Datensicherheit bei medizinischer Software. Patrick Reichmann

Transkript

1 Datensicherheit bei medizinischer Software Patrick Reichmann 1

2 Ihr Vortragender Studierte Medical Information Technology / HealthCare IT (FH Kärnten, AUT) Software Entwickler im Bereich medizinische Bildverarbeitung bei Agfa HealthCare Wechsel zu QA/RA, verantwortlich für die Betreuung mehrerer R&D Teams und medizinischer Software Projekte Leitet globale Arbeitsgruppe zu Prozessverbesserungen in den Bereichen Software Development Software Architecture & Design 2

3 Agenda Übersicht ISO/IEC 27k framework Warum? Was? Wie? Konzepte (C I A, Plan Do Check Act) Prozessanforderungen Risikomanagement FDA Cybersecurity Zusammenfassung & Fragen 3

4 Stellen Sie sich vor.. Sie sind Patient auf einer Intensivstation Quelle: west-penn Erschöpft, nach einem Kampf um Ihr Leben.. 4

5 Und ihr Bettnachbar ist gerade dabei, es in dienachrichten zu schaffen! An Austrian hospital finds out that one of its patients hacked into active morphine drug pumps, resulting in 2 patients with severe morphine addictions. Their [morphine] usage was so severe, according to the Austrian Times, that one of the patients suffered respiratory arrest. The patients didn't need sophisticated tools or savvy to hack the machines. They had simply learned control codes for the machines online Quelle: mass device 5

6 Hospira Infusionspumpen Hack Weit verbreitete Infusionspumpen Modell PCA3 von Hacker fernsteuerbar via Krankenhaus Netzwerk WLAN Internet Automatische Verabreichung intravenöser Medikamente Game over vulnerability" Quelle: 0XTECH Security 6

7 Wieso ISO/IEC 27k erwägen? Miteinander verbundene, von außen zugreifbare Applikationen = größere Angriffsfläche ISO/IEC 27k Weit verbreitetes und akzeptiertes Datensicherheitsmodell In Ausschreibungen immer öfter gefordert Umfangreich & vielseitig Vertrauen aufbauen (durch Zertifizierung) Quelle: slomkalaw 7

8 Was ist ISO/IEC 27k? Generisches Rahmenwerk von Standards Anforderungen + Lifäd Leitfäden beschreibt die Einführung Implementierung Wartung Verbesserung eines.. Information Security Management System (ISMS) Quelle: markiso.com 8

9 Was deckt ISO/IEC 27k ab? ISO/IEC 27001:2013, Kapitel Zumindest tdie zutreffenden der 114 Informationssicherheitsmaßnahmen aus Annex A anwenden A5. Information security policies A6. Organization i of information i security A7. Human resources security A8. Asset management A9. Access control A10. Cryptography A11. Physical and environmental security 9

10 Was deckt ISO/IEC 27k ab? (Forts.) A12. Operations security A13. Communications security A14. System acquisition, development and maintenance A15. Supplier relationships A16. Information security incident management A17. Information security aspects t of f business b i continuity it management A18. Compliance 10

11 ISO 27k Übersicht des Rahmenwerks Quelle: ISO/IEC 27000:2009(E) 11

12 Agenda Übersicht ISO/IEC 27k framework Warum? Was? Wie? Konzepte (C I A, Plan Do Check Act) Prozessanforderungen Risikomanagement FDA Cybersecurity Zusammenfassung & Fragen 12

13 C I A Eigenschaft, dass Information gegenüber unauthorisierten Individuen nicht verfügbar oder zugänglich g gemacht wird (Vertraulichkeit) Eigenschaft der Sicherstellung der Genauigkeit und Vollständigkeit von Werten 1 (Unverfälschtheit) Quelle: sipvicious.org Eigenschaft der Verfügbarkeit und Verwendbarkeit itbi bei Aufruf durch Authorisierte 13 1 Informations( werte)

14 Kontinuierliche Verbesserung Plan Do Check Act Plan Do 14 Anwendungsbereich definieren Werte identifizieren ISMS Policy Risiken identifizieren / bewerten Maßnahmen wählen Act Erkannte Verbesserungen umsetzen Corr./prev. actions Ergebnisse kommunizieren 1 anything that has value to the organization Do Maßnahmen implementieren Schulungen durchführen Prozedur für Vorfälle Check Überwachen (Prozeduren) (Rest )Risiken überprüfen Interne ISMS Audits

15 Datensicherheit > Anforderungen an QMS Ziele + Metriken definieren und überwachen Dokumentenmanagement (+ zusätzliche Anforderungen an ISMS) Management Review Interne Audits Corrective and Preventive Actions (CAPA) Human Resources Management (+ zusätzliche Anforderungen bzgl. Datensicherheit) 15

