Tıbbi cihazlarımız için bilgi güvenliği denetimi istendi — denetim tam olarak ne arıyor?

Listenin ilk maddelerinden biri CycloneDX veya SPDX formatında makinece okunabilir bir SBOM olacaktır. Kullandığınız gateway Linux çekirdeği içeriyorsa her bir açık kaynak paketin sürümü ve bilinen CVE tarama çıktısı masada olmalı. Ağ geçidinde açık telnet veya şifresiz HTTP bırakmadıysanız işin yarısı bitti.

İki yıl önce benzer bir ihalede 11.500 EUR verip bağımsız bir laboratuvardan cihaz sızma testi ve B3S hastane standardı uyumluluk raporu aldık. Raporu ihale dosyasına ekleyince hastane bilgi işlem ekibi 45 maddelik listeyi neredeyse hiç sorgulamadan doğrudan onay verdi.

Hastanenin IT ekibinden BSI IT-Grundschutz veya B3S Medizinische Versorgung profilini baz alıp almadıklarını sorun. Çoğu hastane kendi listesini sıfırdan yazmaz federal standartların hazır kontrol formlarını kopyalar. Standart formatı bilirseniz cevaplamak çok daha kolaylaşır.

Hastanelerin bilgi işlem ekipleri genelde medikal yazılımın iç mantığından anlamaz, bu yüzden standart sunucu muamelesi yaparlar. 'Cihaza antivirüs kurun' diyebilirler. Gömülü cihazlarda geleneksel antivirüsün neden çalışamayacağını ve yerine donanımsal bütünlük kontrolü (Secure Boot) kullandığınızı sabırla anlatmanız gerekir.

Biz 2021 yılında bi üniversite kliniği ihalesinde benzer bi denetime takıldık. Cihazlarımız mükemmeldi ama uzaktan yazılım güncelleme mekanizmamızda kriptografik imza doğrulaması yoktu. Denetçi bunu tek maddede eledi ve imza altyapısını kurana kadar sözleşmeyi 5 ay askıya aldılar.

cihazlarin uzerinde 'admin/admin' gibi varsayilan sifre birakmadiysaniz ve arayuze ilk giriste sifre degisimini zorunlu kildysaniz denetciin en cok baktgi ilk baraji gecmis olursunuz

MDR Ek I Bölüm 17.2 uyarınca bilgi güvenliği zaten temel bir yasal gereksinimdir. Denetçiye sunacağınız belgeleri tıbbi cihaz teknik dosyanızın (Post-Market Surveillance ve Risk Management) birer parçası olarak sunmanız kurumsal ciddiyetinizi gösterecektir.

edit: yukarıda yanlış yazmışım, kusura bakmayın.

İlk etapta teslim etmeniz gereken 4 evrak şudur: 1) MDCG uyumlu tehdit analiz raporu, 2) Açık port ve servislerin dökümünü içeren ağ mimarisi belgesi, 3) Zafiyet bildirim ve yama dağıtım politikası belgesi, 4) Cihaz donanım seviyesinde güvenli önyükleme (Secure Boot) kanıtı.

Karşı taraftan konuşayım, ben tedarikçi tarafındayım. Yazılı olmayan her madde, ileride iki tarafın da farklı hatırladığı bir madde.

Kendi durumunuz farklıysa tabii değişir.

Bir şey sormak istiyorum. Test edilmemiş bi yedek, yedek değildir.

Kolay gelsin.

Bunu bilmiyordum.

Buna katılıyorum. Bizde en çok zaman kaybettiren şey, kimin karar vereceğinin belli olmamasıydı.

Not olarak bırakayım, lazım olur.

Bizde şöyle oldu. İzin ve kapsam yazılı değilse o test başlamasın.

Tecrübeyle sabit.

Şu noktada ayrılıyorum sizden. Bunun cevabı sektöre göre çok değişiyor, genel geçer bir kural yok.

Test edilmemiş bi yedek, yedek değildir.

aynı durumdayım, o yüzen soruyorum bir de asıl mesele rakam deil o rakamın neye göre çıktığı.

Katılıyorum, hatta altını çizmek isterim. Otomatik tarama raporu ile sızma testi aynı şey deil.

Sonucu buraya yazarsanız başkalarına da faydası olur.

Ben bu yoldan geçtim, anlatayım. valla sormaktan çekinmeyin, sormayan hep daha pahalıya ödüyor.

Aynı hatayı yapmayın diye yazıyorum. Kararı geri almak ne kdr zorsa, o kdr yavaş verin.

Benim görüşüm bu kesin doğru diye yazmıyorum.