Chủ đề 4.4 — Thiết bị kết nối, IoT và kỹ thuật lâm sàng

Trong y tế và chăm sóc, thiết bị kết nối là nơi phần mềm gặp cơ thể bệnh nhân, nên cách bạn quản lý đội máy bơm, máy theo dõi, máy quét và thiết bị đeo là một quyết định về an toàn lâm sàng, an ninh mạng và niềm tin công chúng, không phải một dòng ngân sách cơ sở vật chất.

Vì sao điều này quan trọng trong y tế và chăm sóc#

Một bệnh viện hiện đại chạy trên những cỗ máy chạm trực tiếp vào bệnh nhân và liên tục nói chuyện với mạng. Máy truyền dịch định lượng thuốc đến từng microlit, máy thở giữ cho người ta thở, máy theo dõi quan sát các dấu hiệu sinh tồn, máy chẩn đoán hình ảnh phát bức xạ ion hóa, và hệ thống quản lý tòa nhà giữ nhiệt độ các tủ lạnh vắc-xin. Một tỷ lệ ngày càng tăng trong số này được kết nối: chúng đẩy dữ liệu vào hồ sơ, kéo cấu hình từ máy chủ, và phơi bày các giao diện quản lý. Khi một cái hành xử bất ngờ, thất bại không phải một sự cố ngừng hoạt động bất tiện — nó có thể là một sai liều, một cảnh báo bị bỏ sót, hay một hình ảnh bị hỏng làm thay đổi chẩn đoán.

Đó là lý do quản lý thiết bị nằm ở giao điểm của ba nghĩa vụ bạn đã mang. Đó là nghĩa vụ an toàn lâm sàng, vì một lỗi thiết bị hoặc một bản vá xấu có thể gây hại cho bệnh nhân (xem Chủ đề 1.6 — An toàn lâm sàng và quản lý rủi ro). Đó là nghĩa vụ an ninh mạng, vì các thiết bị lâm sàng kết nối là một trong những bề mặt tấn công lớn nhất và ít được quản trị nhất trong hệ thống (xem Chủ đề 1.7 — Quản trị thông tin, bảo vệ dữ liệu và an ninh mạng). Và đó là nghĩa vụ quy định, vì thiết bị y tế là sản phẩm được quản lý với các nghĩa vụ sau khi đưa ra thị trường một phần rơi vào bạn với tư cách người vận hành.

Rủi ro đang mở rộng, không thu hẹp. Chăm sóc đang chuyển vào nhà qua thiết bị đeo và theo dõi từ xa, nên "hệ thống thiết bị" nay gồm cả thiết bị bạn không sở hữu trên các mạng bạn không kiểm soát. Thiết bị sống lâu hơn nhiều so với phần mềm bên trong chúng, nên một máy quét được mua cho vòng đời lâm sàng mười lăm năm có thể chạy một hệ điều hành đã mất hỗ trợ bảo mật sau năm năm. Các băng nhóm mã độc tống tiền đã học được rằng công nghệ lâm sàng mong manh, chưa vá và then chốt về sứ mệnh — một sự kết hợp có lợi nhuận. Xem thiết bị kết nối là vấn đề của người khác là cách các tổ chức phát hiện, giữa một sự cố, rằng không ai sở hữu chúng.

Các khái niệm cốt lõi#

Một thiết bị y tế là bất kỳ dụng cụ, bộ máy hay phần mềm nào được nhà sản xuất dự định cho mục đích y tế — chẩn đoán, theo dõi, điều trị hay phòng ngừa — mà không đạt tác dụng thông qua dược lý. Một thiết bị y tế kết nối thêm một giao diện mạng: nó gửi hoặc nhận dữ liệu, hoặc có thể được quản lý từ xa. Internet vạn vật y tế (IoMT) là ứng dụng y tế của Internet vạn vật (IoT) rộng hơn — quần thể cảm biến và đồ vật hằng ngày kết nối mạng và trao đổi dữ liệu. Trong môi trường chăm sóc, IoMT trải rộng qua máy theo dõi cạnh giường, máy bơm thông minh, thiết bị đeo, cảm biến tại nhà và phần mềm trung gian cấp lâm sàng khâu chúng lại với nhau.

Kỹ thuật lâm sàng là chuyên ngành, nằm trong kỹ thuật y sinh, chịu trách nhiệm về việc sử dụng an toàn và hiệu quả công nghệ y tế trong một tổ chức y tế. Trong NHS các nhóm này thường được gọi là kỹ thuật y tế, vật lý y học, hay Kỹ thuật Điện tử và Y sinh (EBME). Quản lý thiết bị y tế là kỷ luật cốt lõi của họ: duy trì một bản kiểm kê chính xác, bảo trì phòng ngừa có kế hoạch, hiệu chuẩn, sửa chữa, cảnh báo an toàn, đào tạo, và cho nghỉ hưu có kiểm soát khi hết vòng đời.

