IEC 81001-5-1
Kybernetická bezpečnost zdravotnického softwaru
Pomáháme výrobcům zdravotnických prostředků a dodavatelům softwaru splnit požadavky normy IEC 81001-5-1 na bezpečný životní cyklus vývoje, řízení zranitelností a ochranu dat pacientů.
Co je IEC 81001-5-1?
IEC 81001-5-1 je mezinárodní norma definující požadavky na kybernetickou bezpečnost v životním cyklu zdravotnického softwaru. Norma byla publikována v roce 2021 a je harmonizována s regulací MDR (EU 2017/745). Stanovuje procesy pro bezpečný návrh, vývoj, údržbu a vyřazení softwaru používaného ve zdravotnictví – od nemocničních informačních systémů po software v implantátech.
Norma je klíčová pro výrobce zdravotnických prostředků třídy IIa, IIb a III, kteří musí prokázat shodu v rámci CE certifikace. Úzce navazuje na ISO 14971 (řízení rizik), IEC 62443 (průmyslová bezpečnost) a ISO 27001 (ISMS).
Proč je IEC 81001-5-1 kritická?
Regulatorní požadavek
Harmonizovaná norma pod MDR – notifikované osoby ji vyžadují při posuzování shody zdravotnických prostředků obsahujících software.
Ochrana pacientů
Kybernetický útok na zdravotnický software může ohrozit životy. Norma zajišťuje, že bezpečnost je integrální součástí návrhu.
Post-market surveillance
Povinnost kontinuálního monitoringu zranitelností a bezpečnostních incidentů po celou dobu životnosti produktu.
Odpovědnost výrobce
Výrobce nese plnou odpovědnost za kybernetickou bezpečnost svého produktu včetně komponent třetích stran (SBOM).
Naše služby pro IEC 81001-5-1
Secure SDLC implementace
Zavedení bezpečného životního cyklu vývoje softwaru dle požadavků normy. Definice bezpečnostních aktivit pro každou fázi – od návrhu architektury přes kódování až po testování a nasazení.
- Threat modeling a analýza útočných vektorů
- Bezpečnostní požadavky a design review
- Secure coding guidelines
- Integrace bezpečnosti do CI/CD pipeline
Řízení zranitelností a SBOM
Kompletní správa zranitelností zdravotnického softwaru včetně Software Bill of Materials pro transparentní přehled o všech komponentách a jejich bezpečnostním stavu.
- SBOM generování a správa (SPDX, CycloneDX)
- Kontinuální monitoring CVE databází
- Vulnerability disclosure proces
- Koordinace s CERT týmy
Bezpečnostní testování
Penetrační testování a bezpečnostní analýza zdravotnického softwaru s důrazem na specifika medicínských systémů a ochranu dat pacientů.
- Penetrační testování aplikací a API
- Fuzz testing a analýza protokolů
- Testování autentizace a autorizace
- Testování odolnosti proti DoS útokům
Řízení kybernetických rizik
Integrace kybernetických rizik do celkového procesu řízení rizik dle ISO 14971. Identifikace hrozeb, hodnocení dopadů a definice opatření.
- Threat modeling (STRIDE, PASTA)
- Risk assessment dle ISO 14971
- Residual risk analýza
- Bezpečnostní opatření a kontrameasures
Compliance dokumentace
Příprava kompletní dokumentace kybernetické bezpečnosti pro technický spis a notifikované osoby. Prokázání shody s požadavky MDR a IEC 81001-5-1.
- Cybersecurity management plan
- Security risk management file
- Post-market cybersecurity plan
- Vulnerability handling policy
Post-market bezpečnost
Kontinuální monitoring a řízení bezpečnosti po uvedení produktu na trh. Zajištění aktualizací, záplat a reakce na bezpečnostní incidenty.
- Monitoring bezpečnostních hrozeb
- Incident response plán
- Patch management strategie
- Field safety corrective actions (FSCA)
Jak probíhá spolupráce
Gap analýza
Posoudíme současný stav vašeho SDLC a identifikujeme mezery vůči požadavkům IEC 81001-5-1.
Plán implementace
Navrhneme roadmapu s prioritizací aktivit podle rizikového profilu vašeho produktu.
Implementace procesů
Zavedeme bezpečnostní procesy, nástroje a dokumentaci do vašeho vývojového cyklu.
Bezpečnostní testování
Provedeme penetrační testy, code review a bezpečnostní analýzu vašeho softwaru.
Dokumentace pro audit
Připravíme kompletní dokumentaci kybernetické bezpečnosti pro technický spis.
Kontinuální podpora
Zajistíme post-market surveillance, monitoring zranitelností a pravidelné přezkumy.
Pro koho jsou naše služby určeny
Výrobci zdravotnických prostředků
Společnosti vyvíjející software jako zdravotnický prostředek (SaMD) nebo software integrovaný ve zdravotnických zařízeních.
Dodavatelé zdravotnického IT
Poskytovatelé nemocničních informačních systémů, PACS, LIS a dalších klinických aplikací.
Notifikované osoby
Podpora při posuzování kybernetické bezpečnosti v rámci CE certifikačního procesu.
Nemocnice a zdravotnická zařízení
Hodnocení kybernetické bezpečnosti nakupovaného zdravotnického softwaru a systémů.
Souvislost s dalšími normami a regulacemi
MDR (EU 2017/745)
Nařízení o zdravotnických prostředcích – IEC 81001-5-1 je harmonizovanou normou pod MDR.
ISO 14971
Řízení rizik zdravotnických prostředků – základ pro integraci kybernetických rizik.
ISO 27001
Systém řízení informační bezpečnosti – komplementární přístup k ochraně dat.
NIS2
Směrnice EU pro kybernetickou bezpečnost – zdravotnictví je jedním z regulovaných sektorů.
Cyber Resilience Act
Nařízení EU o kybernetické odolnosti digitálních produktů včetně zdravotnického softwaru.
Časté dotazy k IEC 81001-5-1
Klíčová slova
Potřebujete pomoct s IEC 81001-5-1?
Kontaktujte nás pro bezplatnou úvodní konzultaci a gap analýzu vašeho zdravotnického softwaru.
Nezávazná konzultace