Dezvoltarea Competentelor In Domeniul Administrarii Riscurilor la Nivel Organizational Si Cibernetic

=== f35736bb1f3c77f2f3ab5111850103ecd7e39188_679651_1 ===

2. Structura actuala a unui model al competențelor (resurselor umane)

2.1. Competențe fundamentale

În cadrul capitolului de față va fi analizată relevanța organizatorică a resurselor umane, respective importnața competențelor în funcție de domeniul de activitate a unei organizații.

Profesioniștii din domeniul sănătății utilizează în mod constant gândirea critică ca bază a practicii lor în domeniul sănătății publice. Într-adevăr, ele combină gândirea critică și rezolvarea problemelor creative cu procesele de evaluare, planificare, intervenție și evaluare pentru a obține rezultate / rezultate în domeniul sănătății.

Atunci când se îngrijește de adulții mai în vârstă, ei trebuie să ia în considerare atitudinile societale față de îmbătrânire și modul în care miturile / prejudecățile aduse acestora influențează îngrijirile de sănătate pe care le primesc adulții mai în vârstă.

Din acest motiv, este important ca o echipă competentă de sănătate multiprofesională "să demonstreze interesul pentru adultul în vârstă și disponibilitatea de a trata probleme legate de această etapă a vieții", precum și "să evalueze aspecte legate de mediul lor social și relațional".

Pentru profesioniștii din domeniul sănătății publice, comunicarea eficientă este importantă pentru promovarea relațiilor interpersonale cu comunitatea și echipa de sănătate. Comunicarea dintre profesioniștii din domeniul sănătății și pacienți poate avea implicații de amploare asupra sănătății fizice și psihice a pacienților vârstnici.

Comunicarea eficientă dintre medic și pacient implică atât schimbul de informații biomedicale cât și psiho-sociale, precum și îngrijirea emoțională și afectivă care este atât de importantă pentru sănătatea pacientului senior. Dezvoltarea unei relații terapeutice de încredere poate fi esențială pentru îngrijirea sănătății pacienților vârstnici. Conform acestei înțelegeri, competențele se axează pe dispoziția, răbdarea, toleranța și dialogul profesional și respectuos al profesioniștilor pentru a răspunde nevoilor afective ale adulților în vârstă.

Evaluarea problemelor predominante de sănătate ale persoanelor în vârstă include situații cronice și acute și este exacerbată de schimbările normale ale îmbătrânirii și de creșterea riscului de îmbolnăvire asociat vârstei înaintate. Aceasta înseamnă că profesioniștii din domeniul sănătății ar trebui să "abordeze dificultățile etapei de viață și să identifice modificările prezentate de adultul mai în vârstă.

Deoarece tratarea unui număr atât de mare de probleme simultane pare improbabilă, ar putea fi necesar să se acorde prioritate tratamentului. Prin urmare, este esențial ca profesioniștii din domeniul sănătății și pacienții să determine ce probleme de sănătate să aleagă ca priorități în domeniul sănătății. Perspectivele ambelor părți vor contribui la un proces comun de luare a deciziilor de stabilire a priorităților pentru a se ajunge la un acord reciproc.

Competențe profesionale în domeniul asistenței medicale primare pentru participarea la adulții mai în vârstă.

 COMPETENȚE

Recunoaște beneficiile practicii interdisciplinare a echipelor în îngrijirea adulților în vârstă

Stabilește prioritățile împreună cu adulții și familia în vârstă, facilitând participarea lor la procesul de îngrijire.

Acționează cu autonomie în sfera profesională care arată capacitatea fermă de a participa la adultul în vârstă și la familia sa.

Demonstrează încrederea în practica propusă, promovând o relație de îngrijire cu adulții și familiile în vârstă

Își asumă responsabilitatea pentru învățarea de lungă durată necesară îngrijirii adulților în vârstă, având în vedere planul de tratament al schimbărilor legate de vârstă. Cu toate acestea, în ceea ce privește competența "evaluarea problemelor adulților în vârstă cu obiectivitatea, cu scopul de a organiza prioritățile", a fost observat un acord scăzut asupra sănătății și priorităților de tratament între pacienți și medici, necesitând o mai bună comunicare între cele două părți pentru a consolida înțelegerea reciprocă.

Problemele de sănătate comune ale adulților vârstnici includ tulburări psihice, care afectează aproximativ două treimi din populația lor. Având în vedere această situație, participanții au indicat competența care recunoaște și gestionează suferința psihologică, inclusiv manifestările psihosomatice.

Competențele competențelor profesionale cuprind proceduri corecte cu privire la regulile stabilite, nevoia de abilități manuale și utilizarea materialelor adecvate în fiecare situație. Pentru a participa la adulții mai în vârstă în asistența medicală primară, profesioniștii din domeniul sănătății au indicat competența "să demonstreze capacitatea tehnică în sfera profesională de a participa la nevoile fizice, cognitive, psihologice, spirituale și sociale ale adultului în vârstă.

Asa cum implementarea masurilor de sanatate de protectie si de prevenire a sanatatii si a initiativelor de promovare a sanatatii cu indivizi, familii si comunitate au fost considerate pivot in asistenta medicala primara, echipa de sanatate joaca, de asemenea, un rol important atunci cand ingrijirea pentru mai in varsta adulți. Din perspectivă integrală, aceștia încearcă să creeze legături cu aceștia, identificând riscurile și dezvoltând măsuri preventive care să le garanteze viața de calitate.

2.2. Competente specific ramurii de activitate (activitate medicala)

În cadrul profesiei medicale, "competența profesională" înseamnă că un medic sau alt specialist medical a fost educat și instruit și este calificat să-și facă treaba la standarde acceptabile. Menținerea competenței profesionale este o modalitate de a vă asigura că medicii înregistrați în Irlanda sunt la curent cu educația, cunoștințele și abilitățile lor. Acest lucru vă ajută să vă asigurați că, ca pacient, aveți grijă care este sigură, personală și clinic bună. În trecut, menținerea competenței profesionale a fost o practică voluntară. Asta sa schimbat acum. Din luna mai 2011, există o obligație legală pentru toți medicii înregistrați în Irlanda să demonstreze că își mențin competența profesională. Consiliul Medical se ocupă de această nouă datorie.

În cadrul profesiei medicale, "competența profesională" înseamnă că un medic sau alt specialist medical a fost educat și instruit și este calificat să-și facă treaba la standarde acceptabile. Menținerea competenței profesionale este o modalitate de a vă asigura că medicii înregistrați în Irlanda sunt la curent cu educația, cunoștințele și abilitățile lor. Acest lucru vă ajută să vă asigurați că, ca pacient, aveți grijă care este sigură, personală și clinic bună. În trecut, menținerea competenței profesionale a fost o practică voluntară. Asta sa schimbat acum. Din luna mai 2011, există o obligație legală pentru toți medicii înregistrați în Irlanda să demonstreze că își mențin competența profesională. Consiliul Medical se ocupă de această nouă datorie.

Medicii vor fi înscriși în scheme de competență profesională care sunt operate de un organism de formare medicală postuniversitară, de exemplu, Colegiul Regal al Medicilor din Irlanda, Colegiul irlandez de practicieni generali și așa mai departe. Aceștia vor fi obligați să participe la activități de dezvoltare profesională continuă și audit clinic.

Activitățile includ

Menținerea cunoștințelor și abilităților (de exemplu, participarea la întâlniri profesionale, seminarii și cursuri de educație legate de medii și așa mai departe)

• Activități de evaluare și dezvoltare a practicii (de exemplu, revizuiri de diagrame, prezentări de caz, grupuri de experți intervievați și așa mai departe)

• Activități de învățare personale (de exemplu, citirea publicațiilor medicale)

• Cercetare și predare

  • Completarea unei liste de verificare a competențelor clinice pentru a vedea cum îngrijirea furnizată de medic respectă standardele în vederea îmbunătățirii calității.

Relația pacient-medic este una importantă care depinde de încrederea în profesionalismul medicului. Menținerea competenței profesionale asigură asigurarea faptului că medicul își păstrează actualizările și cunoștințele. Acest lucru vă va ajuta să vă mențineți încrederea în medicul dumneavoastră. Toate aceste activități trebuie să fie aprobate de organismul de formare postuniversitară.

Menținerea competenței profesionale înseamnă că medicii au o obligație legală de a se angaja în învățarea de-a lungul vieții și dezvoltarea competențelor care conduc la buna practică și standarde profesionale. Bună practica profesională nu înseamnă doar că aveți abilitățile medicale pentru a vă trata; de asemenea, înseamnă că medicul dumneavoastră are abilități de comunicare și interpersonale care îi ajută să se raporteze la dumneavoastră, pacientul. Deși niciun sistem nu poate elimina eroarea umană, menținerea competenței profesionale reprezintă un pas important în asigurarea unor standarde ridicate de îngrijire a pacienților.