Công nghệ vận hành (OT) là phần cứng và phần mềm giám sát hoặc điều khiển các quy trình và thiết bị vật lý, khác với công nghệ thông tin (CNTT) thông thường xử lý dữ liệu kinh doanh. Thiết bị lâm sàng và hệ thống tòa nhà là OT: chúng có tác dụng vật lý trong thế giới thực, vòng đời dài, và các ràng buộc (thời gian hoạt động, chứng nhận, hành vi thời gian thực) khiến thực hành CNTT thông thường — khởi động lại, vá, thay thế — rủi ro hoặc bị cấm nếu không có sự chấp thuận của nhà sản xuất. Bề mặt tấn công (attack surface) là tổng các điểm mà kẻ tấn công có thể xâm nhập hoặc ảnh hưởng một hệ thống; thiết bị kết nối mở rộng nó đáng kể vì mỗi cái là một máy tính nhỏ, thường chưa được gia cố, trên mạng của bạn.

Hai biện pháp kiểm soát lặp lại xuyên suốt chủ đề này. Phân đoạn mạng là thực hành chia một mạng thành các vùng cô lập để một sự xâm phạm trong một vùng không thể lan tự do sang vùng khác — biện pháp giảm thiểu hiệu quả nhất cho thiết bị lâm sàng không thể vá. Khả năng quan sát tài sản đơn giản là biết mình có gì: mọi thiết bị, vị trí, firmware, quyền sở hữu, hành vi mạng và tình trạng hỗ trợ của nó. Bạn không thể bảo vệ, vá hay cho nghỉ hưu thứ bạn không thấy.

Cuối cùng, khung quy định. Ở Vương quốc Anh Cơ quan Quản lý Thuốc và Sản phẩm Chăm sóc Sức khỏe (MHRA) quản lý thiết bị y tế, và giám sát sau khi đưa ra thị trường — giám sát an toàn và hiệu suất sau khi sản phẩm đã ra thị trường — là nghĩa vụ chung giữa nhà sản xuất và những người vận hành sử dụng và báo cáo về thiết bị. Công nghệ đeo được và theo dõi bệnh nhân từ xa mở rộng tất cả các khái niệm này vượt ra ngoài tòa nhà, vào nhà và túi áo của bệnh nhân.

Thực hành tốt nhất#

1. Xây dựng và duy trì một bản kiểm kê thiết bị có thẩm quyền duy nhất. Bạn không thể quản lý, bảo mật hay cho nghỉ hưu thứ bạn chưa đếm. Gộp cơ sở dữ liệu tài sản của kỹ thuật lâm sàng với dữ liệu khám phá mạng để bản kiểm kê ghi không chỉ hãng, kiểu và vị trí mà cả phiên bản firmware, hệ điều hành, hành vi mạng, luồng dữ liệu, quyền sở hữu và tình trạng hỗ trợ. Xem bản kiểm kê là một hệ thống an toàn sống với một người sở hữu có tên, được đối chiếu liên tục với thứ thực sự có trên dây, không phải một bảng tính làm mới mỗi năm một lần cho kiểm toán.

2. Đưa CNTT, kỹ thuật lâm sàng và an ninh mạng vào một diễn đàn quản trị duy nhất. Các thiết bị này rơi giữa ba nhóm, và khoảng trống giữa chúng chính xác là nơi sự cố sống. Thiết lập một nhóm bảo mật thiết bị y tế chung với quyền quyết định rõ ràng về việc đưa vào, vá, phân đoạn và cho nghỉ hưu, và trao cho nó một liên kết thường trực với chức năng an toàn lâm sàng. Các kỹ sư lâm sàng hiểu thiết bị và rủi ro bệnh nhân; nhóm bảo mật hiểu mối đe dọa mạng; không bên nào có thể hành động an toàn nếu thiếu bên kia.

3. Phân đoạn mạng và mặc định kết nối tối thiểu. Hầu hết thiết bị lâm sàng không thể được gia cố hay vá theo lịch của bạn, nên hãy ngăn chặn chúng thay thế. Đặt thiết bị vào các vùng được phân đoạn với các luồng được kiểm soát chặt, chỉ cho phép những kết nối thiết bị thực sự cần và từ chối phần còn lại, để một sự xâm phạm không thể xuyên qua hệ thống. Phân đoạn là biện pháp kiểm soát cho phép bạn tiếp tục chạy một thiết bị an toàn về lâm sàng nhưng yếu về số — nó mua thời gian mà chỉ riêng việc vá không bao giờ làm được.

4. Xem việc vá là một thay đổi an toàn lâm sàng, cùng sở hữu với nhà sản xuất. Một bản vá trên thiết bị được quản lý là một thay đổi với sản phẩm then chốt về an toàn, và áp dụng một bản cập nhật chưa được thẩm định có thể nguy hiểm như để lại một lỗ hổng mở. Theo dõi các khuyến cáo bảo mật của nhà sản xuất và thông báo an toàn thực địa của MHRA, thẩm định các bản cập nhật theo hướng dẫn của nhà sản xuất, và lên lịch chúng qua kiểm soát thay đổi lâm sàng với phương án dự phòng. Nơi một thiết bị không thể vá, hãy ghi lại rủi ro còn lại được chấp nhận và các biện pháp kiểm soát bù đắp thay vì giả vờ khoảng trống không tồn tại.

