การรักษาความปลอดภัยทางไซเบอร์เป็นสิ่งจำเป็นสำหรับเครื่องมือแพทย์ เนื่องจากอุปกรณ์จำนวนมากขึ้นเรื่อยๆ เสนอการแลกเปลี่ยนข้อมูลอิเล็กทรอนิกส์ การเข้าถึงและการควบคุมจากระยะไกล ประสิทธิภาพในการดูแลสุขภาพก็เพิ่มขึ้น – แต่ความท้าทายด้านความปลอดภัยทางไซเบอร์ก็เช่นกัน เพื่อให้แน่ใจว่ามีการใช้งานที่ปลอดภัยและมีประสิทธิภาพ จีนได้แนะนำชุดของกฎระเบียบและมาตรฐาน
1. ข้อบังคับและมาตรฐาน
- แนวทางการตรวจสอบการลงทะเบียนของ Medical Device Cybersecurity (2022 Revision)
- YY/T 1843-2022 – ข้อกำหนดพื้นฐานสำหรับการรักษาความปลอดภัยเครือข่ายของอุปกรณ์ไฟฟ้าทางการแพทย์
- YY/T 0664-2020 – ซอฟต์แวร์เครื่องมือแพทย์ – กระบวนการวงจรชีวิตของซอฟต์แวร์
- GB 9706.1-2020 – อุปกรณ์ไฟฟ้าทางการแพทย์ – ส่วนที่ 1: ข้อกำหนดทั่วไปสำหรับความปลอดภัยขั้นพื้นฐานและประสิทธิภาพที่จำเป็น
2. ขอบเขต
ข้อกำหนดนี้ใช้กับแอปพลิเคชันการลงทะเบียนสำหรับซอฟต์แวร์และอุปกรณ์แบบสแตนด์อโลน Class II และ Class III ที่มีซอฟต์แวร์ (รวมถึงอุปกรณ์วินิจฉัยในหลอดทดลอง) ที่มีฟังก์ชันต่อไปนี้อย่างน้อยหนึ่งฟังก์ชัน: การแลกเปลี่ยนข้อมูลทางอิเล็กทรอนิกส์ การเข้าถึงและการควบคุมจากระยะไกล หรือการเข้าถึงของผู้ใช้ ซึ่งครอบคลุมทั้งซอฟต์แวร์ที่พัฒนาและนอกชั้นวาง
3. เนื้อหาของการส่งลงทะเบียน
ข้อมูลพื้นฐาน
- การระบุผลิตภัณฑ์: ชื่ออุปกรณ์ รุ่น ข้อมูลจำเพาะ หมายเลขใบรับรองการลงทะเบียน ฯลฯ
- พื้นหลัง: ภูมิหลังและวัตถุประสงค์ของการศึกษา
- ขอบเขตของการศึกษา: ประเภทอุปกรณ์ ฟังก์ชัน และสภาพแวดล้อมเครือข่ายที่ครอบคลุม เช่น การเชื่อมต่อแบบไร้สายหรือแบบใช้สายและวิธีการแลกเปลี่ยนข้อมูลทางอิเล็กทรอนิกส์
การวิเคราะห์คุณสมบัติความปลอดภัยทางไซเบอร์
- การรักษาความลับ: เทคโนโลยีการเข้ารหัสและกลยุทธ์การควบคุมการเข้าถึงที่ใช้
- ความสมบูรณ์: วิธีที่ผลิตภัณฑ์รับรองว่าข้อมูลจะไม่เปลี่ยนแปลงในลักษณะที่ไม่ได้รับอนุญาตในระหว่างการสร้าง การส่ง การจัดเก็บ และการแสดงผล รวมถึงการตรวจสอบข้อมูลและการป้องกันการงัดแงะ
- ความพร้อมใช้งาน: กลยุทธ์ความทนทานต่อความผิดพลาด การสำรองข้อมูล และการกู้คืน
คำอธิบายของข้อมูลที่เกี่ยวข้องกับอุปกรณ์
- ขั้นตอนการประมวลผลข้อมูล: วงจรชีวิตข้อมูลทั้งหมด – การสร้าง การรวบรวม การจัดเก็บ การส่ง การใช้งาน และการลบ – ด้วยการวิเคราะห์ความเสี่ยงด้านความปลอดภัยทางไซเบอร์ที่อาจเกิดขึ้นในแต่ละขั้นตอน