Începând cu luna mai 2012, fiecare medic înregistrat la Consiliul Medical va primi un certificat care să ateste că a îndeplinit cerințele de competență profesională din anul precedent. Toate certificatele vor avea simbolul de mai jos și puteți verifica împreună cu medicul dumneavoastră că acestea și-au îndeplinit obligațiile legale. Consiliul Medical va avea un sistem de monitorizare pentru a se asigura că medicii dețin competența profesională. În fiecare an, Consiliul va alege un eșantion aleatoriu de medici pentru o inspecție mai detaliată. Acesta va lua măsuri dacă nu este convins că un medic își păstrează competența profesională.

Coduri sau declarații de principii etice au existat pentru a ghida practicanții medicali de aproape 2500 de ani. Baza pentru principiile conținute în codurile moderne a provenit din Grecia prin ceea ce se numește, de obicei, jurământul hipocratic. Hippocrates sa născut pe insula Kos în 460 î.Hr. și a fost responsabil pentru începutul unei abordări științifice a medicinei prin predarea și practicarea medicinei în Grecia. Învățăturile sale au acoperit toate ramurile medicinei și au inclus cerințele morale și etice ale unui medic ideal, care au fost ulterior enumerate în jurământul hipocratic. Scrierile sale sunt colectate în Corpus Hippocraticum, care cuprinde 70 de cărți. Este probabil ca multe din cele 70 de cărți să fie scrise de discipolii săi după moartea sa.

În timp ce jurământul hipocratic este folosit frecvent ca punct de plecare pentru introducerea temei eticii medicale, în forma sa originală, nu ar servi bine societatea modernă și nici nu ar conduce efectiv medicina modernă sau profesia medicală. Mențiunea continuă se referă mai degrabă la mândria profesiei medicale în ceea ce privește originile, tradițiile și dreptul de autoreglementare, decât la relevanța sa imediată.

Ea identifică unele aspecte-cheie care stau la baza mai multor coduri etice moderne, inclusiv conceptele "în primul rând, nu face rău", abuzul de privilegii, confidențialitatea, respectul pentru viață și conștientizarea limitărilor. Așa cum am discutat mai jos, multe organisme medicale profesionale, internaționale și naționale, publică acum coduri etice și ghiduri mai detaliate privind conduita profesională.

Multe școli medicale din Australia și din străinătate au menținut sau reintrodus înmormântarea jurământului "hipocrat" modernizat pentru studenții medicali la ceremoniile de absolvire. Cu toate acestea, educația medicală din Australia nu se bazează pe această practică simbolică și se concentrează, în schimb, pe furnizarea de educație în probleme de etică, juridică și de dezvoltare profesională într-o manieră integrată, prin intermediul întregii curricule a studenților medicali și (într-o măsură mai mică până în prezent) prin curricula postuniversitară.

Când vorbim despre etică într-un sens modern, ne referim la o abordare sistematică a modului în care noi, ca indivizi sau ca o societate, dorim să ne trăim viața, exprimată ca un "etos", care înseamnă un mod de viață. Etica și codurile etice pot fi văzute ca o "acumulare de valori și principii care abordează întrebări despre ceea ce este bun sau rău în afacerile umane. Etica caută motive pentru a acționa sau a renunța la a acționa; pentru aprobarea sau neacordarea comportamentului; pentru a crede sau a nega ceva despre comportamentul virtuos sau vicios sau despre regulile bune sau rele.

Atunci când se confruntă cu decizii clinice care implică considerații etice, recursul la ceea ce spune legea va fi, în general, nefolositor. Legea este în esență un sistem de reguli elaborat de guvern în numele unei comunități pentru a reglementa interacțiunea dintre indivizi și stat, la care sistemul comunitar este de acord să fie legat.

Etica nu este doar un set de principii sau valori; etica are, de asemenea, moduri caracteristice ale raționamentului și justificării. În mod tradițional, cele două școli majore de etică raționamentul este consecințialist și deontologic. Atunci când sunt aplicate problemelor etice medicale, aceste sisteme de raționament pot fi considerate ca proceduri pentru a face și a justifica judecăți de valoare.

Utilitatea lor în studiul eticii medicale este de a arăta cine face aceste judecăți și cum sunt justificate – cu cea mai strictă ușurare, medicii aplică doar propriile lor judecăți de valoare și ignoră pe cei ai pacienților sau ai comunității? Mai recent, după cum sa discutat mai jos, a existat un interes revigorat în aplicarea a ceea ce se numește "etică virtuală" atunci când se iau în considerare calitățile etice cerute de practicienii medicali.

Cea mai cunoscută școală secundară de gândire morală este utilitarismul, care măsoară binele sau răul oricărei acțiuni, după cum rezultatele sale sunt bune sau rele. Utilitarismul a fost descris de filozoful englez Jeremy Bentham spre sfârșitul secolului al XVIII-lea.

Bentham a propus ca acțiunile să fie evaluate de capacitatea lor de a produce plăcere (bun moral) sau durere (rău moral). În forma sa actuală, utilitarismul își exprimă expresia în ceea ce privește capacitatea unei acțiuni de a satisface cel mai bine nevoile tuturor celor afectați de acțiunea propusă; implică examinarea rezultatelor și efectelor acțiunilor, și nu motivele sau gândurile actorului.

În schimb, abordarea deontologică se axează pe standardele sau valorile la care se comportă acțiunea sau pe motivația din spatele acțiunii, conform valorilor morale fixe la acțiuni. Cele zece porunci sunt un set de reguli bine-cunoscute deontologice, deși întemeiate religios, dar au fost dezvoltate alte coduri deontologice care nu au o bază religioasă, de exemplu cele dezvoltate de filosoful german Immanuel Kant în secolul al XVIII-lea. Abordarea deontologică, bazată pe valori morale fixe, este aproape sigur o metodă comună de a justifica multe judecăți profesionale.

De exemplu, căutarea unui consimțământ al unui pacient este mult mai probabil să fie justificată din cauza principiului etic al respectării autonomiei pe care o exprimă decât dacă acest lucru va duce la un rezultat mai bun pentru pacient. O abordare deontologică este, de asemenea, o bază comună pentru judecățile morale personale făcute de majoritatea medicilor. Atunci când aceste valori personale sunt în conflict cu cererile de tratamente care sunt legale, pot apărea dificultăți, de exemplu, cereri de sterilizare sau avort la un medic care consideră că astfel de proceduri sunt inacceptabile din punct de vedere moral.

Deși abordările consecvențiale și deontologice ale justificării etice sunt cele mai cunoscute proceduri de analiză a problemelor etice medicale, gândirea modernă a produs sau a reînviat o serie de alte cadre, printre care teoria bazată pe virtute, medicina bazată pe valori, etica narativă , etica discursului sau discursului, etica profesională și etica critică. În ciuda acestei proliferări, medicii nu ar trebui să fie împiedicați să se angajeze în dezbaterea și dezbaterea problemelor etice în medicină doar prin lipsa de familiaritate cu limbajul și cadrele folosite de filozofii morali și eticieni.

În practică, se pare că majoritatea doctorilor combină în mod pragmatic elemente ale abordărilor deontologice și utilitare ale deciziilor etice, adesea fără articularea proceselor implicate sau identificarea și explicarea componentei etice a unei decizii. Adesea, atunci când folosesc doar o abordare deontologică consideră că este posibil să producă rezultate nedorite, vor trece la abordarea utilitaristă – oferind o justificare etică pentru judecățile de valoare care rezolvă probleme dificile.

Nu există nimic în mod inerent în neregulă cu această abordare. Cu toate acestea, dacă problemele etice dificile trebuie dezbătute sincer în cadrul comunității sau chiar discutate între pacient și medic, este luminos pentru medic să înțeleagă cum a ajuns la o poziție. În acest fel crește probabilitatea aprecierii valorilor celeilalte părți sau părților.

În ultimii ani, mulți dintre cei responsabili de etica didactică a studenților medicali au adoptat patru principii morale de bază, general acceptate, relevante pentru practica medicală.

Trei dintre aceste patru principii, elaborate în mare parte, dar nu exclusiv, dintr-o filosofie etică deontologică, au fost identificate pentru prima oară în mod sistematic în raportul american Belmont și au fost ulterior extinse la patru și popularizate de James Childress și Thomas Beauchamp, profesori de la Universitatea Georgetown în această țară (de aici referința colocvială la "mantra Georgetown") în principiile lor de etică medicală, publicate pentru prima dată în 1979. Aceste patru principii etice sunt descrise ca autonomie, bunăvoință, non-maleficență și dreptate:

1 Autonomia sau, mai exact, respectarea autonomiei, în acest context poate fi definită ca obligația medicilor de a respecta dreptul indivizilor de a lua decizii în nume propriu. În timp ce majoritatea societăților au recunoscut de mult timp o obligație morală de bază de a respecta autonomia fiecărei persoane, relativ recent, acest principiu etic a evoluat pentru a avea o importanță centrală în relația medic-pacient. Respectul autonomiei este o componentă a respectului pentru demnitatea umană, principiu încorporat în legămintele internaționale.