5. Lập kế hoạch toàn bộ vòng đời, gồm cả hết vòng đời, trước khi mua. Vòng đời lâm sàng của một thiết bị thường kéo dài hơn sự hỗ trợ phần mềm của nhà cung cấp, tạo ra nhiều năm rủi ro không được hỗ trợ, có hình dạng Internet. Khi mua sắm, yêu cầu một bảng kê vật liệu phần mềm, một cam kết hỗ trợ và vá đã nêu, các tính năng an toàn theo thiết kế và một ngày hết hỗ trợ rõ ràng, và lập ngân sách thay thế theo ngày đó, không phải ngày cơ khí (xem Chủ đề 6.3 — Mua sắm và thương mại). Cho nghỉ hưu cũng là một bước được kiểm soát: xóa dữ liệu bệnh nhân, thu hồi thông tin xác thực và quyền truy cập mạng, và cập nhật bản kiểm kê, vì một máy theo dõi bị quên trong kho vẫn là một đường vào sống.

6. Đưa dữ liệu thiết bị vào hồ sơ một cách an toàn và có ý nghĩa. Giá trị của thiết bị kết nối được hiện thực hóa khi số đo chảy vào hồ sơ lâm sàng chính xác, đúng bệnh nhân, đơn vị và dấu thời gian, và có nguồn gốc rõ ràng. Dùng các chuẩn tương tác được công nhận và phần mềm trung gian tích hợp thay vì các liên kết điểm-điểm đặt riêng, và thẩm định rằng một số đo thiết bị ánh xạ đúng bệnh nhân mọi lần (xem Chủ đề 4.3 — Khả năng tương tác và chuẩn dữ liệu). Một dấu hiệu sinh tồn bị gán cho sai bệnh nhân, hoặc một đơn vị mơ hồ, là một mối nguy an toàn lâm sàng khoác áo sự tiện lợi tích hợp.

7. Thiết kế theo dõi từ xa và thiết bị đeo cho ngôi nhà, không phải khoa. Khi chăm sóc chuyển vào nhà, bạn thừa hưởng thiết bị trên băng thông rộng gia đình, được các gia đình dùng chung, sạc không đều và được dùng bởi người đang ốm. Thiết kế cho khoảng trống kết nối, leo thang rõ ràng khi số đo vượt ngưỡng, hòa nhập số, và sự đồng ý rõ ràng về những gì được thu thập và ai hành động (xem Chủ đề 1.9 — Hòa nhập số và khả năng tiếp cận, và Chủ đề 3.3 — Dịch vụ số hướng tới bệnh nhân và công dân). Hãy trung thực về trách nhiệm giải trình lâm sàng: một luồng số đo tại nhà mà không ai được cấp nguồn lực để xem là sự trấn an giả, không phải một dịch vụ.

8. Diễn tập việc mất thiết bị của bạn, và báo cáo lỗi lên trên. Giả định một loại thiết bị sẽ một ngày không khả dụng — do mã độc tống tiền, thu hồi, hay sự cố mạng — và diễn tập phương án dự phòng lâm sàng để nhân viên không phải ứng biến trong một sự cố (xem Chủ đề 3.9 — Liên tục kinh doanh và phục hồi sau thảm họa). Song song, đưa các lỗi thiết bị, suýt xảy ra và biến cố bất lợi vào giám sát sau khi ra thị trường của MHRA qua chương trình Yellow Card, vì các báo cáo của bạn là cách các lỗi thiết bị mang tính hệ thống được bắt trước khi chúng gây hại cho người khác.

Câu hỏi để thảo luận với nhóm của bạn#

1. Ai thực sự sở hữu đội thiết bị kết nối trong toàn bộ vòng đời của nó — và hôm nay khoảng trống giữa CNTT, kỹ thuật lâm sàng và an ninh mạng nằm ở đâu? Điều này quan trọng vì thiết bị không có người sở hữu là những thiết bị không được vá, không được giám sát và không được vẽ bản đồ cho đến khi một sự cố buộc đặt câu hỏi. Ở hầu hết tổ chức kỹ thuật lâm sàng sở hữu hồ sơ tài sản, CNTT sở hữu mạng, bảo mật sở hữu mối đe dọa, và không ai sở hữu thiết bị như một tổng thể kết nối, được quản lý, hướng tới bệnh nhân. Hãy tranh luận nơi các đường nối nằm: ai quyết định một thiết bị có thể vào mạng, ai thẩm định một bản vá, ai phê duyệt cho nghỉ hưu, và ai chịu trách nhiệm khi một thiết bị vừa là dụng cụ then chốt về an toàn vừa là một máy tính dễ tổn thương. Hãy cân nhắc diễn đàn quản trị của bạn có quyền quyết định và ngân sách thực không, hay là một cuộc nói chuyện leo thang mọi thứ và không giải quyết gì. Một câu trả lời tốt, trung thực gọi tên người sở hữu chịu trách nhiệm cho từng giai đoạn vòng đời, thừa nhận nơi hôm nay câu trả lời là "không ai", và cam kết đóng các đường nối cụ thể thay vì nhắc lại rằng sự hợp tác là quan trọng.

