På et hospital eller i en klinik står der udstyr på netværket, som IT-afdelingen ikke selv må opdatere, omkonfigurere eller installere programmer på. Det gør en penetrationstest anderledes end i resten af miljøet. Svaret hviler på en fordeling, som EU’s vejledning om cybersikkerhed i medicinsk udstyr beskriver: producenten fastlægger, hvad udstyret kræver af netværk og sikkerhed, og den, der driver udstyret, sørger for et sikkert miljø omkring det. For IT betyder det forsigtighed i testen, segmentering som den vigtigste rettelse og et tæt samarbejde med medicoteknik og producenten.
Hvorfor IT ikke selv må ændre udstyret
Medicinsk udstyr er godkendt i en bestemt udformning. Vejledningen MDCG 2019-16 fra EU’s koordinationsgruppe for medicinsk udstyr skriver, at ændringer af et medicinsk udstyr, herunder installation af programmer og opdateringer, altid bør ske efter producentens udtrykkelige, offentliggjorte vejledning. Den advarer om, at en ændring uden om producenten kan påvirke ydeevne eller sikkerhed på måder, der ikke kan forudses.
Det gælder også de pc’er og servere, der er en del af et medicinsk system, fx en arbejdsstation, der styrer en scanner. De ligner almindelige computere, men de er ikke nødvendigvis jeres at ændre på. Skellet mellem udstyr, som producenten styrer, og kliniske systemer, som IT driver på almindelige vilkår, er det første, der skal være klart før testen.
Producentens oplysninger er udgangspunktet
Forordningen om medicinsk udstyr kræver i bilag I, punkt 17.4, at producenten fastlægger mindstekrav til hardware, IT-netværksegenskaber og IT-sikkerhedsforanstaltninger, herunder beskyttelse mod uautoriseret adgang. Efter punkt 23.4 skal de oplysninger fremgå af brugsanvisningen.
For IT-afdelingen er det et konkret arbejdsgrundlag. Saml producentens oplysninger om netværk og sikkerhed for det udstyr, der står på jeres net: hvilke forbindelser det skal have, hvilke porte og tjenester det bruger, hvordan det opdateres, og hvem der må gøre det. MDCG 2019-16 skriver, at driftsorganisationen bør kontakte producenten, hvis de nødvendige sikkerhedsoplysninger ikke er tilgængelige. Mangler de, er det et fund i sig selv.
Afgrænsning: hvad testen må røre
Udgangspunktet er, at medicinsk udstyr holdes uden for de aktive dele af testen, medmindre producenten og medicoteknik har godkendt andet. Medicoteknik er den afdeling, der har det tekniske ansvar for det medicinske udstyr, og som kender producenternes vilkår.
- Liste over udstyret · adresser og net for alt medicinsk udstyr, så testeren kan holde sig fra det. → Skrøbelige systemer
- Hvad der må afprøves · fx om udstyrets net kan nås fra brugernes net eller fra gæstenettet, uden at selve udstyret belastes.
- Kliniske systemer på almindelige vilkår · journalsystemets servere, integrationsservere og klienter, som IT driver, kan indgå efter de normale aftaler.
- Testvindue · hvornår testen ligger, og hvilke afsnit der er orienteret.
- Stopregel · hvem der kan stoppe testen med det samme, og hvordan.
Udstyr, som testeren møder uventet, skal behandles som uden for omfanget, indtil medicoteknik har vurderet det. → Beredskab under testen
Patientsikkerheden er fredet
Ingen del af testen må kunne påvirke en behandling. Det hensyn går forud for testens fuldstændighed, og det skal stå i aftalen.
Konkret betyder det, at klinisk personale ved, at testen finder sted, at der er en klinisk kontaktperson ud over IT og medicoteknik, og at testeren stopper og melder, hvis noget opfører sig uventet i nærheden af kliniske systemer. Kan et område ikke testes uden risiko for patienter, står det i rapporten som ikke afprøvet. Det er et ærligt resultat og ikke en mangel ved testen.
Planlæg også tidspunktet med afdelingerne. Et afsnit med planlagte undersøgelser eller operationer har andre travle perioder end et ambulatorium, og den viden har medicoteknik og de kliniske ledere, ikke IT. Aftal derfor testvinduet afsnit for afsnit, hvis testen berører flere.