2 Beneficiul este definit ca datoria de a face tot ce este mai bun pentru pacientul individual sau de a acționa în interesul superior al pacientului. Deși aceasta este o obligație relativ simplă, aplicarea ei este adesea provocată de întrebări cum ar fi cel care decide cel mai bine, problema autonomiei și disponibilitatea resurselor necesare, o chestiune de justiție.

3 Non-malefic este definit ca datoria de a nu face nici un rău. Aceasta, de asemenea, pare a fi o obligație morală relativ simplă și este, probabil, cel mai bine înțeleasă și mai respectată principiul etic în practica clinică. Cu toate acestea, deoarece inventivitatea medicală produce noi tehnici și noi teste diagnostice, încălcările potențiale subtile ale acestei obligații nu sunt ușor identificate de inovatorii entuziaști, așa cum se poate vedea în promovarea prematură a testelor noi pentru diagnosticul "anterior" sau pentru screening-ul populației.

4 Justiția este mai dificil de definit, dar include noțiuni de echitate și distribuție echitabilă. Deși poate fi tentant pentru medicii de a evita această obligație, lăsând-o managerilor, administratorilor și guvernului, acest lucru nu este nici realist, nici de dorit. Din ce în ce mai mult, medicii individuali sunt conștienți de consecințele resurselor pe care le au deciziile lor și au determinat să reflecteze asupra modului în care aceste decizii pot aduce un acces echitabil la asistența medicală. Acest principiu etic evidențiază faptul că medicii au o responsabilitate față de comunitate în general, precum și față de pacienți.

Acești patru "piloni" etici nu stau singuri, ci sunt interpretați și aplicați ca justificări pentru deciziile clinice, folosind sisteme de gândire sau gândire dezvoltate de filosofii morali așa cum au fost subliniate mai sus. Medicii instruiți în metoda științifică, în cazul în care ipoteza este respinsă de observația factuală, sunt adesea incomode cu abordările filosofilor morali, deși subconștient sau în mod necunoscut ei înșiși folosesc aceste abordări la probleme.

O considerație și o lipsă importantă a dependenței exclusive de aceste patru principii constă în faptul că ele pot fi utilizate pentru a justifica rezoluțiile opuse ale aceleiași alegeri etice. Astfel, o decizie în favoarea unui tratament poate fi justificată deoarece respectă principiul autonomiei pacientului, dar poate fi opusă pe motiv că va încălca principiul non-malefic.

Această caracteristică subliniază limitele adoptării unei abordări înguste a surselor justificării etice. Ca răspuns la acest neajuns și recunoscând că cele patru principii menționate mai sus tind să limiteze mai degrabă decât să sporească dezbaterea etică, unii observatori s-au transformat sau s-au întors în cadrul alternativ al eticii virtuții, o abordare care evaluează natura comportamentului profesional că exprimă calități sau virtuți dezirabile.

2.3. Competente specific locului de munca (ocupationale) – (activitate medicala)

Una dintre trăsăturile distinctive de lungă durată ale unei profesii învățate se spune că este o capacitate de autoreglementare. În timpurile anterioare, aceasta a fost înțeleasă ca autoreglementare personală (auto-reflecție). Societatea a acceptat această abordare de către profesia medicală până la mijlocul secolului al XIX-lea, când procesul de înregistrare și disciplinare a consiliilor medicale a fost inițial stabilit (a se vedea capitolul 8). Treptat, conceptul de autoreglementare a ajuns să fie înțeles ca reglementarea profesiei de către consiliile medicale care constau numai în practicieni.

Noțiunea anterioară a unei trăsături esențiale de a fi un sens profesional care să-și asume responsabilitatea personală pentru menținerea standardelor și competențelor profesionale a încetat de la vedere. Acest lucru este nefericit deoarece capacitatea de auto-reflecție rămâne un element central al profesionalismului. Ea cuprinde lucruri precum actualizarea cunoștințelor și a competențelor, conștientizarea naturii interacțiunilor cu pacienții și colegii, capacitatea de autocritică și asumarea responsabilității pentru propria sănătate. A fi doctor este mai întâi o vocație și, în al doilea rând, o profesie. Pentru cei care susțin această perspectivă, reglementarea impusă extern și codurile de conduită ar trebui să reprezinte mai degrabă o afirmare a acestui profesionalism decât o povară.

Pe lângă această calitate primară a capacității de auto-reflecție, există calități suplimentare care au fost propuse ca făcând medicul bun sau "etic". Calitățile sau virtuțile care au fost propuse includ:

f încredere

r compasiune

r înțelepciune practică

r curaj

r integritatea

r auto-stergere.

Din punctul nostru de vedere, există un număr mai limitat de calități care, dacă ar fi posibile și / sau practicate, ar asigura siguranța pacienților în încrederea lor în medicul lor. Acestea includ veridicitatea (adevărul), menținerea confidențialității și confidențialității și fidelitatea.

Veracitatea (veridicitatea)

Recunoașterea profesiei de a se îndepărta de paternalism și de a respecta autonomia ar trebui să clarifice pentru medici faptul că au o obligație de a fi veridici și că pacienții așteaptă medicii să le spună adevărul.

Ar fi neobișnuit ca un medic "etic" să mintă în mod deliberat pacienților, dar unii medici întâmpină dificultăți în a determina diferența dintre obfuscare și furnizarea de informații compasiune. Această dificultate poate fi complicată în multe părți ale Australiei, unde medicii se ocupă de pacienți și de familiile pacienților din multe alte culturi. Argumentele împotriva virtuții veridicității includ sugestiile potrivit cărora "amăgirea benevolă" este justificată uneori pentru a reduce anxietatea pacientului, încât nici pacienții, nici medicii nu pot cunoaște vreodată "întregul adevăr" și că unii pacienți nu doresc adevărul. Deși s-au considerat sincer că exemplele clinice pot fi adunate pentru a susține aceste argumente, ele nu sunt acceptabile pentru comunitate și este puțin probabil să fie acceptate de către medic dacă medicul a devenit pacient. Existența acestor argumente evidențiază pur și simplu faptul că practica medicală efectivă trebuie să combine veridicitatea cu compasiunea, răbdarea, discernământul și abilitățile bune de comunicare.

Adevărul, veridicitatea și sinceritatea pot prezenta provocări pentru medici, inclusiv cum să explice pacienților că ceva a "rănit" cu o operație sau o procedură efectuată de acel doctor sau altul sau dacă medicul ar trebui să notifice consiliul medical despre un coleg a căror capacitate de a practica poate fi afectată. În multe astfel de situații, aceste provocări sunt dileme etice care apar deoarece nu poate exista un răspuns optim sau bun la o problemă. Astfel de provocări sunt inerente naturii eticii și în special etică profesională. Rezoluția lor necesită o cunoaștere solidă a justificărilor etice compte și înțelepciunea de a decide între ele. Etica a fost criticată pentru că nu oferă soluția în astfel de situații, însă aceasta își înțelege greșit rolul. Etica clarifică alegerile și justificările alternative: nu poate și nu trebuie să înlăture judecata profesională individuală necesară.

Confidențialitate

Conceptul etic al menținerii confidențialității informațiilor despre pacienți a fost probabil bazat pe necesitatea de a câștiga încrederea pacienților, să fie dispuși să dezvăluie toate informațiile personale relevante, astfel încât, la rândul său, să poată fi făcute judecăți exacte și benefice cu privire la diagnosticare și tratament.

Din punct de vedere etic, aceasta ar fi putut fi descrisă ca îndeplinind principiul beneficiului – asigurându-se că deciziile sunt în interesul superior al pacientului. În prezent, se bazează și pe principiul respectării autonomiei (astfel încât pacientul să nu renunțe la dreptul la confidențialitate și confidențialitate prin consultarea unui medic și își păstrează dreptul de a controla dezvăluirea informațiilor personale). Chiar dacă nu se ceară o bază în principiul etic, confidențialitatea va rămâne pivotă, din rațiunea practică a nevoii de încredere în sprijinirea unei relații doctor-pacient satisfăcătoare.