16 Agenda Übersicht ISO/IEC 27k framework Warum? Was? Wie? Konzepte (C I A, Plan Do Check Act) Prozessanforderungen Risikomanagement FDA Cybersecurity Zusammenfassung & Fragen 16

17 Prozess Anforderungen > Übersicht Produktentwicklungs Prozess bezogene Anforderungen Anforderungs Management Software Entwicklung Design Verifikation Risikomanagement 17

18 Prozess Anf. > Anforderungs Management Produktanforderungen auch als Input für Informationssicherheits Risikomanagement Dezidierte Informationssicherheitsanforderungen für das Produkt von Anfang an aufnehmen Maßnahmen gegen Informationssicherheitsrisiken (Mitigations) in Produktanforderungen aufnehmen ( Input für Verifikation) Maßnahmen als Input für Software Architecture/Design bereitstellen 18

19 Prozess Anf. > Software Entwicklung Codier Richtlinien für Datensicherheit Verbreitete Gefahren und Gegenmaßnahmen Static Security Code Analysis tools z.b. buffer overflow, cross site scripting i i Change Management 19 Technische Sicherheitsanforderungen ändern sich ständig und schnell Austausch von best practices Expertengruppen Elektr. Forum für Datensicherheit Mailing list

20 Prozess Anf. > Verifikation Automatisierte Tests während der Entwicklung z.b. Eingabe Validierung Fuzzy Fuzzy Testen Penetration testing nach Feature Implementierung Black box Testen Grey box Testen Externe Verifikation samt Produkt Zertifizierung z.b. TÜV IT 20

21 Agenda Übersicht ISO/IEC 27k framework Warum? Was? Wie? Konzepte (C I A, Plan Do Check Act) Prozessanforderungen Risikomanagement FDA Cybersecurity Zusammenfassung & Fragen 21

22 Risikomanagement nach ISO Quelle: ISO/IEC 27005:2011 (E)

23 ISO Risiko Identifizierung Risiko Identifikation Wlh Welche Werte, Bd Bedrohungen, Mß Maßnahmen, Schwachstellen, Auswirkungen? Risikoanalyseik Qualitativ vs. quantitativ Risikobewertung Prioritäten erkannter Risiken Risikobehandlung Risiko modifikation// beibehaltung/ vermeidung/ teilungg Risiko Akzeptanz Dokumentierte Entscheidung 23

24 Agenda Übersicht ISO/IEC 27k framework Warum? Was? Wie? Konzepte (C I A, Plan Do Check Act) Prozessanforderungen Risikomanagement FDA Cybersecurity Zusammenfassung & Fragen 24

25 FDA Guidance Cybersecurity in Medical Devices Content of Premarket Submissions for Management of Cybersecurity inmedical Devices (October 2, 2014; document nr 1825) [ ] assist industry by identifying issues related to cybersecurity that manufacturers should consider in the design and development of their medical devices as well as in preparing premarket submissions for those devices. [ ] Verfasst als Leitfaden Einhaltung jedoch bei Einreichung gefordert 25

26 FDA Guidance Cybersecurity in Medical Devices Elements of cybersecurity approach Identification of assets, threats, and vulnerabilities Assessment of the impact of threats and vulnerabilities on device functionality and end users/patients Assessment of the likelihood of a threat and of a vulnerability being exploited Determination of risk levels and suitable mitigation strategies Assessment of residual risk and risk acceptance criteria Cybersecurity (CS) documentation 1 CS related hazard analysis, mitigations, and design considerations 2 Traceability matrix that links actualcybersecuritycontrols cybersecurity controls to the cybersecurity risks 3 Summary plan for providing validated software updates and patches 4 Summary of controls to assure medical device software maintains integrity 5 Device instructions for use and product specifications related to recommended cybersecurity controls (anti virus, ) 26

27 Zusammenfassung ISO/IEC 27k ist sehr umfangreich nicht alle Anforderungen treffen jeden! Schlüssel zum Erfolg : Security Aspekte ab Tag 1 der Produktentwicklung berücksichtigen Schulungen/Bewusstsein sind unverzichtbare Eckpfeiler Source: bbb.org Ständige Verbesserung (PDCA) 27

28 28 Fragen

29 Bildquellen markiso.com security management system.html West Penn and side effects/morphine pump/ Slomkalaw MargHill of malware 2/ sipvicious.org Bbb alert scam locks pcs/ 29

30 Appendix ISO 27k family of standards Title ISO/IEC27000 ISO/IEC ISO/IEC ISO/IEC ISO/IEC ISO/IEC ISO/IEC ISO/IEC Content Information security management systems Overview and vocabulary Information security management systems Requirements Code of practice for information security management Information security management system implementation guidance Information security management Measurement Information security risk management Requirements for bodies providing audit and certification of information security management systems Guidelines for information security management systems auditing 30