Для наших медицинских изделий запросили аудит информационной безопасности — что именно ищет аудит?

Одним из первых пунктов списка будет машиночитаемый SBOM в формате CycloneDX или SPDX. Если ваш gateway содержит ядро Linux, на столе должны быть версия каждого открытого пакета и результат сканирования на известные CVE. Если вы не оставили на шлюзе открытый telnet или HTTP без шифрования, половина дела сделана.

Два года назад в похожем тендере мы заплатили 11 500 EUR и получили в независимой лаборатории тест на проникновение устройства и отчёт о соответствии больничному стандарту B3S. Когда мы приложили отчёт к тендерной документации, IT-отдел больницы утвердил список из 45 пунктов почти без вопросов.

Спросите у IT-команды больницы, берут ли они за основу профиль BSI IT-Grundschutz или B3S Medizinische Versorgung. Большинство больниц не пишут свой список с нуля, а копируют готовые контрольные формы федеральных стандартов. Если знаешь формат стандарта, отвечать становится гораздо проще.

Больничные айтишники обычно не понимают внутреннюю логику медицинского софта, поэтому относятся к нему как к обычному серверу. Могут заявить: «Ставьте на аппарат антивирус». Придется терпеливо объяснять, почему на встраиваемых системах классический антивирус работать не может и почему вместо него используется аппаратный контроль целостности (Secure Boot).

Мы в 2021 году на тендере для университетской клиники попали под похожий аудит. Аппараты были отличные, но в механизме удаленного обновления прошивки не было проверки криптографической подписи. Аудитор срезал нас по этому единственному пункту, и контракт заморозили на 5 месяцев, пока мы не внедрили подписи.

если на устройствах не оставлены дефолтные пароли вроде «admin/admin» и при первом входе в интерфейс требуется обязательная смена пароля, то главный первый барьер аудиотра вы уже прошли.

Согласно MDR Приложение I, Раздел 17.2, информационная безопасность и так является базовым законодательным требованием. Если предоставить аудитору документы как неотъемлемую часть технического досье медицинского изделия (Post-Market Surveillance и Risk Management), это подчеркнет ваш серьезный корпоративный подход.

edit: выше написал неправильно, извините.

На первом этапе вам нужно предоставить 4 документа: 1) Отчет об анализе угроз по стандартам MDCG, 2) Документация по сетевой архитектуре со списком открытых портов и служб, 3) Регламент уведомления об уязвимостях и распространения патчей, 4) Подтверждение аппаратной безопасной загрузки (Secure Boot).

Посмотрю с другой стороны, я на стороне поставщика. Любой пункт, не зафиксированный письменно, в будущем обе стороны будут помнить по-разному.

Конечно, если ваша ситуация отличается, всё меняется.

Хочу задать вопрос. Непроверенная резервная копия — не резервная копия.

Удачи.

Не знал об этом.

Согласен с этим. Больше всего времени у нас уходило на то, что было непонятно, кто принимает решения.

Оставлю как заметку, пригодится.

У нас было так. Если разрешение и объем тестирования не зафиксированы письменно, тест не начинать.

Проверено опытом.

В этом пункте я с вами не согласен. Ответ сильно зависит от отрасли, универсального правила нет.

Непроверенная резервная копия — не резервная копия.

У меня та же ситуация поэтому и спрашиваю. Главное не цифра а то, на основе чего она получена.

Согласен, хочу даже особо подчеркнуть. Автоматический отчет о сканировании и пентест — это не одно и то же.

Если напишете результат здесь, это поможет и другим.

Я проходил через это, расскажу. Не стесняйтесь спрашивать, молчание всегда обходится дороже.

Пишу это, чтобы вы не совершили ту же ошибку. Чем сложнее отменить решение, тем медленнее его принимайте.

Это мое мнение, не утверждаю, что оно единственно верное.