Există conflicte juridice și etice cu menținerea confidențialității pacientului, de exemplu atunci când un medic deține informații confidențiale care, dacă sunt eliberate, ar putea împiedica rănirea sau rănirea celorlalți. În practica medicală de rutină există încălcări ale acestei obligații; evitarea lor este importantă pentru menținerea încrederii pe care o dă datoria. În practica zilnică, este esențial să fiți conștienți de faptul că schimbul de informații în spitale cu alți angajați sau studenți încalcă confidențialitatea dacă nu este necesar pentru tratamentul sau îngrijirea pacientului.

În mod normal, consimțământul implicit poate fi asigurat în siguranță în cazul în care este necesar pentru îngrijirea respectivă. Confidențialitatea poate fi, de asemenea, încălcată fără grijă, sistematic sau deliberat. Din nefericire, mulți doctori încalcă confidențialitatea în discuțiile publice cu colegii sau la conferințele clinice. Din punct de vedere sistematic, procedurile instituționale pot încălca confidențialitatea, de exemplu prin faptul că nu păstrează înregistrările securizate sau prin vizibilitatea directă a listelor de operare și de admitere. În cele din urmă, unii doctori încalcă în mod deliberat confidențialitatea, încercând să învețe mai multe despre boala colegilor sau a unor figuri publice care nu sunt în grija lor.

Fidelitate / credibilitate / integritate

Nu este posibil să se respecte principiile etice de bază ale autonomiei, beneficiului și non-maleficului, fără a se demonstra fidelitatea (fiabilitatea), încrederea sau integritatea și fiabilitatea. Aceste calități explică de ce medicii nu își pot permite pacienții fără să facă sau să permită timp pentru alte aranjamente; de ce medicii nu trebuie să utilizeze niciodată relația medic-pacient pentru scopuri sexuale sau necorespunzătoare; de ce trebuie să-și părăsească familia sau prietenii atunci când sunt apelați sau chemați la urgență; și de ce profesia a susținut mult timp că "interesele pacientului trebuie să vină mereu pe primul loc".

Există conflicte de interes care încearcă foarte mult virtutea fidelității. În zona gri a conflictului dintre interesul propriu și interesul pacienților, aceste conflicte nu sunt adesea recunoscute sau adesea admise în mod deschis, de exemplu în cazul în care servicii medicale suplimentare vor crește venitul medicului, în cazul în care încheierea unui studiu clinic este în concurență cu dorința pacientului de a se retrage sau în cazul în care participarea la un pacient este amânată până dimineața următoare.

Conflictele de interese legate de anumite aspecte ale practicii medicale, inclusiv desfășurarea cercetărilor clinice și interacțiunile cu industria farmaceutică și a dispozitivelor medicale, sunt analizate mai detaliat.

În timp ce sunt mai puțin pivotale pentru completarea satisfăcătoare a oricărei interacțiuni medic-pacient, există alte două caracteristici care credem că ajută majoritatea doctorilor să dezvolte și să mențină relații eficiente cu pacienții lor și să asiste, de asemenea, la găsirea de mijloace acceptabile pentru toate părțile pentru a evita posibilele încălcări de responsabilități etice. Acestea sunt compasiune și discernământ.

Compasiunea în contextul practicii medicale cuprinde empatia, perceptivitatea și sensibilitatea față de nevoile pacientului, bunătatea și umanitatea. Este o calitate care ajută la separarea acordării asistenței medicale de la simpla aplicare a tehnologiei. Conversia compasiunii include nepăsarea, rudeness, brute și insensibilitate. Deși aceste caracteristici negative sunt uneori scutite pe baza eficienței și eficacității, acest lucru nu diminuează impactul lor negativ probabil asupra relației pacient-medic.

Discernământul sau judecata pot fi definite în două moduri. Majoritatea studenților din domeniul medical studiază termenul "judecată clinică" în stabilirea stabilirii unui diagnostic dintr-o listă de posibilități, prin cântărirea dovezilor clinice sau prin alegerea opțiunilor de tratament.

Totuși, discernământul în practica medicală bună ia acest aspect considerabil și implică (prin intuiție, înțelegere, bună comunicare, experiență sau alte motive) că medicul este capabil să discearnă nevoia reală a pacientului, preocupările ascunse ale familiei , chiar adevăratul motiv pentru pacientul prezent într-o anumită zi. O altă modalitate de exprimare a discernământului este aceea de a separa cunoașterea de înțelepciune; cunoștințele derivate din informații îi spun medicului ce se poate face în timp ce înțelepciunea derivată din experiență informează ce trebuie făcut. Discernământul este o calitate mai ușor dezvoltată de unii medici decât alții și nu va fi niciodată dezvoltată dacă nu se depun eforturi.

Capitolul de față a prezentat modul în care competențele profesionale ale personalului medical contribuie la siguranța pacienților.

Capitolul 3. Riscurile securității la nivelul organizației și legaăura cu compețentele profesionale

3.1. Crearea unui model al competent în domeniul securității la nivelul organizației (activitate medicală)

În cadrul capitolului de față vom prezenta legătura dintre nivelul competențelor, diminuarea riscurilor și asigurarea securității în cadrul organizațiilor. În prezent securitatea organizațiilor, grație dispozitivelor informatice este un subiect relevant extrem de analizat la nivel mondial. Siguranța cibernetică, cu precădere este o temă nouă în domeniul medical și puțin analizată în literatura de specialitate din România.

Potrivit lui Beardwell & Holden, competența este capacitatea de a efectua activitățile într-o zonă ocupațională la nivelurile de performanță așteptate în ocuparea forței de muncă. Organizațiile care încurajează angajații spre cel mai înalt nivel de îngrijire – de ce nivelul de creativitate auto-motivată este cel mai competitiv. În ciuda naturii umane, competența ar trebui să fie prelucrată ca materie primă, deoarece ea trebuie să se regenereze constant.

Bourne și colab. (2002, 13) au împărțit competențele în categorii separate (competență de bază, competență distinctivă, competențe organizaționale, competențe de susținere și capacități dinamice), dar chestiunea esențială este să știm cum să îngrijească, să gestioneze, să dezvolte și să obțină valoare de la organizații resurse și competențe importante și importante.

Strategiile și obiectivele operaționale ale organizațiilor reprezintă fundamentul competențelor, iar dezvoltarea acestora ar trebui să se bazeze pe cerințele viitoare. În ceea ce privește importanța strategică a competențelor, Klein sfătuiește organizațiile să se concentreze pe ce fel de bunuri de cunoștințe și competențe merită să fie dezvoltate și cum derivă valoarea acestora.

Există o competență individuală, de echipă și organizatorică. Competențele individuale constau în cunoștințe, aptitudini, abilități și motivații pe care angajații le aplică la locul de muncă care beneficiază organizația. În schimb, cunoștințele colective constau în competențe din cadrul unui grup, al unei echipe, al unității sau al întregii organizații și al interacțiunii interne a grupului care creează valoare adăugată. Domeniile de competență (de exemplu, competențe de afaceri, competențe organizaționale și sociale) sunt de obicei aceleași pentru toate grupurile de angajați și sunt împărțite în competențe separate.

Gestionarea competențelor presupune definirea competențelor de bază ale organizațiilor, adică competențe pe care niciodată nu le compromite și care doresc să le păstreze și să investească. Competențele de bază sunt cunoștințele și abilitățile care sunt greu de imitat și, ca avantaj strategic, fac organizația competitivă în afaceri. Competențele de bază sunt un factor crucial în furnizarea de valoare adăugată clienților.

De obicei, conducerea și specialiștii care afectează esențial performanța organizațiilor sunt angajații cheie. Aceștia sunt acei angajați a căror dezvoltare de competențe necesită o atenție deosebită, deoarece acțiunile lor au consecințe semnificative în cadrul organizației.

Proces și responsabilități

Există trei etape în procesul de dezvoltare a competențelor: identificarea și planificarea, evaluarea și compararea cu nevoile viitoare și dezvoltarea continuă. Klein (1998, 123) a introdus un model de învățare organizațională în trei etape:

1. achiziție: dezvoltarea de cunoștințe, aptitudini, perspective și relații

2. diseminarea: împărtășirea a ceea ce sa învățat

3. asimilarea: integrarea învățării astfel încât este disponibilă și generalizată

Hätönen afirmă că atunci când vine vorba de dezvoltarea competențelor, ponderea ar trebui pusă pe consolidarea competențelor, dezvoltarea climatului de învățare și eliminarea obstacolelor din învățare. Mai presus de toate, competitivitatea organizațiilor depinde de competențele angajaților, de modul în care acestea sunt utilizate și de cât de repede pot învăța lucruri noi. Potrivit lui Kujansivu et al. misiunea de dezvoltare a competențelor este dezvoltarea și menținerea competențelor, organizarea misiunilor de lucru și gestionarea riscurilor de competență.

