Sikkerhedsmål
MDSC-8232 M3D vil blive brugt til visning af digitale billeder. Derfor er sikring af tilgængeligheden af de digitale billeder blevet identificeret som det primære sikkerhedsmål for dette produkt.
Ikke desto mindre afhænger tilgængeligheden, integriteten og fortroligheden af oplysninger, der behandles af produktet, af de ikke-obligatoriske sikkerhedsanbefalinger, der er beskrevet nedenfor.
Eftersom patienters oplysninger eller andre personlige oplysninger hverken lagres eller behandles, og (netværks)forbindelsen er begrænset, har MDSC-8232 M3D en low cybersikkerhedsmæssig risikoprofil.
Sikkerhedsanbefalinger
De sikkerhedsforanstaltninger, der er anført nedenfor, bør betragtes som en ikke-udtømmende liste over mulige sikkerhedskontroller for driftsmiljøet. Driftsmiljøet må ikke hindre anvendelsen af sikkerhedsforanstaltninger på produktet eller tvinge enheden til at fungere i en lavere sikkerhedsindstilling.
Operatøren skal opretholde de nyeste politikker, processer, standarder og andre sikkerhedskontroller, der er nødvendige for at inkorporere, understøtte og beskytte produktet. Dette skal omfatte anvendelse af risikostyring (f.eks. ved at gennemføre relevante standarder) og uddannelse af det relevante personale.
Driftsmiljøet skal give fysisk sikkerhed via sikkerhedsforanstaltninger såsom:
- Reguleret og autentificeret fysisk adgang håndhæves via passende tekniske foranstaltninger (f.eks. badges)
- Fysisk sikkerhedspolitik, der definerer roller og adgangsrettigheder, herunder for fysisk adgang til produktet
- Brug af adskilte, sikre områder med passende adgangskontrol
Driftsmiljøet bør omfatte passende sikkerhedskontroller såsom:
- Brugeradgangsstyring (legitimationsoplysninger til adgang til softwareprogrammer eller enheder, brugeradgangspolitik osv.)
- Antivirus- og anti-malware-software
- Netværks- og værtsbaserede firewalls, der kun tillader den trafik, der er nødvendig for at systemet kan fungere
- Applikationshvidliste/systemhærdning
- Eksklusiv brug af ægte software og forbud mod al ulovlig software og applikationer
- Sessionshåndteringsforanstaltninger (f.eks. sessionstimeouts)
Driftsmiljøet bør sikre kontrol og sikkerhed for netværkstrafikken ved hjælp af passende foranstaltninger, såsom:
- Netværkssegmentering og netværksadgangskontrol
- Trafikfiltrering
- Krypteret kommunikation
Specielt for arbejdsstationer, der er tilsluttet produktet, omfatter passende sikkerhedsforanstaltninger:
- Operativsystemhærdning og hvidlistning af applikationer
- Brug af stærke adgangskoder
- Installer kun software, der er nødvendig for den tilsigtede brug af driftsmiljøet
For at sikre, at driftsmiljøet og selve produktet forbliver på et passende niveau, bør der være passende bestemmelser om håndtering af patches, såsom:
- Driftsmiljøet bør understøtte patching uden at gå på kompromis med interoperabilitet/kompatibilitet
- Operatøren bør have passende processer til administration af patches for at sikre, at sikkerhedsrettelser til produktet implementeres rettidigt
- Operatøren bør have passende processer til administration af patches for at sikre, at driftsmiljøet (f.eks. operativsystemer, applikationer) er opdateret med hensyn til sikkerhed
- Sårbarhedsscanning skal udføres, hvis der sker væsentlige ændringer (der påvirker sikkerheden) i driftsmiljøet (funktioner, komponenter og andre produkter tilføjet eller fjernet) og/eller mindst en gang om måneden (f.eks. for at holde styr på månedligt frigivne patches på operativsystemniveau). Problemer med høj eller kritisk prioritet bør afhjælpes hurtigst muligt.
Nexxis Integration
Med hensyn til Nexxis-systemet skal der træffes følgende foranstaltninger og forholdsregler:
- Standard-legitimationsoplysningerne, der følger med ved den indledende installation af Nexxis-systemet, skal ændres ved første login.
- Når du ændrer disse legitimationsoplysninger, skal de nye legitimationsoplysninger overholde NIST Special Publication 800-63.
For så vidt angår andre komponenter i systemet, som MDSC-8232 M3D integreres i, såsom netværksswitches eller Nexxis, skal følgende gælde:
- Nej godkendelse med en tom adgangskode er tilladt. Hvis enheder leveres som standard med en tom adgangskode, skal disse indstilles, før produktet placeres i operationsstuen. Alle legitimationsoplysninger skal overholde branchens standardiserede sikkerheds- og privatlivskontrol, såsom NIST Special Publication 800-63.
- En firewall skal være på plads, der kun tillader forbindelser efter behov til det netværk, som MDSC-8232 M3D er integreret i. Dette netværk skal være privat og ikke eksponeret over for internettet eller andre it-netværk (f.eks. hospitalets netværk).
Med hensyn til tredjepartsudstyr skal følgende gælde:
- Operatøren skal sørge for, at tredjepartsudstyr, der er knyttet til MDSC-8232 M3D, har foranstaltninger til at sikre dets integritet og forhindre uautoriseret adgang.
