طُلب منا تدقيق أمان معلومات لأجهزتنا الطبية — ما الذي يبحث عنه التدقيق بالتحديد؟

من أوائل البنود في القائمة سيكون ملف SBOM قابل للقراءة آلياً بصيغة CycloneDX أو SPDX. إذا كانت البوابة (gateway) تستخدم نواة Linux، فيجب توفير إصدار كل حزمة برمجية مفتوحة المصدر ونتائج فحص الـ CVE المعروفة. إذا لم تكن هناك منافذ telnet مفتوحة أو اتصالات HTTP غير مشفرة على البوابة، فقد أنجزتم نصف المهمة.

قبل عامين وفي مناقصة مماثلة، دفعنا 11.500 EUR لمختبر مستقل للحصول على اختبار اختراق للجهاز وتقرير توافق مع معيار B3S للمستشفيات. عندما أرفقنا التقرير بملف المناقصة، وافق فريق تقنية المعلومات بالمستشفى مباشرة دون التدقيق في قائمة الـ 45 بنداً تقريباً.

اسأل فريق IT في المستشفى عما إذا كانوا يعتمدون على BSI IT-Grundschutz أو نموذج B3S Medizinische Versorgung. أغلب المستشفيات لا تنشئ قوائمها من الصفر، بل تنسخ نماذج التدقيق الجاهزة من المعايير الفيدرالية. معرفتك بالنموذج القياسي المعتمد ستجعل الإجابة عنها أسهل بكثير.

فرق تقنية المعلومات في المستشفيات عادة ما تفهم المنطق الداخلي للبرمجيات الطبية، عشان كذا يتعاملون معها كأنها سيرفر عادي. ممكن يقولون لك "ركّبوا مضاد فيروسات على الجهاز". لازم تشرح لهم بصبر ليش المضاد التقليدي ما يشتغل على الأجهزة المدمجة، وإنكم بداله تستخدمون فحص السلامة على مستوى العتاد (Secure Boot).

إحنا في 2021 تعثرنا في تدقيق مشابه بمناقصة عيادة جامعية. أجهزتنا كانت ممتازة بس آلية تحديث البرمجيات عن بعد ما كان فيها تحقق من التوقيع التشفيري. المدقق استبعدنا ببند واحد وعلّقوا العقد 5 أشهر لين بنينا البنية التحتية للتوقيع.

إذا ما تركت على الأجهزة كلمات مرور افتراضية مثل 'admin/admin' وفرضت تغيير كلمة المرور عند أول دخول للواجهة، تكون تجاوزت أول حاجز وأكثر شي يركز عليه المدقق.

بموجب MDR الملحق الأول البند 17.2، أمن المعلومات أصلاً متطلب قانوني أساسي. تقديم المستندات للمدقق كجزء من الملف الفني للجهاز الطبي (Post-Market Surveillance وRisk Management) راح يبيّن جديتكم المؤسسية.

تعديل: كتبت خطأً أعلاه، أرجو المعذرة.

الوثائق الأربع اللي لازم تسلمونها من البداية هي: 1) تقرير تحليل التهديدات المتوافق مع MDCG، 2) وثيقة البنية الشبكية اللي تتضمن جرد المنافذ والخدمات المفتوحة، 3) وثيقة سياسة الإبلاغ عن الثغرات وتوزيع التصحيحات، 4) إثبات الإقلاع الآمن (Secure Boot) على مستوى عتاد الجهاز.

سأتحدث من الطرف الآخر، فأنا من جانب الموردين. كل بند غير مكتوب هو بند سيتذكره الطرفان بشكل مختلف لاحقًا.

بالطبع يختلف الأمر إذا كانت حالتك مختلفة.

أود طرح سؤال. نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

بالتوفيق.

لم أكن أعلم بهذا.

أتفق مع هذا. أكثر ما أهدر وقتنا كان عدم وضوح من يتخذ القرار.

دعني أتركها كملاحظة، قد تكون مفيدة.

حدث معنا هذا. إذا لم يكن الإذن والنطاق مكتوبين، فلا تبدأوا الاختبار.

مثبت بالتجربة.

أختلف معك في هذه النقطة. الإجابة تختلف كثيراً حسب القطاع، لا توجد قاعدة عامة.

نسخة احتياطية غير مختبرة ليست نسخة احتياطية.

أنا في نفس الوضع، لذلك أسأل. المسألة ليست الرقم، بل الأساس الذي بُني عليه.

أتفق، بل أود التأكيد على هذه النقطة. تقرير الفحص الآلي ليس نفس اختبار الاختراق.

إذا كتبت النتيجة هنا، فستفيد الآخرين أيضاً.

مررت بهذا الطريق، دعني أشرح. لا تترددوا في السؤال، فالسائل يدفع ثمناً أقل دائماً.

أكتب هذا حتى لا تكرروا نفس الخطأ. كلما كان التراجع عن القرار أصعب، كان يجب اتخاذه ببطء أكبر.

هذه وجهة نظري، ولا أدعي أنها الحقيقة المطلقة.