentikasi timbal balik, produsen harus menawarkan kontrol keamanan yang kuat terkait dalam produk; Namun, fitur -fitur ini tidak beroperasi sampai dikonfigurasi dengan benar oleh rumah sakit. Jika tidak, fitur keamanan enkripsi tidak dapat berfungsi, atau bahkan lebih buruk, dapat membuatnya seolah -olah keamanan disediakan jika tidak.

Bahkan aplikasi seluler dan berbasis cloud memerlukan tanggung jawab bersama, karena rumah sakit perlu memastikan bahwa browser dan perangkat seluler terkini dan diaktifkan dengan fitur keamanan seperti otentikasi multi-faktor untuk mengoptimalkan kontrol keamanan berbasis cloud pabrikan.

Dengan demikian, untuk memastikan implementasi produk yang aman, produsen perlu menanamkan dalam kontrol keamanan produk ini menggunakan algoritma dan desain yang terbukti, dipandu oleh proses "keamanan dengan desain". Pada saat yang sama, rumah sakit selalu memiliki sebagian tanggung jawab dan kegiatan untuk memastikan produk tersebut benar -benar digunakan dengan aman.

Lalu, setiap produk berbeda, bagaimana mungkin rumah sakit tahu apa yang harus dilakukan? Rumah sakit memiliki keseluruhan proses dan prosedur mereka sendiri untuk mengamankan infrastruktur TI mereka, yang berlaku untuk semua produk yang digunakan. Tetapi untuk memungkinkan rumah sakit untuk mempertimbangkan dan memanfaatkan kekhususan setiap produk, produsen harus transparan tentang fitur keamanan yang dapat digunakan oleh rumah sakit serta harapan mereka tentang lingkungan rumah sakit. Rumah sakit pada gilirannya harus membuat diri mereka sadar akan fitur dan harapan keamanan tersebut. Terakhir, keduanya perlu bekerja sama untuk memungkinkan implementasi yang sukses.

Bagaimana rumah sakit mengetahui peran mereka?

Untungnya, produsen dapat memudahkan rumah sakit untuk memahami apa yang dapat mereka lakukan untuk mengoptimalkan keamanan data medis. Produsen sering memberi pengguna klinis dan administrator sistem informasi dan pedoman dalam dokumen seperti pernyataan pengungkapan pabrikan untuk keamanan perangkat medis (MDS2), panduan pengerasan dan bahan panduan keamanan lainnya.

Dokumen-dokumen ini memberikan cetak biru langkah demi langkah untuk diikuti oleh penyedia layanan kesehatan untuk memastikan bahwa mereka melakukan bagian mereka untuk melindungi data perangkat medis dari serangan cyber atau intrusi lainnya. Langkah -langkah yang disarankan dapat mencakup membatasi akses login ke personel tertentu; mengamankan koneksi antara sistem melalui segmentasi jaringan dan port terbatas; menggunakan sertifikat tepercaya untuk memverifikasi identitas perangkat medis dan sistem penerima data klinis; dan banyak tindakan lain khusus untuk jaringan rumah sakit.

Ajakan bertindak → baca pedoman keamanan yang direkomendasikan produsen

Dokumentasi produk pabrikan dan panduan pengerasan memberi tahu rumah sakit bagaimana mereka dapat memanfaatkan perangkat keamanan medis atau perangkat lunak yang tertanam untuk memberikan penggunaan yang aman secara optimal. Penting untuk meninjau panduan ini setiap kali versi baru suatu produk atau perangkat lunak digunakan, karena kontrol keamanan yang ditingkatkan mungkin memerlukan, misalnya, konfigurasi enkripsi yang diperbarui atau kunci pribadi baru.

Selain itu, tidak jarang untuk beberapa kontrol keamanan - seperti siapa yang membutuhkan akses sistem atau kata sandi apa - untuk menurunkan dari waktu ke waktu karena pengguna klinis membuat perubahan konfigurasi atau perubahan persyaratan akses. Oleh karena itu, juga disarankan untuk menggunakan panduan ini secara teratur untuk mengontrol efektivitas konfigurasi keamanan saat ini.

Penjahat dunia maya hanya membutuhkan satu titik lemah untuk menyusup ke jaringan untuk tujuan jahat. Untuk menggagalkan aktivitas mereka, produsen dan rumah sakit perlu bekerja sama dan menjadi jelas tentang peran masing-masing dan bertanggung jawab bersama dalam lingkungan data yang aman dari ujung ke ujung.

Philips menyediakan dokumentasi, termasuk panduan pengerasan sistem dengan tindakan yang direkomendasikan, bagi rumah sakit untuk diikuti untuk memanfaatkan fitur keamanan yang tertanam di dalam perangkat medis Philips dan solusi perangkat lunak. Rekomendasi ini direvisi dengan setiap rilis perangkat keras atau perangkat lunak Philips baru dan dapat membantu rumah sakit mengambil langkah yang tepat untuk memenuhi tanggung jawab bersama mereka untuk keamanan data perangkat medis.

Untuk memverifikasi bahwa lingkungan keamanan jaringan Anda memenuhi tanggung jawab bersama Anda, mintalah administrator sistem keamanan Anda untuk memeriksa panduan pengerasan dan dokumen keamanan yang tersedia di portal pelanggan Philips Anda.

Selain itu, silakan hubungi perwakilan Philips Anda untuk mempelajari lebih lanjut tentang peningkatan enkripsi data dan keamanan yang tersedia dalam solusi Philips, dan bagaimana Anda dan Philips dapat saling membantu melindungi keamanan dan privasi informasi kesehatan pribadi pasien Anda. Bersama -sama, kami dapat membuat tim yang menang untuk keamanan data.