Segmentering er den vigtigste rettelse
Når udstyret ikke kan opdateres af IT, skal beskyttelsen ligge omkring det. MDCG 2019-16 nævner netværksadgangskontrol, fx segmentering, der begrænser udstyrets kommunikation, blandt de forholdsregler, sundhedsvæsenets organisationer bør have. Vejledningen giver også isolation fra internettet som eksempel, når udstyret ikke har brug for forbindelsen.
- Egne net for udstyret · medicinsk udstyr placeres i net, der er adskilt fra brugernes og gæsternes net. → Segmentering efter testen
- Kun nødvendige forbindelser · reglerne mellem nettene følger producentens oplysninger om, hvilke forbindelser udstyret skal have.
- Fjernadgang under kontrol · producentens fjernadgang til service sker ad en kendt og overvåget vej.
- Overvågning · trafik til og fra udstyrets net logges, så uventet kommunikation kan opdages.
Segmenteringen er IT’s opgave, men den skal planlægges med medicoteknik, så ingen nødvendig forbindelse bliver afbrudt. → Segmentering i dybden
Samarbejdet med medicoteknik og producenten
MDCG 2019-16 bruger begrebet fælles ansvar: producenter, integratorer, driftsorganisationer og brugere har hver deres del af ansvaret for et sikkert miljø. Driftsorganisationen skal ifølge vejledningen blandt andet sørge for den nødvendige sikkerhed i netværket, følge producentens vejledning og give producenten besked uden ophold ved mistanke om en sikkerhedshændelse.
For fundene betyder det en fast fordeling:
- IT · retter i netværk, adgangsveje, konti og de kliniske systemer, IT driver.
- Medicoteknik · vurderer fund, der berører udstyret, og har kontakten til producenten.
- Producenten · afgør, om og hvordan udstyret kan opdateres eller ændres.
- Ledelsen · træffer beslutningen, hvis et fund ikke kan rettes, og risikoen skal bæres i en periode. → Et system, der ikke kan opdateres
Hvordan producenter arbejder med kravene set fra deres egen side, er et andet emne end driftens. Den korte version for købere af en test i sundhedssektoren står på penetrationtest.dk.
Det skal I lade være med
- At opdatere eller hærde udstyr uden producentens vejledning. Det kan påvirke udstyrets sikkerhed og ydeevne.
- At lade testeren finde udstyret selv. Listen skal ligge klar før testen.
- At teste i nærheden af kliniske systemer uden en klinisk kontaktperson.
- At segmentere uden medicoteknik. En afbrudt forbindelse kan stoppe et apparat.
- At gemme fund om udstyret i IT’s egen liste alene. Medicoteknik og producenten skal have dem.
Hvad kan og ikke kan konkluderes
Testen kan vise, om udstyrets net kan nås fra steder, hvor det ikke burde kunne, og hvordan de kliniske systemer, IT driver, står. Den kan ikke sige noget om selve udstyrets sikkerhed, når det ikke er afprøvet, og den kan ikke vurdere, om en ændring er forenelig med udstyrets godkendelse. Det spørgsmål hører til hos producenten. Teksten er ikke juridisk rådgivning.
Tjekliste før testen
- ☐ Er alt medicinsk udstyr på netværket listet med ejer i medicoteknik?
- ☐ Er producentens oplysninger om netværk og sikkerhed samlet?
- ☐ Er det aftalt, hvad testen må og ikke må røre?
- ☐ Er der en klinisk kontaktperson og en stopregel?
- ☐ Er fordelingen af fund mellem IT, medicoteknik og producent aftalt?
- ☐ Er segmenteringen af udstyret med i rettelsesplanen?
Kilder
- Forordning (EU) 2017/745 om medicinsk udstyr: bilag I, punkt 17.4 (producentens mindstekrav til hardware, IT-netværksegenskaber og IT-sikkerhedsforanstaltninger) og punkt 23.4, litra ab (oplysningerne i brugsanvisningen).
- MDCG 2019-16 rev. 1: Guidance on Cybersecurity for medical devices: afsnit 2.5 om driftsmiljøet og segmentering, afsnit 2.6 om fælles ansvar og ændringer efter producentens vejledning, afsnit 2.6.2 om driftsorganisationens opgaver. Vejledningen er ikke juridisk bindende.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Ukendte enheder på nettet · Midlertidige afhjælpninger
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