2. Chúng ta thực sự có thể thấy bao nhiêu hệ thống kết nối của mình, và chúng ta tự tin đến đâu vào con số đó? Bạn không thể phân đoạn, vá hay cho nghỉ hưu những thiết bị bạn chưa đếm, thế nhưng hầu hết tổ chức phát hiện trong một sự cố rằng bản kiểm kê của họ đánh giá thấp thực tế bằng một khoảng lớn — thiết bị bóng, thiết bị do nhà cung cấp lắp, thiết bị bị quên trong kho, và thiết bị tại nhà không ai lập danh mục. Hãy thảo luận bản kiểm kê của bạn được xây và đối chiếu thế nào: là một bảng tính tĩnh, hay liên tục được khớp với thứ khám phá mạng thấy trên dây? Thăm dò sự trung thực trong sự tự tin của nhóm — một con số trông chính xác mà không có quy trình đối chiếu nguy hiểm hơn một lời thừa nhận "chúng tôi không biết đầy đủ", vì nó nuôi dưỡng sự đảm bảo giả. Hãy cân nhắc các loại khó nhất: hệ thống quản lý tòa nhà, thiết bị do bên thứ ba quản lý, và thiết bị trong nhà bệnh nhân. Một câu trả lời tốt nêu một con số bao phủ thực tế, mô tả cách các sai lệch được tìm ra và đóng, và xem bản kiểm kê là một hệ thống then chốt về an toàn với người sở hữu có tên thay vì một hiện vật tuân thủ.

3. Điều gì xảy ra về lâm sàng khi một loại thiết bị này không khả dụng, không an toàn hoặc bị xâm phạm — và chúng ta đã bao giờ diễn tập chưa? Thiết bị kết nối thất bại theo loại, không phải từng cái một: một sự kiện mã độc tống tiền, một lỗi firmware, một đợt thu hồi hay một sự cố mạng có thể đánh sập mọi máy bơm hay máy theo dõi cùng loại đồng thời. Hãy thảo luận loại thiết bị nào sẽ gây hại nhiều nhất nếu mất, phương án dự phòng thủ công hoặc thay thế về lâm sàng là gì, và nhân viên tuyến đầu có thực sự biết hay sẽ ứng biến dưới áp lực. Làm lộ sự đánh đổi giữa tính sẵn sàng và bảo mật: áp lực giữ một thiết bị mong manh chạy về lâm sàng so với rủi ro để một lỗ hổng đã biết mở, và ai được trao quyền đưa ra quyết định đó. Hãy cân nhắc liệu bạn có thậm chí phát hiện một thiết bị bị xâm phạm hành xử sai tinh vi không — một máy theo dõi báo số đo hợp lý nhưng sai khó bắt hơn một máy tắt hẳn. Một câu trả lời tốt xác định các loại gây hại cao nhất, xác nhận một phương án dự phòng được diễn tập và cấp nguồn lực tồn tại cho từng loại, và thẳng thắn về các điểm mù phát hiện còn lại.

4. Chúng ta đang mua và lập ngân sách cho vòng đời phần mềm của một thiết bị, hay chỉ vòng đời cơ khí của nó? Một máy quét có thể có vòng đời lâm sàng mười lăm năm trong khi hệ điều hành bên trong mất hỗ trợ bảo mật sau năm năm, nên một quyết định mua sắm hôm nay lặng lẽ cam kết bạn với một thập kỷ rủi ro không thể vá trừ khi ai đó lên kế hoạch cho nó. Hãy thảo luận liệu quy trình mua sắm của bạn có xem bảng kê vật liệu phần mềm, cam kết vá đã nêu, tính năng an toàn theo thiết kế và ngày hết hỗ trợ rõ ràng là điều khoản hợp đồng, hay là điều nên-có rơi mất dưới áp lực giá. Thăm dò ai nắm ngân sách thay thế và đặt theo ngày nào — điểm hỏng cơ khí, hay điểm hết hỗ trợ phần mềm đến sớm hơn nhiều năm. Hãy cân nhắc những trường hợp khó xử đã có trong hệ thống: thiết bị mua trước khi ai hỏi những câu này, nay đã quá hạn hỗ trợ nhiều năm, không có kinh phí thay thế trong tầm mắt. Làm lộ căng thẳng giữa các nhóm lâm sàng muốn năng lực mới nhất, tài chính muốn tài sản được vắt hết vòng đời vật lý, và bảo mật thấy trách nhiệm pháp lý đang lớn. Một câu trả lời trung thực nối quyết định mua với chi phí toàn vòng đời, gọi tên ai sở hữu ngân sách thay thế, và thừa nhận nơi hệ thống đã mang rủi ro lỗi thời phần mềm chưa được tài trợ.