Cybersecurity a fost un subiect fierbinte, atât în ​​cadrul guvernului, cât și al celui privat, timp de mai mulți ani. Cu toate acestea, problema a fost recent recunoscută. Multe organizații, de la companii de presă private la Departamentul Apărării din S.U.A., au dezvăluit recent intruziuni în securitatea cibernetică. Directorii executivi din sectorul privat (CEO) și consilierii generali au identificat în mod consecvent amenințările împotriva securității informatice.

În februarie 2013, Președintele Obama a emis un Ordin Executiv privind îmbunătățirea infrastructurii critice Cybersecurity cu scopul de a îmbunătăți securitatea informatică și de a reduce amenințările cibernetice către "sectoarele de infrastructură critică" ale națiunii, inclusiv sectorul sănătății și sănătății publice.

În ciuda atenției pe care a primit-o cybersecurity, nu toată lumea știe ce înseamnă securitatea cibernetică sau ce înseamnă cu adevărat pentru întreprinderile americane, în special pentru cei din sectoarele de infrastructură critică la care se referă ordinul executiv al președintelui.

Spitalele și organizațiile de îngrijire a sănătății intră în sectorul sănătății și al infrastructurii critice din domeniul sănătății publice, în conformitate cu legislația și politica federală; ordinul executiv utilizează aceleași clasificări critice de infrastructură atunci când identifică impactul potențial asupra economiei SUA prin amenințări la adresa securității informatice. Cu alte cuvinte, ordinea executivă și alte politici guvernamentale identifică în mod colectiv sistemele și activele spitalelor ca fiind atât de importante pentru S.U.A. că deprecierea acestora ar amenința grav sănătatea și siguranța publică.

Ca urmare, spitalele trebuie să aibă o conștientizare a riscurilor de securitate cibernetică, precum și o înțelegere clară a responsabilităților privind securitatea informatică (și modul în care acestea ar putea intersecta cu alte cerințe legale și reglementare). Acest articol oferă o imagine de ansamblu asupra securității informatice și adresează patru întrebări pe care liderii spitalului ar trebui să le ia în considerare atunci când se gândesc la securitatea informatică și la modul în care aceasta afectează organizarea lor:

(1) De ce ar trebui spitale și lideri de spital să aibă grijă de securitatea informatică?

(2) Ce ar trebui să facă spitalele ca răspuns la Ordinul Executiv din 2013 privind Cybersecurity?

(3) Cum pot spitalele să își protejeze cel mai bine activele și să gestioneze riscurile de securitate cibernetică?

(4) Care sunt rolurile conducerii spitalului și cum poate conducerea să rămână informată despre amenințările împotriva securității informatice la spital?

Cyber-vulnerabilitățile și intruziunile prezintă riscuri pentru fiecare spital și reputația acestuia.

Utilizarea extinsă a tehnologiei în rețea, a dispozitivelor medicale cu acces la Internet și a bazelor de date electronice în spații administrative, financiare și clinice nu numai că aduce beneficii importante pentru furnizarea de servicii de îngrijire și eficiența organizațională, ci și sporește expunerea la posibile amenințări la adresa securității informatice.

Multe dispozitive medicale și alte active spitalicesc accesează acum Internetul – atât în ​​mod criptat, cât și necriptat. Sistemele de facturare utilizează transferurile electronice, dispozitivele medicale încarcă statistici vitale în timp real către înregistrările medicale electronice, spitalele permit pacienților și vizitatorilor accesul la spitalul WiFi ca o curtoazie, pacienților li se oferă acces la informații de sănătate protejate (PHI) prin autentificare pe Internet – toate acestea sunt aspecte importante și vitale ale unui ecosistem modern al spitalelor. În plus, sistemele de e-mail sunt supuse amenințărilor comune, cum ar fi phishingul cu sulițe.

Numărul atacurilor cibernetice asupra activelor americane a crescut, în special în sectoarele de infrastructură critică, cum ar fi tehnologia informației și comunicațiile. Deși nu este discutată în mod proeminent în mass-media, atacurile împotriva sectorului sănătății și sănătății publice sunt, de asemenea, în creștere. Există mai multe tipuri și cauze de amenințări împotriva ciberneticii, ale căror nume și descrieri pot fi găsite.

În mod ideal, planul ar trebui să se bazeze, cel puțin parțial, pe cadrul elaborat de Institutul Național de Standarde și Tehnologii (NIST). Ordinul executiv instruiește directorul Institutului Național de Standarde și Tehnologie (NIST) al Departamentului de Comerț să finalizeze până la data de 12 februarie 2014 un "Cadru Cybersecurity" pentru a ajuta proprietarii și operatorii de infrastructură critică să identifice, să evalueze și gestionați riscul amenințărilor cibernetice.

Cadrul va include standarde și considerații generale pentru toate entitățile care stabilesc planuri de securitate cibernetică. În consecință, standardele și considerentele din cadru vor trebui să fie adaptate la cerințele specifice spitalelor, cum ar fi încorporarea răspunderii pentru dispozitivele medicale. NIST a desfășurat o viziune publică asupra unui proiect de cadru privind securitatea informatică, care include primării și sesiunile de lucru.

Când va fi finalizat la începutul anului viitor, cadrul Cyber-Curry va fi voluntar pentru organizațiile critice din sectorul infrastructurii, cum ar fi spitalele; pentru departamentele federale și agențiile, în schimb, va fi necesar. Este important faptul că, deși cadrul este desemnat ca "voluntar" pentru proprietarii din sectorul privat și pentru operatorii de infrastructură critică, spitalele ar trebui să anticipeze că acest cadru va fi probabil considerat o bază de facto pentru o conformare generală în domeniul securității informatice. Prin urmare, neconformitatea semnificativă cu cadrul poate crește riscul de litigiu și riscul de executare.

Ordinea executivă direcționează, de asemenea, crearea un program "Cybersecurity Infrastructure Critical Voluntary Critical Infrastructure", care va oferi stimulente organizațiilor din sectorul privat de a adopta cadrul. Proprietarii șiIbidem. operatorii de infrastructură critică, cum ar fi spitalele care participă la Programul Cybersecurity pentru infrastructura critică voluntară, va fi responsabil pentru identificarea, evaluarea și gestionarea riscurilor cibernetice în conformitate cu standardele stabilite în Cadrul pentru securitatea informatică în curs de dezvoltare.

Deoarece cadrul va oferi participanților standarde flexibile de bază pentru abordarea riscurilor cibernetice, mai degrabă decât o listă cuprinzătoare de cerințe, spitalele care participă la program vor trebui să determine modul în care pot fi implementate cele mai bune standarde prin intermediul unor reguli interne concrete și protocoale adaptate organizarea lor specifică.

Cybersecurity nu este un standard absolut, imobiliar – este o evoluție care se schimbă odată cu cele mai noi amenințări și vulnerabilități.

Planul de securitate al spitalelor trebuie, prin urmare, să fie la fel de flexibil și rezistent față de amenințările la adresa securității cibernetice. A fost creată intercondiționalitatea bunurilor și serviciilor spitalicești și infrastructura de securitate a informațiilor o rețea în continuă evoluție, cu amenințări și vulnerabilități mereu în schimbare de descoperi, evalua și gestiona. Un spital rezistent și rezistent se va pregăti pentru aceste riscuri, așa cum se întâmplă și cu alte riscuri cu care se confruntă – cu planificarea, testarea și răspunsul.

O cheie pentru gestionarea riscurilor de securitate cibernetică este de a face securitatea informatică o parte a cadrului general al guvernării, al gestionării riscurilor și al continuității afacerilor. De exemplu, un spital poate dori să integreze planul de investigație privind securitatea informatică și răspunsul la incidente în planul global de operații de urgență și să se asigure că personalul este informat despre informatica de securitate și rolul său în atenuarea riscurilor. Având în vedere existența unor standarde statutare și industriale deja existente, securitatea informatică nu ar trebui privită ca o problemă nouă, ci ca un pericol suplimentar care ar trebui luat în considerare în analiza vulnerabilității riscurilor incluzive.

Oricare ar fi cauza a intruziunii, a impactului reputațional, structural și potențial asupra unui spital poate fi același. Intruziunile industriale de spionaj împotriva spitalelor, de exemplu, au condus la furtul de informații despre inovațiile în tehnologia medicală, inclusiv documentația sistemului, rapoartele beta și rapoarte de testare, precum și notele de cercetare. Alți infractori cibernetici, fie că fac parte din crimă, organizații independente sau care acționează în mod independent, au încercat să pătrundă spitale și companii de îngrijire a sănătății pentru a fura datele angajaților și informațiile personale de identificare și PHI-ul pacienților pentru a vinde pe piețele negre online. Există chiar amenințarea terorismului cibernetic împotriva unui spital, care ar putea include încercări de a dezactiva dispozitivele medicale și alte sisteme necesare pentru furnizarea serviciilor de sănătate.

