ISO IEEE 11073-40101-2022 PDF

Полное наименование и описание

Стандарт ISO/IEEE 11073-40101:2022 — «Health informatics — Device interoperability — Part 40101: Foundational — Cybersecurity — Processes for vulnerability assessment» (информатика здравоохранения — интероперабельность устройств — часть 40101: основы — кибербезопасность — процесс оценки уязвимостей). Документ определяет итеративный, системный, масштабируемый и аудируемый процесс идентификации уязвимостей и оценки риска для персональных медицинских устройств (PHD) и устройств в условиях оказания помощи (PoCD) в контексте безопасной plug-and-play интероперабельности.

Аннотация

Стандарт задаёт процессную методику анализа угроз и уязвимостей, использующую классификацию STRIDE (Spoofing, Tampering, Repudiation, Information Disclosure, Denial of Service, Elevation of Privilege) и встроенную систему оценки уязвимостей eCVSS; включает этапы: определение контекста системы, декомпозиция системы, предварительная оценка (pre‑mitigation), разработка и применение мер снижения, последующая оценка (post‑mitigation) и повторение до достижения приемлемого остаточного риска. Приводятся рекомендации по документированию, масштабированию и аудиту оценки уязвимостей.

Общая информация

• Статус: Публикуемая международная норма — опубликована.
• Дата публикации: март 2022 (издание 1; официальная публикация 17 марта 2022 г.).
• Организация-издатель: Совместное издание ISO и IEEE (ISO/IEEE).
• ICS / категории: 35.240.80 (информатика здравоохранения, интероперабельность медицинских устройств).
• Редакция / версия: Edition 1 (2022).
• Количество страниц: примерно 38 страниц (официальное издание).

Область применения

Стандарт применяется при оценке кибербезопасности персональных медицинских устройств (PHD) и устройств для оказания помощи на точке обслуживания (PoCD) в сценариях, где важна plug-and-play интероперабельность. Рекомендован для этапов разработки, валидации, предмаркетингового анализа и сопровождения устройств, где требуется формализованный, повторяемый и документируемый процесс оценки уязвимостей и управления рисками.

Ключевые темы и требования

• Определение контекста системы и сценариев использования для конкретного PHD/PoCD.
• Декомпозиция системы для выявления границ, компонентов и потоков данных.
• Классификация угроз по STRIDE и количественная оценка уязвимостей с использованием eCVSS.
• Итеративный цикл: предварительная оценка, разработка мер смягчения, повторная оценка до приемлемого риска.
• Документирование процесса, результатов и принятых мер для целей аудита и регуляторной демонстрации.
• Учет многокомпонентных систем, ПО неизвестного происхождения и примеров практической оценки (аннотации и приложения с примером инсулинового устройства).

Применение и пользователи

Основные пользователи стандарта: производители персональных и точечных медицинских устройств, инженеры по безопасности и разработчики встроенного ПО, специалисты по обеспечению соответствия и регуляторные специалисты, лаборатории по тестированию безопасности и интеграторы систем здравоохранения. Стандарт полезен как на этапе разработки, так и при постмаркетинговом мониторинге и управлении уязвимостями.

Связанные стандарты

Стандарт является частью семейства ISO/IEEE 11073 (интероперабельность медицинских и персональных устройств). С ним тесно связаны другие части семейства 11073, охватывающие профиль протоколов, семантику данных и модели устройств; также возможны перекрёстные ссылки на общие руководства по управлению рисками и кибербезопасности медицинских устройств.

Ключевые слова

кибербезопасность, оценка уязвимостей, STRIDE, eCVSS, персональные медицинские устройства, PoCD, интероперабельность, ISO/IEEE 11073, управление риском, plug-and-play.

FAQ

В: Что это за стандарт?

О: Международный стандарт ISO/IEEE 11073-40101:2022, задающий процессную методику оценки уязвимостей и связанных с ними рисков в контексте интероперабельности медицинских устройств.

В: Что он регулирует?

О: Не «регулирует» в смысле закона, а задаёт рекомендуемую, повторяемую и документируемую методологию для выявления и оценки уязвимостей (STRIDE + eCVSS), а также этапы декомпозиции системы, предварительной и последующей оценки и применения мер смягчения.

В: Кто обычно использует?

О: Производители медицинских и персональных устройств, команды по кибербезопасности, валидационные и регуляторные специалисты, тестовые лаборатории и системные интеграторы, заинтересованные в формальном и аудируемом процессе оценки уязвимостей.

В: Он актуален или заменён?

О: На момент публикации и в последующий период стандарт находится в статусе опубликованной международной нормы (издание 1, 2022). При изменении официального статуса следует сверяться с каталогом издателей стандартов для получения актуальной информации о пересмотрах или замене.

В: Это часть серии?

О: Да — часть семейства ISO/IEEE 11073, которое охватывает интероперабельность медицинских и персональных устройств и включает множество частей, посвящённых моделям устройств, протоколам, безопасности и другим аспектам.

В: Какие ключевые слова?

О: STRIDE, eCVSS, уязвимость, оценка риска, PHD, PoCD, интероперабельность, кибербезопасность, ISO/IEEE 11073.