Nos piden una auditoría de seguridad de la información para nuestros dispositivos médicos — ¿qué busca exactamente la auditoría?

Uno de los primeros puntos de la lista será un SBOM legible por máquina en formato CycloneDX o SPDX. Si la gateway que usan incluye un kernel de Linux, deben tener sobre la mesa la versión de cada paquete de código abierto y el resultado del escaneo de CVE conocidos. Si no han dejado telnet abierto ni HTTP sin cifrar en la pasarela, ya tienen medio trabajo hecho.

Hace dos años, en una licitación parecida, pagamos 11.500 EUR y obtuvimos de un laboratorio independiente un test de penetración del dispositivo y un informe de conformidad con el estándar hospitalario B3S. Cuando añadimos el informe al expediente de la licitación, el equipo informático del hospital dio el visto bueno directamente casi sin cuestionar la lista de 45 puntos.

Pregunten al equipo de IT del hospital si se basan en el perfil BSI IT-Grundschutz o B3S Medizinische Versorgung. La mayoría de los hospitales no escriben su lista desde cero copian los formularios de control ya preparados de los estándares federales. Si conocen el formato del estándar, responder se vuelve mucho más fácil.

Los equipos de informática de los hospitales normalmente no entienden la lógica interna del software médico, así q tratan el dispositivo como un servidor estándar. Pueden decirte "instalen un antivirus en el dispositivo". Tienes q explicarles con paciencia xq un antivirus tradicional no puede funcionar en dispositivos embebidos y q en su lugar usas control de integridad a nivel de hardware (Secure Boot).

Nosotros en 2021 nos topamos con una auditoría similar en una licitación de una clínica universitaria. Nuestros dispositivos eran perfectos pero nuestro mecanismo de actualización remota de software no tenía verificación de firma criptográfica. El auditor lo descartó en un solo punto y suspendieron el contrato 5 meses hasta q montáramos la infraestructura de firma.

si no has dejado contraseñas por defecto tipo 'admin/admin' en los disposiitivos y has obligado a cambiar la contraseña en el primer acceso a la interfaz ya has pasado la primera barrera q más mira el auditor.

Conforme al Anexo I Sección 17.2 del MDR, la seguridad de la información ya es un requisito legal básico. Presentar los documentos q vas a entregar al auditor como parte de tu expediente técnico del producto sanitario (Post-Market Surveillance y Risk Management) demostrará tu seriedad institucional.

edit: arriba escribí mal, disculpad.

Los 4 documentos q debes entregar en primera instancia son estos: 1) Informe de análisis de amenazas conforme a MDCG, 2) Documento de arquitectura de red q incluya el desglose de puertos y servicios abiertos, 3) Documento de política de notificación de vulnerabilidades y distribución de parches, 4) Evidencia de arranque seguro (Secure Boot) a nivel de hardware del dispositivo.

Hablaré desde el otro lado, yo estoy en el lado del proveedor. Todo lo que no está por escrito, ambas partes lo recordarán de forma distinta en el futuro.

Por supuesto, cambia si tu situación es diferente.

Quisiera hacer una pregunta. Una copia de seguridad no probada no es una copia de seguridad.

Ánimo.

No sabía eso.

Estoy de acuerdo. Lo que más tiempo nos hacía perder era no saber quién tomaba las decisiones.

Lo dejo como nota, por si sirve.

A nosotros nos pasó esto. Si el permiso y el alcance no están por escrito, que no empiece la prueba.

Comprobado por experiencia.

En este punto no estoy de acuerdo con ustedes. La respuesta varía mucho según el sector, no hay una regla general.

Una copia de seguridad no probada no es una copia de seguridad.

Estoy en la misma situación, por eso pregunto. la verdad lo importante no es la cifra sino en qué se basa esa cifra.

De acuerdo incluso me gustaría recalcarlo. Un informe de escaneo automático no es lo mismo que una prueba de penetración.

Si escribís el resultado aquí, también servirá de ayuda a otros.

Yo pasé por esto déjenme contarlo. No tengáis miedo de preguntar quien no pregunta siempre paga más caro.

Lo escribo para que no cometan el mismo error. Cuanto más difícil sea revertir una decisión, más despacio debéis tomarla.

Esta es mi opinión, no lo escribo como una verdad absoluta.