- มาตรการรักษาความปลอดภัยของข้อมูล: มาตรการต่างๆ เช่น การเข้ารหัส การไม่ระบุชื่อและการควบคุมการเข้าถึง และประสิทธิภาพและข้อจำกัด
การวิเคราะห์อินเตอร์เฟสอิเล็กทรอนิกส์
- อินเทอร์เฟซเครือข่าย: ลักษณะทางเทคนิค – แบบฟอร์มและประเภทเครือข่าย แบบฟอร์มอินเทอร์เฟซ อินเทอร์เฟซข้อมูล วิธีการเข้าถึงและการควบคุมจากระยะไกล ตัวบ่งชี้ประสิทธิภาพ – พร้อมกับภัยคุกคามและมาตรการตอบโต้ที่อาจเกิดขึ้น
- อินเทอร์เฟซการแลกเปลี่ยนข้อมูลอิเล็กทรอนิกส์: อินเทอร์เฟซที่ไม่ใช่เครือข่ายหรือสื่อเก็บข้อมูล – ประเภทอินเทอร์เฟซ รูปแบบการจัดเก็บข้อมูล การบีบอัดข้อมูล ตัวบ่งชี้ประสิทธิภาพ – พร้อมการประเมินความเสี่ยงด้านความปลอดภัยระหว่างการถ่ายโอนและการจัดเก็บข้อมูล
การประเมินความสามารถทางไซเบอร์
- ออกจากระบบอัตโนมัติ: ความสามารถในการป้องกันการเข้าถึงและใช้งานโดยไม่ได้รับอนุญาตเมื่ออุปกรณ์ไม่มีผู้ดูแล รวมถึงการตั้งค่าเวลาออกจากระบบและเงื่อนไขทริกเกอร์
- ตรวจสอบ: ความสามารถในการตรวจสอบกิจกรรมของผู้ใช้ ซึ่งรวมถึงเนื้อหา ระยะเวลาการเก็บรักษา และฟังก์ชันการสืบค้นและการวิเคราะห์ของบันทึกการตรวจสอบ
- การอนุญาต: กลไกในการพิจารณาว่าผู้ใช้มีสิทธิ์การเข้าถึงและการใช้งาน ซึ่งรวมถึงการจัดการการอนุญาต การกำหนดสิทธิ์ และเทคโนโลยีการตรวจสอบสิทธิ์
การประเมินความเสี่ยงและการจัดการ
- การระบุความเสี่ยง: ระบุความเสี่ยงด้านความปลอดภัยทางไซเบอร์ทั้งหมด – การโจมตีที่เป็นอันตราย การละเมิดข้อมูล ความล้มเหลวของระบบ – และวิเคราะห์สาเหตุและผลกระทบที่อาจเกิดขึ้น
- การประเมินความเสี่ยง: ประเมินความเสี่ยงที่ระบุด้วยวิธีการที่เหมาะสม เช่น เมทริกซ์ความเสี่ยงหรือการวิเคราะห์แผนผังข้อผิดพลาด เพื่อกำหนดระดับและลำดับความสำคัญ
- การควบคุมความเสี่ยง: กำหนดมาตรการควบคุมสำหรับแต่ละระดับความเสี่ยง – การป้องกันทางเทคนิคที่แข็งแกร่งขึ้น การจัดการความปลอดภัยที่ดีขึ้น การรับรู้ของพนักงาน – และอธิบายประสิทธิภาพและความเสี่ยงที่เหลือ
บทสรุป
สรุปสถานะความปลอดภัยทางไซเบอร์โดยรวมของอุปกรณ์และสรุปว่าตรงตามข้อกำหนดการรักษาความปลอดภัยทางไซเบอร์หรือไม่
EVERBIZ ช่วยคุณได้อย่างไร
EVERBIZ สนับสนุนผู้ผลิตในการเตรียมเอกสารความปลอดภัยทางไซเบอร์สำหรับการลงทะเบียน NMPA ติดต่อเรา.
บทความนี้มีไว้สำหรับข้อมูลทั่วไปเท่านั้นและไม่ถือเป็นคำแนะนำทางกฎหมาย แนวทาง NMPA ในปัจจุบันนั้นเชื่อถือได้