5. Với các thiết bị đang chuyển vào nhà bệnh nhân, ai thực sự đang xem các số đo — và chúng ta đã thiết kế cho những người dùng chúng chưa? Theo dõi từ xa và thiết bị đeo dịch chuyển hệ thống thiết bị sang băng thông rộng gia đình, được dùng chung với gia đình, sạc không đều và do người đang ốm vận hành, nên các giả định của khoa về kết nối, kiểm soát và hỗ trợ không còn đúng. Hãy thảo luận liệu một nhóm lâm sàng có tên, được cấp nguồn lực có chịu trách nhiệm hành động trên số đo tại nhà không, hay dữ liệu chảy vào một bảng điều khiển mà không ai được tài trợ để xem — một sự trấn an giả khoác áo dịch vụ. Làm lộ căng thẳng hòa nhập số: một chương trình theo dõi tại nhà có thể lặng lẽ loại trừ những người thiếu băng thông đáng tin, thiết bị phù hợp hoặc sự tự tin để dùng, nới rộng chính những bất bình đẳng mà nó nhằm thu hẹp (xem Chủ đề 1.9 — Hòa nhập số và khả năng tiếp cận). Hãy cân nhắc sự đồng ý và sự rõ ràng của trách nhiệm giải trình — bệnh nhân và người chăm sóc cần biết điều gì được thu thập, ai thấy, và điều gì xảy ra khi một số đo vượt ngưỡng. Cân nhắc sức kéo mở rộng nhanh các chương trình này với nghĩa vụ làm chúng an toàn và công bằng. Một câu trả lời tốt xác nhận ai xem và leo thang, thẳng thắn về rủi ro hòa nhập, và xem thiết bị tại nhà là một dịch vụ lâm sàng được quản trị thay vì một nguồn dữ liệu tiện lợi.

6. Khi một số đo thiết bị đến hồ sơ lâm sàng, chúng ta có chắc nó là đúng giá trị, đúng đơn vị, cho đúng bệnh nhân không? Giá trị lâm sàng của một thiết bị kết nối chỉ được hiện thực hóa khi dữ liệu của nó đáp xuống hồ sơ chính xác, thế nhưng mỗi tích hợp cũng là một cơ hội mới để gán một dấu hiệu sinh tồn cho sai bệnh nhân hoặc làm mất đơn vị và nguồn gốc đằng sau một con số. Hãy thảo luận liệu dữ liệu thiết bị có chảy qua các chuẩn tương tác đã thẩm định và phần mềm trung gian tích hợp với kiểm tra khớp bệnh nhân rõ ràng, hay qua các liên kết điểm-điểm đặt riêng mà không ai hiểu đầy đủ (xem Chủ đề 4.3 — Khả năng tương tác và chuẩn dữ liệu). Thăm dò các kiểu thất bại trông như tiện lợi nhưng là mối nguy an toàn: một đơn vị mơ hồ, một số đo lệch thời gian, một giá trị được ghi cho bệnh nhân trước vẫn đang đăng nhập tại giường. Hãy cân nhắc bạn sẽ phát hiện một lỗi như vậy bằng cách nào, vì một con số hợp lý nhưng sai nguy hiểm hơn nhiều so với một khoảng trống hiển nhiên. Làm lộ sự đánh đổi giữa tốc độ kết nối một thiết bị mới và công việc đảm bảo làm cho dữ liệu của nó đáng tin. Một câu trả lời trung thực mô tả cách khớp bệnh nhân và tính toàn vẹn đơn vị được thẩm định đầu cuối, gọi tên ai sở hữu sự đảm bảo đó, và xem một số đo bị gán sai là sự cố an toàn lâm sàng đúng như nó là thay vì một phiền toái tích hợp.

Trong thực tế: một ví dụ về y tế và chăm sóc#

Quỹ NHS Meadowfield vận hành một bệnh viện cấp cứu cỡ trung và, ngày càng nhiều, một khoa bệnh ảo theo dõi bệnh nhân tại nhà. Sau khi một quỹ đồng cấp chịu một sự cố mã độc tống tiền lan qua các thiết bị lâm sàng không được quản lý, hội đồng của Meadowfield hỏi một câu đơn giản: chúng ta có bao nhiêu thiết bị kết nối, và ai sở hữu chúng? Câu trả lời trung thực là không ai nói được. Cơ sở dữ liệu của kỹ thuật lâm sàng liệt kê khoảng 6.000 tài sản; công cụ khám phá thụ động của nhóm mạng thấy gần 9.000 thứ hành xử như thiết bị. Khoảng cách đó là vấn đề.