Administrația FDA a recunoscut recent această vulnerabilitate a dispozitivului medical atunci când a emis o avertizare și un proiect de orientare recunoscând faptul că producătorii de dispozitive medicale și instituțiile de îngrijire a sănătății iau măsuri pentru a proteja împotriva intruziunilor de securitate cibernetică care ar putea compromite performanța dispozitivului și siguranța pacientului .4 Aceasta ar putea lua forma unui atac direct sau ar putea fi folosită pentru a multiplica impactul mai multor tipuri de terorism convențional care au ca rezultat pierderi în masă.

Membrii sectorului Sănătate și Sănătate Publică într-o oarecare măsură au deja o perspectivă unică asupra securității datelor din cauza cerințelor de securitate ale Legii privind Asigurările de Asigurări de Sănătate (HIPAA) și a Legii privind sănătatea economică și clinică (HITECH). Aceste legi nu numai că cer spitale și alte organizații de îngrijire a sănătății să păstreze siguranța pacientului, ci și să includă cerințele de notificare a încălcării datelor, care să indice Departamentul de Sănătate și Servicii Umane (HHS).

Dar securitatea informatică cuprinde mult mai mult decât ceea ce este impus de aceste legi. În mod special, intruziunile în curriculum-uri nu se limitează la încălcările de date care implică PHI. Mai degrabă, după cum sa menționat mai sus, intenția intruziunii poate fi să caute informații despre inovații sau tehnologii medicale sau să încerce să dăuneze pacienților prin dezactivarea sau modificarea dispozitivelor medicale de la distanță. Într-adevăr, anumiți "hacktivisti" pot încerca să perturbe rețeaua sau sistemele spitalului numai din motive personale sau politice. Ca urmare, investigația spitalului privind securitatea informatică și planul de reacție la incidente, discutate mai detaliat în cele ce urmează, ar trebui dezvoltate pe larg pentru a proteja toate activele și dispozitivele spitalului.

În plus față de HIPAA și HITECH, spitalele trebuie, de asemenea, să țină cont de recomandări și îndrumări suplimentare. De exemplu, Centrele pentru Medicare & Medicaid Services (CMS) a oferit o serie de politici de securitate a informațiilor pentru spitale5 și se așteaptă să actualizeze aceste politici pentru a include în mod expres recomandări privind securitatea informatică. În plus, spitalele tranzacționate public ar trebui să țină cont de orientările Comisiei Securities and Exchange (SEC) din octombrie 2011, care recomandă societăților comerciale tranzacționate public să prezinte publicului vulnerabilități și intruziuni în domeniul securității cibernetice.

Înainte de lansarea acestei orientări de către SEC, chiar și companiile fără cerințe de raportare HITECH ar dezvălui adesea o încălcare a datelor după ce au avut loc; dar companiile au fost mai puțin consistente în ceea ce privește raportarea vulnerabilității în ciberneitatea în lipsă a unei încălcări a datelor sau a unei intruziuni. SEC revizuiește dacă îndrumarea din 2011 este suficientă.

De notat în special, în cei doi ani și jumătate de după orientarea inițială a SEC, personalul agenției a contactat mai multe companii care nu au dezvăluit în mod adecvat (în opinia personalului) vulnerabilitățile sau intruziunile în trafic. În lumina acestui fapt și a interesului sporit față de securitatea informatică, spitalele tranzacționate public ar trebui să ia în considerare posibilitatea de a face orice dezvăluiri în dosarele SEC referitoare la vulnerabilități și încălcări ale securității cibernetice, în plus față de notificarea HHS, după caz, atunci când există date incalcarea care implica PHI.

Pe scurt, fiecare spital ar trebui să aibă grijă de securitatea cibernetică. Pe măsură ce spitalele beneficiază de tehnologii în rețea și o conectivitate mai mare, trebuie să se asigure că acestea evaluează și gestionează noi riscuri. Efectuarea de măsuri pentru îmbunătățirea securității fiecărui dispozitiv și a ecosistemului, cum ar fi documentarea modului în care dispozitivele interacționează unul cu celălalt și creșterea capacității de audit a infrastructurii spitalicești, poate atenua amenințarea la adresa infrastructurii generale a spitalelor și poate reduce riscurile de securitate cibernetică.

Primul deceniu al secolului XXI a provocat schimbări semnificative în peisajul dispozitivelor medicale. Conectivitatea din ce în ce mai mare a dispozitivelor medicale controlate de software a creat o mare îngrijorare cu privire la vulnerabilitățile legate de cibernetică, care s-au intensificat doar cu recentul atac de răscumpărare asupra serviciului național de sănătate (NHS) al Regatului Unit. Preocupările privind securitatea informatică sunt predominante în ceea ce privește dispozitivele medicale implantabile (IMD), în care riscurile asociate cu siguranța în cazul în care un atac cibernetic are succes sunt extrem de ridicate.

Gama de atacuri cibernetice pe care companiile de dispozitive medicale și organizațiile de asistență medicală încearcă să le apere, include; software-ul rău intenționat introdus în dispozitiv sau în sistem, funcționarea dispozitivului a fost întreruptă prin blocarea fluxului de operare, informațiilor false trimise operatorilor de a iniția acțiuni necorespunzătoare din partea personalului medical și modificări neautorizate făcute software-ului încorporat sau comenzilor neautorizate emise pentru dispozitive. În plus, economiile legate de securitatea informatică a dispozitivelor medicale implică în mod normal un sistem complex de plăți între părțile interesate multiple – inclusiv producătorii, furnizorii și pacienții.

Administrația americană pentru alimente și medicamente (FDA) a lansat, în octombrie 2014, îndrumări pentru gestionarea securității informatice în dispozitivele medicale. Acesta recomandă producătorilor să "considere riscurile de securitate cibernetică ca parte a proiectării și dezvoltării unui dispozitiv medical și să prezinte documentația despre riscurile identificate si controalele in vigoare pentru a atenua aceste riscuri. Astfel FDA indica faptul ca producatorii iau in considerare posibilitatea pe tot parcursul ciclului de viata al unui produs, prin urmare, reorientarea dezvoltarii dispozitivelor medicale pentru a include securitatea, in plus fata de siguranta, ca element cheie. În mod specific, orientările recomandă următoarele:

Identificarea bunurilor, a amenințărilor și a vulnerabilităților;

Evaluarea impactului amenințărilor și vulnerabilităților asupra funcționalității dispozitivului și a utilizatorilor / pacienților finali;

Evaluarea probabilității de exploatare a unei amenințări și a unei vulnerabilități;

Determinarea nivelurilor de risc și a strategiilor adecvate de atenuare; și

Evaluarea criteriilor de risc rezidual și de acceptare a riscurilor.

Ghidul identifică, de asemenea, "principalele funcții" ale activităților de securitate cibernetică de la cadrul Institutului Național de Standarde și Tehnologie (NIST) privind securitatea informatică. Un studiu de adoptare a cadrului de securitate din 2016 al SUA a arătat că 70% dintre organizațiile intervievate văd NIST Cybersecurity Framework drept cea mai bună practică pentru securitatea calculatoarelor.

Ciclul de viață pentru dezvoltarea dispozitivelor medicale

Există un număr de cicluri diferite de dezvoltare a produsului utilizate pentru a proiecta și dezvolta dispozitive medicale cu dezvoltare care conțin, de obicei, următorii pași; specificarea, proiectarea, dezvoltarea, fabricarea testelor și ulterior aprobării de reglementare, lansarea produsului și monitorizarea post-piață. Figura 1 prezintă părți din calea de dezvoltare a produsului FDA, în special pentru dispozitivele medicale, în care fazele "invenție + prototip", "preclinice" și "post-monitorizare a pieței" cuprind majoritatea activităților recunoscute de dezvoltare a produselor.

Dispozitivele medicale s-au schimbat de la echipamentele care nu au fost conectate la rețea și izolate, la dispozitivele cu monitorizare unică a furnizorilor, la echipamente complet conectate, cu comunicații bidirecționale, acces la distanță, conectivitate wireless și software. Într-adevăr, a avut loc tranziția la software ca dispozitiv medical.

Atât definițiile UE, cât și cele ale FDA ale dispozitivelor exclud dispozitivele și aplicațiile de fitness, stilul de viață și bunăstarea. Acestea pot fi considerate ca produse mHealth: sănătate mobilă, utilizând platforme mobile conectate, cum ar fi telefoanele mobile și tablete pentru a rula aplicații de sănătate. mHealth este considerat un sub-segment al e-sănătății (sănătate electronică), utilizând tehnologia informației (TIC). Regulamentele nu au ținut pasul cu evoluțiile rapide.

