Informationssicherheits-Audit für unsere Medizinprodukte gefordert – worauf kommt es da an?

Einer der ersten Punkte auf der Liste wird eine maschinenlesbare SBOM sein, meist als CycloneDX oder SPDX. Wenn auf eurem Gateway ein Linux-Kernel läuft, wollen die jede Paketversion und den CVE-Scanbericht dazu sehen. Wenn kein Telnet und kein unverschlüsseltes HTTP mehr offen sind, habt ihr schon die halbe Miete.

Wir haben vor zwei Jahren bei einer ähnlichen Ausschreibung 11.500 EUR in die Hand genommen und einen Pentest plus B3S-Konformitätsbericht von einem unabhängigen Prüflabor machen lassen. Als wir das eingereicht haben, hat die Klinik-IT die 45 Punkte fast ohne Rückfragen direkt durchgewinkt.

Fragt bei der Klinik-IT nach, ob sie sich am BSI IT-Grundschutz oder am Branchenspezifischen Sicherheitsstandard (B3S Medizinische Versorgung) orientieren. Die wenigsten Häuser schreiben das selbst, die meisten kopieren die Standard-Fragebögen der Behörden. Wenn ihr das Raster kennt schreibt sich die Beantwortung fast von selbst.

Die IT-Abteilungen der Krankenhäuser verstehen meistens nichts von der internen Logik medizinischer Software und behandeln die Geräte deshalb wie normale Server. Da heißt es dann schnell mal: „Installieren Sie ein Antivirenprogramm auf dem Gerät“. Man muss ihnen dann geduldig erklären, warum klassische Antivirensoftware auf Embedded-Systemen nicht funktioniert und man stattdessen auf hardwarebasierte Integritätsprüfungen (Secure Boot) setzt.

Wir sind 2021 bei einer Ausschreibung für eine Universitätsklinik an einem ähnlichen Audit hängengeblieben. Unsere Geräte waren top, aber unserem Mechanismus für Remote-Softwareupdates fehlte die kryptografische Signaturprüfung. Der Auditor hat uns wegen dieses einen Punktes durchfallen lassen, und der Vertrag lag 5 Monate auf Eis, bis wir die Signatur-Infrastruktur aufgebaut hatten.

wenn ihr auf den geräten keien standard-passwörter wie 'admin/admin' gelassen habt und beim ersten login eine passwortänderung erzwingt habt ihr die wichtigste erste hürde der auditoren schon mal genommen.

Gemäß MDR Anhang I Abschnitt 17.2 ist Informationssicherheit ohnehin eine grundlegende gesetzliche Anforderung. Wenn Sie dem Auditor die Unterlagen als festen Bestandteil Ihrer technischen Dokumentation für Medizinprodukte (Post-Market Surveillance und Risk Management) vorlegen, unterstreicht das Ihre professionelle Seriosität.

Edit: Ich habe oben etwas falsch geschrieben, entschuldigung.

Folgende 4 Dokumente müssen Sie im ersten Schritt einreichen: 1) MDCG-konformer Bedrohungsanalysebericht, 2) Netzwerkarchitektur-Dokumentation inklusive Aufstellung aller offenen Ports und Dienste, 3) Richtlinie zum Schwachstellenmanagement und Patch-Rollout, 4) Nachweis über hardwarebasiertes Secure Boot des Geräts.

Ich spreche mal aus der Gegenperspektive, ich bin auf der Lieferantenseite. Jeder nicht schriftlich festgehaltene Punkt ist einer, an den sich beide Parteien später unterschiedlich erinnern.

Wenn deine Situation anders ist, ändert sich das natürlich.

Ich möchte etwas fragen. Ein nicht getestetes Backup ist kein Backup.

Viel Erfolg.

Das wusste ich nicht.

Da stimme ich zu. Bei uns war der größte Zeitfresser die Unklarheit darüber, wer entscheidet.

Nur als Notiz, könnte nützlich sein.

Bei uns war es so. Wenn Genehmigung und Umfang nicht schriftlich vorliegen, darf der Test nicht starten.

Aus Erfahrung weiß ich das.

An diesem Punkt widerspreche ich dir. Die Antwort hängt stark von der Branche ab, es gibt keine allgemeine Regel.

Ein nicht getestetes Backup ist kein Backup.

Ich bin in derselben Situation deshalb frage ich. Entscheidend ist nicht die Zahl sondern worauf sie sich bezieht.

Ich stimme zu, möchte das sogar besonders betonen. Ein automatisierter Scan-Report ist kein Penetrationstest.

Wenn ihr das Ergebnis hier postet, hilft es auch anderen.

Ich habe diesen Weg schon hinter mir, ich erzähl mal. Scheut euch nicht zu fragen, wer nicht fragt, zahlt am Ende mehr.

Ich schreibe das, damit ihr denselben Fehler nicht macht. Je schwerer es ist, eine Entscheidung rückgängig zu machen, desto langsamer solltet ihr sie treffen.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.