Quỹ dựng một nhóm bảo mật thiết bị y tế chung do Trưởng bộ phận Kỹ thuật Lâm sàng và Giám đốc An ninh Thông tin cùng chủ trì, với Cán bộ An toàn Lâm sàng tham dự. Sản phẩm giao đầu tiên của họ là một bản kiểm kê được đối chiếu: họ gộp hai nguồn dữ liệu, truy tìm các sai lệch, và thấy các máy truyền dịch trên mạng chung, một máy quét CT chạy một hệ điều hành đã qua hết hỗ trợ ba phiên bản, và một tập bộ điều khiển quản lý tòa nhà cho các tủ lạnh hiệu thuốc mà CNTT chưa bao giờ lập danh mục. Mỗi phát hiện được ghi nhật ký với một xếp hạng rủi ro lâm sàng thay vì chỉ kỹ thuật thuần túy.

Họ không thể thay máy quét trong năm nay, nên họ ngăn chặn nó: nó chuyển vào một vùng phân đoạn chặt chỉ cho phép các luồng đến kho hình ảnh của nó và cổng hỗ trợ của nhà cung cấp, và rủi ro còn lại được chấp nhận được ghi lại và phê duyệt qua quản trị lâm sàng. Các máy bơm được đăng ký vào một chu kỳ vá được quản lý, thẩm định theo các khuyến cáo của nhà sản xuất và lên lịch qua kiểm soát thay đổi. Với khoa bệnh ảo, nhóm khăng khăng rằng các thiết bị theo dõi tại nhà báo vào hồ sơ qua phần mềm trung gian tích hợp đã thẩm định với kiểm tra khớp bệnh nhân, và rằng một nhóm lâm sàng có tên được cấp nguồn lực để xem và leo thang các số đo — không phải một bảng điều khiển không ai sở hữu.

Sáu tháng sau một nhà cung cấp ban hành thông báo an toàn thực địa về một lỗi firmware của máy theo dõi. Vì bản kiểm kê nay chính xác và được đối chiếu, Meadowfield xác định mọi đơn vị bị ảnh hưởng trong vòng một giờ, áp dụng bản sửa đã thẩm định qua kiểm soát thay đổi, và báo cáo suýt xảy ra liên quan của chính mình cho MHRA qua chương trình Yellow Card. Công việc không hào nhoáng — một bản kiểm kê, một diễn đàn, một dự án phân đoạn — nhưng nó biến một rủi ro vô hình, không người sở hữu thành một rủi ro được quản lý.

Góc nhìn theo khu vực#

Công ty khởi nghiệp#

Một công ty khởi nghiệp y tế số giao một thiết bị đeo hoặc thiết bị theo dõi tại nhà ở phía nhà sản xuất của ranh giới quy định, và phương thức làm việc của nó phải phản ánh điều đó từ ngày đầu. Hãy xây an toàn theo thiết kế: firmware được ký, một đường cập nhật qua không khí, một bảng kê vật liệu phần mềm, và một kế hoạch vá các thiết bị đã ở ngoài thực địa — cải tạo bảo mật sau một vòng gọi vốn khó hơn nhiều. Hiểu rằng bạn mang các nghĩa vụ giám sát sau khi ra thị trường và nghĩa vụ MHRA không thu nhỏ theo một nhóm nhỏ, và một khách hàng bệnh viện sẽ đánh giá tư thế bảo mật của bạn trước khi để thiết bị của bạn gần mạng của họ. Lợi thế cạnh tranh của bạn không chỉ là thiết bị mà là lời hứa đáng tin, được ghi chép rằng bạn sẽ hỗ trợ và bảo mật nó trong toàn bộ vòng đời lâm sàng.

Doanh nghiệp nhỏ#

Một nhà cung cấp nhỏ đã thành lập — một phòng khám bác sĩ gia đình, một hiệu thuốc cộng đồng, một nhà dưỡng lão hoặc một phòng khám đơn lẻ — vận hành một đội thiết bị kết nối khiêm tốn nhưng thật: máy đo huyết áp, máy điện tâm đồ, cảm biến tủ lạnh vắc-xin, máy đo chức năng hô hấp và dòng nhỏ giọt thiết bị đeo của bệnh nhân, tất cả trên một mạng không nhóm CNTT chuyên trách nào theo dõi. Cùng các nghĩa vụ MHRA, an ninh mạng và an toàn lâm sàng áp dụng như với một bệnh viện lớn, nhưng không có bộ phận kỹ thuật lâm sàng và thường không có CNTT nội bộ nào, nên hãy bắt đầu bằng việc đơn giản là biết mình có gì: một bản kiểm kê ngắn, trung thực với hãng, firmware và tình trạng hỗ trợ tốt hơn một hệ thống công phu bạn không thể duy trì. Dựa mạnh vào nhà cung cấp và đối tác dịch vụ được quản lý của bạn — khăng khăng hợp đồng bảo trì, trách nhiệm vá và ngày hết hỗ trợ được viết ra, vì bạn đang dựa vào họ cho năng lực bạn không thể bố trí nhân sự. Dùng thời điểm mua làm điểm kiểm soát chính của bạn, vì thay một thiết bị lỗi thời thường thực tế hơn với bạn so với gia cố nó tại chỗ. Giữ các hạng mục gây hại cao nhất — một tủ lạnh giữ vắc-xin chuỗi lạnh, một máy theo dõi mà bác sĩ tin — ngoài mạng văn phòng phẳng nơi một sự xâm phạm có thể chạm mọi thứ, ngay cả khi phân đoạn đầy đủ nằm ngoài tầm với của bạn.