Este posibil ca producătorii de dispozitive medicale să aplice o varietate de cicluri de viață pentru dezvoltarea securității. De exemplu, British Standards Institution (BSI) recomandă producătorilor să ia în considerare bunele practici prezentate în standardele de securitate elaborate pentru automatizarea industrială și securitatea sistemelor de control; IEC 62443-4-1: Cerințe de dezvoltare a produsului și IEC 62443-4-2: Cerințe de securitate tehnică. Standardele de siguranță de bază pentru siguranța funcțională, utilizate în alte domenii, abordează acum securitatea cibernetică pe parcursul ciclurilor de viață ale sistemului și recomandă abordări pentru securitatea produselor, sistemelor și rețelelor. Ele se referă, de asemenea, la IEC 62443.

Majoritatea cercetărilor în materie de securitate și confidențialitate s-au axat pe amenințările la adresa interfeței telemetrice, deși experții în securitate au început să susțină că o abordare mai holistică pentru asigurarea dispozitivelor medicale din ce în ce mai complexe și conectate va fi luată.

În ciuda provocărilor, importanța evaluării continue a securității pe tot parcursul ciclului de viață al dispozitivului medical este acum acceptată. Evaluarea cuprinzătoare a amenințărilor, efectuată după etapa cerințelor, este cea mai importantă activitate importantă.

Utilizarea instrumentelor de analiză statică, ca parte a ciclului de viață al software-ului, este foarte recomandată de standardele de securitate ale software-ului deoarece acestea aplică standarde stricte de codificare, cum ar fi MISRA-C, pentru a preveni defectele, . Analiza statică oferă, de asemenea, o documentație automatizată pentru a sprijini testarea, codarea standardelor și a dovezilor de calitate / robustețe.

Managementul riscului cibernetic

Ghidul FDA pentru postmarketing recomandă producătorilor să implementeze un proces de evaluare a riscului de securitate cibernetică pentru performanța clinică a dispozitivului, luând în considerare:

– exploatabilitatea vulnerabilității informatice; și

– severitatea impactului asupra sănătății la pacienți dacă vulnerabilitatea ar trebui exploatată. FDA recomandă ca un instrument de evaluare a vulnerabilității la cybersecurity, cum ar fi ca sistem comun de evaluare a vulnerabilității, să fie utilizat pentru a evalua gradul de vulnerabilitate al exploatabilității. Cu toate acestea, estimarea probabilității unui atac cibernetic este problematică, având în vedere absența datelor privind probabilitatea apariției unui rău.

Această dificultate se aplică și în cazul eșecului software-ului și al altor situații, cum ar fi sabotarea sau manipularea unui dispozitiv medical. Abordarea recomandată în EN ISO 14971 este de a folosi fie rezultatul cel mai grav posibil, fie de a stabili o valoare implicită pentru probabilitatea ca una, indicând faptul că scenariile cele mai nefavorabile conduc la nivelul de protecție cibernetică a dispozitivului. Pentru evaluarea impactului severității asupra sănătății, FDA sugerează abordarea bazată pe nivelurile de gravitate calitativă descrise în EN ISO 14971.

Prioritățile privind securitatea telefonică diferă în funcție de modul în care este instalat dispozitivul medical. Confidențialitatea este o prioritate pentru sistemele spitalicești, care împiedică încălcarea datelor sau răscumpărarea datelor (care afectează disponibilitatea sistemelor dacă sunt făcute inutilizabile prin criptare, cum ar fi atacul NHS).

Protecția pacientului este o prioritate în cazul în care sunt expuse la dispozitivele medicale (inclusiv dispozitivele implantabile) ca parte a îngrijirii lor. În, autorii au discutat despre măsurile specifice de diminuare a securității cibernetice aplicate IMD-urilor, cum ar fi strategiile de autentificare și impactul lor posibil asupra siguranței pacientului și nevoia proiectanților de a lua acest lucru în considerare. Asociația pentru Promovarea Instrumentelor Medicale (AAMI) apreciază că securitatea dispozitivelor medicale poate deveni o problemă de siguranță a pacientului, cum ar fi autentificarea IMD și ar trebui tratată ca atare în cadrul activităților legate de managementul riscului în cadrul ciclului de viață al dezvoltării produsului. AAMI indică faptul că controalele sau contramăsurile utilizate pentru atenuarea securității sunt evaluate în funcție de impactul acestora asupra funcționalității de siguranță, pentru a nu introduce noi riscuri.

O mare parte din orientările privind securitatea informatică a dispozitivelor medicale este recentă și va evolua și se va dezvolta pe măsură ce (a) natura atacurilor cibernetice va evolua și (b) vor deveni cunoscute proprietățile emergente, adică "vulnerabilitățile", ale dispozitivelor medicale existente și noi. În prezent, este recunoscută între diferiți actori interesați că stabilirea securității informatice trebuie să fie un efort de colaborare pe tot parcursul ciclului de viață al produsului.

Anterior, gestionarea riscului dispozitivelor medicale sa axat pe siguranța funcțională, riscurile legate de siguranță (excluzând securitatea informatică) sau protecția datelor. Abordările multiple abordează acum în mod activ riscurile ciclului de viață și potențialele daune produse de incidentele de securitate cibernetică.

Muncă este în desfășurare în Europa pentru a stabili un cadru legal adecvat. În același timp, foaia de parcurs a Direcției Naționale de Informare din Regatul Unit Work Stream dezvoltă un cadru de evaluare pentru aplicațiile digitale. Agenția britanică pentru medicamente și produse de îngrijire a sănătății furnizează o diagramă globală de orientare privind determinarea dispozitivelor în software-ul autonom al dispozitivului medical, inclusiv documentul aplicațiilor.

Aproape jumătate (patru din nouă) dintre MDSL sunt de acord că organizațiile lor au o strategie care conduce politicile și procedurile de gestionare a riscurilor specifice securității dispozitivelor medicale. Participarea la inițiativele din industrie pentru definirea standardelor de securitate este considerată importantă, aproximativ jumătate din MDSL indicând implicarea activă (fie personală sau organizațională) a inițiativelor și consorțiilor, cum ar fi Consorțiul pentru Dispozitivele Medicale de Inovare pentru Securitate și Securitate (MDISS) sau Asociația pentru Progres de Instrumente Medicale (AAMI).

Riscul

Mulți intervievați (șase din nouă) sunt de acord sau sunt total de acord că au un cadru actual pentru a oferi orientări privind obiectivele de gestionare a riscurilor pentru dispozitivele medicale ale organizației. Într-o organizație de îngrijire a sănătății, politicile și procedurile în vigoare nu fac diferența între sistemele medicale și cele non-medicale. Această organizație ia măsuri pentru a elabora metodologii suplimentare de evaluare a riscurilor specifice dispozitivelor medicale. Puțini intervievați au menționat anumite cadre de risc specifice, dar cei care au citat ISO / IEC 80001 "Aplicarea managementului riscurilor pentru rețelele IT care încorporează dispozitive medicale".

O parte a cadrului de risc ISO / IEC 80001 include definirea unor roluri bine definite și detaliate pentru identificarea și gestionarea siguranței pacienților și a riscurilor de reglementare pentru dispozitivele medicale. O organizație a indicat că utilizează o structură de guvernanță care atribuie în mod clar responsabilități, politici și procese de gestionare a riscurilor; acest lucru informează un acord principal care se utilizează pentru externalizarea suportului, gestionării, accesului și achiziției dispozitivelor medicale.

Riscurile potențiale asociate dispozitivelor medicale în rețea

Interferența electromagnetică

Software-ul și firmware-ul netestat sau defect

Furtul sau pierderea dispozitivelor medicale în rețea (externe sau portabile)

Vulnerabilități de securitate și confidențialitate

Rețelele necorespunzătoare sau practicile de securitate scăzute

Eșecul de a instala actualizări actualizate ale software-ului de securitate ale producătorului și patch-uri pentru dispozitive medicale și preocupări legate de provocarea serviciului

întreruperi ale dispozitivelor funcționale

eliminarea necorespunzătoare a datelor sau informațiilor pacientului, inclusiv Testul dispozitivelor medicale implică:

rezultatele sau înregistrările medicale

Distribuția necontrolată a parolelor, cum ar fi angajații

neglijență în lăsarea unei parole nesupravegheate în public, 12 parole dezactivate sau parole codificate greu pentru software destinat accesului la dispozitive medicale privilegiate (de exemplu, pentru personalul administrativ, tehnic și de întreținere)

Manipularea, furtul, distrugerea, dezvăluirea neautorizată sau lipsa disponibilității datelor pacientului către furnizori

Transfer de rețea (prin e-mail, canal de acces la distanță, sau transfer de fișiere)

Spyware și malware

Atacuri

Modificări ale setărilor dispozitivului neautorizate, reprogramare sau infecție prin intermediul programelor malware

Direcționarea dispozitivelor mobile de sănătate utilizând tehnologia fără fir pentru accesarea datelor pacientului, a sistemelor de monitorizare și a dispozitivelor medicale implantate

Identificarea risculului

Identificarea și evaluarea

Aproape jumătate din MDSL (patru din nouă respondenți) declară că organizația lor de îngrijire a sănătății are proceduri și proceduri bine stabilite pentru a identifica și evalua riscurile emergente în jurul dispozitivelor medicale conectate la rețea. Altele indică faptul că organizația lor nu are un proces formalizat; identifică în prezent dispozitivele medicale și acțiunile aplicabile; sau nu necesită ca toate dispozitivele medicale să treacă prin procesul de evaluare standard al organizației.

