Standartların Siber Güvenlikle Kesişimi
ISO 13485, tıbbi cihaz üreticileri için kalite yönetim sistemi (KYS) gerekliliklerini tanımlayan uluslararası standarttır. IEC 62304 ise tıbbi cihaz yazılımı geliştirme yaşam döngüsünü düzenleyen ve yazılım sınıflandırmasına (A, B, C) göre farklı güvenlik gerekliliklerini öngören teknik standarttır.
Her iki standart da başlangıçta siber güvenliği açıkça ele almamış olsa da sonraki güncellemeler ve düzenleyici baskılar bu eksikliği gidermiş; MDCG kılavuzları, IEC 81001-5-1 standardı ve FDA kılavuzları tıbbi yazılım güvenliğini geliştirme sürecinin ayrılmaz bir parçası haline getirmiştir.
2021'de yayımlanan IEC 81001-5-1 standardı, sağlık yazılımları için güvenlik faaliyetlerini IEC 62304 yaşam döngüsüne entegre eden kapsamlı bir çerçeve sunmaktadır. Bu standart artık MDR uyumu için fiilen referans kabul edilmektedir.
Yazılım Sınıflandırması ve Güvenlik Gereklilikleri
IEC 62304, tıbbi yazılımları olası zarar seviyesine göre üç sınıfa ayırmaktadır. Güvenlik testi gereklilikleri de bu sınıflandırmaya göre farklılaşmaktadır:
- Sınıf A: Hasta güvenliğini doğrudan etkilemeyen yazılımlar — temel güvenlik gözden geçirmesi
- Sınıf B: Hasara yol açabilecek yazılımlar — kapsamlı kaynak kod analizi ve güvenlik testleri
- Sınıf C: Ölüm veya ciddi yaralanmaya yol açabilecek yazılımlar — tam kapsamlı sızma testi ve resmi doğrulama
Güvenli Yazılım Geliştirme Döngüsüne Entegrasyon
TUGAY, güvenlik testlerini yalnızca son aşamada gerçekleştirilen bir etkinlik olarak değil; yazılım geliştirme yaşam döngüsünün (SDLC) her aşamasına dağıtılan sürekli bir süreç olarak ele almaktadır.
- Gereksinim Aşaması: Güvenlik gereksinimleri belirlenir ve tehdit modeli oluşturulur (STRIDE metodolojisi).
- Tasarım Aşaması: Güvenli mimari gözden geçirme ve veri akışı analizi gerçekleştirilir.
- Geliştirme Aşaması: Statik kod analizi (SAST) CI/CD pipeline'a entegre edilir; güvenli kodlama denetimleri yapılır.
- Test Aşaması: Dinamik uygulama testi (DAST), fuzzing ve penetrasyon testi uygulanır.
- Sürüm ve Bakım: Güvenlik açığı yönetim süreci (SBOM, CVE izleme) kurulur; periyodik testler planlanır.
Teknik Dosya ve Denetim Desteği
TUGAY'ın ürettiği test raporları, ISO 13485 KYS kaydı ve MDR teknik dosyasında doğrudan kullanılabilecek formatta hazırlanmaktadır. Onaylanmış kuruluş denetimleri için gereken siber güvenlik kanıtları sistematik biçimde sunulmaktadır.
- IEC 62304 yazılım sınıfına göre özelleştirilmiş test planı
- Tehdit modeli ve risk analizi raporu (IEC 81001-5-1 uyumlu)
- SAST/DAST bulgu raporları ve düzeltme doğrulaması
- Yazılım Malzeme Listesi (SBOM) oluşturma desteği