Doanh nghiệp lớn#

Một bệnh viện NHS lớn hoặc tập đoàn bệnh viện quản lý hàng nghìn thiết bị từ hàng chục nhà cung cấp qua một hệ thống trải rộng, sống lâu, và thách thức của nó là phối hợp và quy mô. Mục tiêu thực tế là một bản kiểm kê được đối chiếu, phân đoạn có kỷ luật, và một diễn đàn quản trị chung trải qua kỹ thuật lâm sàng, CNTT và bảo mật với thẩm quyền thực — không phải vá hoàn hảo ở mọi nơi, điều mà các ràng buộc của nhà cung cấp khiến bất khả. Nhúng bảo mật thiết bị vào mua sắm để các cam kết hỗ trợ, tính năng an toàn theo thiết kế và ngày hết hỗ trợ là điều khoản hợp đồng, và căn chỉnh ngân sách thay thế theo vòng đời phần mềm, không phải cơ khí (xem Chủ đề 4.0 — Kiến trúc kỹ thuật, đám mây và hệ thống cũ). Ở quy mô này các thắng lợi lớn nhất đến từ một số ít biện pháp kiểm soát toàn hệ thống được thực hiện nhất quán, không phải những nỗ lực anh hùng trên từng thiết bị.

Chính phủ#

Một cơ quan quốc gia hoặc khu vực — NHS England, một bộ y tế được phân quyền, MHRA — định hình môi trường mà mọi người vận hành làm việc trong đó. Nó đặt các chuẩn bảo mật thiết bị và khung mua sắm, vận hành thông tin tình báo mối đe dọa và cảnh báo quốc gia để một lỗ hổng tìm thấy ở một bệnh viện bảo vệ tất cả, và quản lý thiết bị cùng giám sát sau khi ra thị trường của chúng. Đòn bẩy của nó là làm cho an toàn theo thiết kế và hỗ trợ vòng đời trở thành mặc định của thị trường qua chuẩn và sức mua, để các bệnh viện riêng lẻ không mỗi nơi phải thương lượng bảo mật từ vị thế yếu. Chính phủ cũng mang nghĩa vụ công bằng: bảo đảm các chương trình theo dõi tại nhà và thiết bị đeo không nới rộng khoảng cách số, và báo cáo an toàn chảy lên trên để các lỗi thiết bị mang tính hệ thống được bắt ở cấp quốc gia thay vì được khám phá lại từng bệnh viện một (xem Chủ đề 9.1 — Làm việc với chính quyền địa phương và quốc gia).

Các kiểu thất bại thường gặp#

• Bản kiểm kê nói dối. Một bảng tính gọn gàng được đối chiếu lần cuối cách đây một năm cho sự tự tin giả; những thiết bị gây hại cho bạn là những thiết bị nó chưa bao giờ liệt kê. Hãy đối chiếu liên tục với khám phá mạng.
• Thiết bị trong vùng vô chủ giữa các nhóm. Khi CNTT nói đó là thiết bị của kỹ thuật lâm sàng và kỹ thuật lâm sàng nói đó là mạng của CNTT, không ai vá, phân đoạn hay giám sát nó. Giao quyền sở hữu đầu cuối.
• Tê liệt vá hoặc vá liều lĩnh. Cả hai cực đoan đều gây hại bệnh nhân — không bao giờ cập nhật để lại lỗ hổng đã biết mở; áp dụng bản cập nhật chưa thẩm định có thể làm hỏng một thiết bị then chốt về an toàn. Định tuyến các bản vá qua kiểm soát thay đổi lâm sàng chung.
• Mua cho vòng đời cơ khí, quên vòng đời phần mềm. Một máy quét mười lăm năm trên một hệ điều hành được hỗ trợ năm năm trở thành một trách nhiệm pháp lý không thể vá. Lập ngân sách thay thế theo thời điểm hết hỗ trợ phần mềm.
• Mạng phẳng. Thiết bị kết nối trên mạng chung để một sự xâm phạm duy nhất chạm mọi thứ. Phân đoạn theo mặc định.
• Theo dõi tại nhà không có ai xem. Một luồng số đo thiết bị đeo mà không bác sĩ nào được cấp nguồn lực để hành động là sự trấn an giả và rủi ro quản trị, không phải một dịch vụ.
• Cho nghỉ hưu mà không thực sự nghỉ. Một thiết bị đã nghỉ vẫn trên mạng với thông tin xác thực cũ và dữ liệu bệnh nhân là đường tấn công sống. Hãy xóa, thu hồi, ngắt kết nối và cập nhật bản kiểm kê.

Mô hình trưởng thành#

Danh sách kiểm tra#

• Có một bản kiểm kê thiết bị có thẩm quyền duy nhất, được đối chiếu liên tục với khám phá mạng, với một người sở hữu có tên.
• Một diễn đàn chung của CNTT, kỹ thuật lâm sàng và an ninh mạng có quyền quyết định thực về việc đưa vào, vá, phân đoạn và cho nghỉ hưu.
• Thiết bị kết nối nằm trong các vùng mạng được phân đoạn chỉ cho phép các luồng chúng thực sự cần.
• Bản vá và cập nhật firmware cho thiết bị được quản lý được thẩm định và định tuyến qua kiểm soát thay đổi lâm sàng, với phương án dự phòng.
• Hợp đồng mua sắm yêu cầu một bảng kê vật liệu phần mềm, tính năng an toàn theo thiết kế và một ngày hết hỗ trợ đã nêu.
• Ngân sách thay thế được căn chỉnh theo vòng đời hỗ trợ phần mềm, không chỉ vòng đời cơ khí.
• Cho nghỉ hưu xóa dữ liệu bệnh nhân, thu hồi thông tin xác thực và quyền truy cập mạng, và cập nhật bản kiểm kê.
• Dữ liệu thiết bị đến hồ sơ lâm sàng qua tích hợp đã thẩm định với kiểm tra khớp bệnh nhân và đơn vị.
• Chương trình theo dõi tại nhà và thiết bị đeo có leo thang lâm sàng được cấp nguồn lực, đồng ý rõ ràng, và hòa nhập theo thiết kế.
• Phương án dự phòng lâm sàng cho việc mất từng loại thiết bị gây hại cao được ghi chép và diễn tập.
• Lỗi thiết bị, suýt xảy ra và biến cố bất lợi được báo cáo cho MHRA qua chương trình Yellow Card.

Nguồn chính#

• MHRA — Medical devices: guidance for manufacturers, operators and users, và chương trình báo cáo Yellow Card cho biến cố bất lợi và thông báo an toàn thực địa.
• NHS England / NHS Digital — Bộ công cụ Bảo mật và Bảo vệ Dữ liệu và hướng dẫn bảo mật mạng/thiết bị cho các tổ chức y tế và chăm sóc.
• NCSC (Trung tâm An ninh Mạng Quốc gia) — hướng dẫn về công nghệ vận hành, phân đoạn mạng và bảo mật thiết bị kết nối.
• NHS England / các chuẩn IEC — thực hành tốt về kỹ thuật lâm sàng và quản lý thiết bị y tế (gồm IEC 80001 về quản lý rủi ro cho mạng CNTT có thiết bị y tế).
• NICE — Khung Tiêu chuẩn Bằng chứng cho Công nghệ Y tế Số và hướng dẫn về theo dõi từ xa và thiết bị đeo.
• Viện Vật lý và Kỹ thuật trong Y học (IPEM) — hướng dẫn nghề nghiệp cho kỹ thuật lâm sàng và y sinh.

Tài liệu tham khảo#

1. Medical device — Wikipedia — https://en.wikipedia.org/wiki/Medical_device
2. Internet of things — Wikipedia — https://en.wikipedia.org/wiki/Internet_of_things
3. Clinical engineering — Wikipedia — https://en.wikipedia.org/wiki/Clinical_engineering
4. Biomedical engineering — Wikipedia — https://en.wikipedia.org/wiki/Biomedical_engineering
5. Operational technology — Wikipedia — https://en.wikipedia.org/wiki/Operational_technology
6. Network segmentation — Wikipedia — https://en.wikipedia.org/wiki/Network_segmentation
7. Attack surface — Wikipedia — https://en.wikipedia.org/wiki/Attack_surface
8. Medicines and Healthcare products Regulatory Agency — Wikipedia — https://en.wikipedia.org/wiki/Medicines_and_Healthcare_products_Regulatory_Agency
9. Postmarketing surveillance — Wikipedia — https://en.wikipedia.org/wiki/Postmarketing_surveillance
10. Wearable technology — Wikipedia — https://en.wikipedia.org/wiki/Wearable_technology
11. Remote patient monitoring — Wikipedia — https://en.wikipedia.org/wiki/Remote_patient_monitoring
12. Infusion pump — Wikipedia — https://en.wikipedia.org/wiki/Infusion_pump
13. Medicines and Healthcare products Regulatory Agency — Medical devices: guidance and Yellow Card reporting — GOV.UK — https://www.gov.uk/government/organisations/medicines-and-healthcare-products-regulatory-agency
14. National Cyber Security Centre — Guidance on operational technology and device security — NCSC — https://www.ncsc.gov.uk/
15. NHS England — Data Security and Protection Toolkit — NHS England — https://www.dsptoolkit.nhs.uk/
16. National Institute for Health and Care Excellence — Evidence Standards Framework for Digital Health Technologies — NICE — https://www.nice.org.uk/about/what-we-do/our-programmes/evidence-standards-framework-for-digital-health-technologies
17. Institute of Physics and Engineering in Medicine — Clinical and biomedical engineering guidance — IPEM — https://www.ipem.ac.uk/