Gestionarea inventarului este o componentă critică a identificării riscurilor, iar majoritatea MDSL (șapte din nouă) declară că organizația lor are un fel de gestionare a inventarului pentru dispozitivele medicale. Unii intervievați declară că gestionarea inventarului este o activitate în curs de desfășurare și se așteaptă pentru a finaliza procesul în următorii câțiva ani.

Un respondent a indicat că nu face diferența între dispozitivele "conectate" și "neconectate" din inventarele curente. Gestiunea stocurilor poate fi descentralizată în diferitele instituții de sănătate din ambulatoriu și ambulatoriu și este inclusă în sisteme disparate și necentralizate de gestionare a activelor grupului IT.

O organizație încurajează directorii să determine complexitatea inventarului dispozitivelor medicale și un altul a externalizat procesul de gestionare a inventarului / activelor către o terță parte. Mulți (șase din nouă) respondenți indică faptul că clasifică dispozitive medicale în rețea pe baza gradului de criticitate a pacientului (de exemplu, susținerea vieții); pentru alții, această clasificare este în curs de dezvoltare, dar încă incompletă.

Flux de date

Identificarea și documentarea modului în care sunt stocate, procesate datele reglementate (de exemplu, informații de sănătate protejate) și / sau transmise de dispozitive medicale în rețea este importantă, iar multe MDSL (șase din nouă) sunt de acord sau sunt de acord cu faptul că organizația lor își asumă această sarcină. În unele organizații, procesele de mapare a interfețelor cu sistemele din aval și înregistrarea circulației datelor sensibile sunt în curs de dezvoltare; în altele, acești pași sunt integrați în procesul de evaluare a riscurilor.

Managementul riscului

Sisteme organizatorice

Procesele de achiziții la nivel de sistem de sănătate sau spitale ar trebui să aibă cerințe specifice de confidențialitate și securitate pe care dispozitivele medicale trebuie să le îndeplinească înainte de a le achiziționa de la producător. Organizațiile MDSL au diferite abordări pentru a răspunde acestei cerințe, inclusiv evaluarea comitetului de evaluare tehnică și evaluarea terților.

Organizația unui respondent dezvoltă în prezent cerințe privind achizițiile specifice pentru dispozitive medicale în rețea. La o altă organizație, dispozitivele medicale noi trec printr-un proces riguros, dar problemele de viață cu dispozitivele existente sau cu dispozitive moștenite prezintă o problemă; în special, instalarea actualizărilor și a patch-urilor în timp util pentru a rezolva orice vulnerabilitate în dispozitivele mai vechi.

Mai mult, intervievații spun că integrarea suportului de securitate și întreținerea continuă în acordurile furnizorilor nu se face pe scară largă sau este un domeniu în care MDSL-urile au înregistrat blocaje.

Cunoașteți potențialele amenințări

Potrivit MDSL intervievați, unele dintre principalele amenințări la adresa dispozitivelor medicale în rețea includ:

1. Hacktivists (adică indivizi anonimi) care doresc să provoace întreruperea serviciului.

2. Hoții care doresc să vândă sau să obțină bani din informațiile de sănătate personale (PHI), să se angajeze în furtul de identitate, să comită fraude financiare împotriva persoanelor și / sau organizațiilor de îngrijire a sănătății sau să-i înșele Medicare și / sau Medicaid.

3. Grupuri sau persoane care intenționează să dăuneze pacienților (posibil vizând pacienții VIP) sau care urmăresc să deterioreze marca organizației de îngrijire a sănătății.

4. Malware care evită motoarele și regulile antivirus existente, dar nu vizează în mod specific dispozitivele medicale.

Managementul vulnerabilității

Măsurile de diminuare a riscurilor ar trebui definite și sprijinite prin politici și proceduri. Multe MDSL (șase din nouă) simt puternic că au definit și au implementat măsuri de atenuare a dispozitivelor medicale în rețea care ar putea să nu aibă garanții adecvate. De exemplu, multe dispozitive medicale vechi (în serviciu mai mult de cinci ani) funcționează pe sisteme de operare și firmware proprietare.

Aceste dispozitive moștenite sunt dificil de testat pentru vulnerabilități deoarece instrumentele de scanare de securitate nu există. Toate modulele MDSL indică faptul că ele au componente de rezervă sau măsuri de protecție a mediului ca rezervă pentru dispozitivele medicale pentru a proteja împotriva defecțiunilor dispozitivului.

În timp ce multe dintre aceste dispozitive medicale conectate la organizațiile de îngrijire a sănătății rulează pe sisteme de operare și pe firmware proprietare, la fel cum multe dintre ele rulează pe sisteme de operare comerciale cunoscute. Aceste dispozitive medicale sunt susceptibile la aceleași vulnerabilități ca și alte tipuri de sisteme (de exemplu, servere, aplicații) care se află într-o rețea.

Strategiile tipice de atenuare variază de la punerea în carantină a dispozitivelor medicale care nu respectă standardele de securitate la monitorizarea și luarea măsurilor adecvate pe o bază necesară. Acțiunile specifice includ stabilirea faptului că noile dispozitive medicale au software-ul și patch-urile de securitate actualizate, punând în aplicare controale compensatorii și dispozitive de prelevare a probelor pentru a evalua în mod aleatoriu conformitatea.

Segregarea unei rețele (atunci când nu are impact asupra siguranței pacientului) pentru a reduce permeabilitatea, inclusiv a segmentelor de carantinizare ale organizației, depinde în mare măsură de dimensiunea, de domeniul de aplicare și de structura geografică a furnizorului. Mai mult de jumătate dintre intervievați (cinci din nouă) spun că sunt neutri în ceea ce privește implementarea segregării rețelei la nivelul întregii organizații – pentru unii, segregarea diferă mai degrabă de tipul de dispozitiv decât de structura organizațională. (Se remarcă faptul că dispozitivele mobile sunt identificate ca o categorie pentru care nu există în prezent soluții de segregare bune.) Alte strategii pentru segregarea în rețea includ crearea de sub-rețele pentru dispozitivele medicale care nu pot încărca software-ul de securitate al întreprinderii.

O strategie este folosirea proceselor de gestionare a riscurilor pentru identificarea dispozitivelor medicale cu puncte slabe de control fizic, cum ar fi ca nici o criptare, parole substandard, acces larg, sau o locație publică. Soluțiile de remediere include blocarea CPU-urilor sau a dispozitivelor medicale; reținerea componentelor de rezervă; negocierea contractelor cu furnizorii pentru a menține funcționarea dispozitivului sau pentru a preveni eșecul; și instituirea unor măsuri de protecție a mediului cum ar fi o sursă de alimentare neîntreruptă, în special pentru sistemele de susținere a vieții critice.

Informații suplimentare

Privind dincolo de problemele de gestionare imediată și de gestionare a riscurilor, MDSL-urile intervievate oferă două perspective suplimentare:

Înțelegeți și anticipați amploarea și motivele vulnerabilităților în domeniul securității informatice

În timp ce MDSL-urile și industria în general7 nu au prezentat cazuri de amenințări intenționate la dispozitive medicale în rețea, majoritatea MDSL-urilor își exprimă îngrijorarea cu privire la vulnerabilitatea potențială a dispozitivelor la securitatea informatică și probleme de confidențialitate; în special radiografia wireless-digitală și pompele de infuzie cu fir / fără fir. Majoritatea MDSL-urilor împărtășesc ideea că este posibilă hacking sau provocarea refuzului de serviciu la dispozitivele medicale conectate în rețea în "lumea reală". Motivele potențiale pentru care întreruperea intenționată ar putea fi posibilă include conectivitatea directă la internet și slăbiciunile nesalvate ale securității informatice. Există și alte vulnerabilități care ar putea genera amenințări neintenționate în ceea ce privește securitatea informatică la proiectarea dispozitivului și la problemele legate de ciclul de viață ale produsului, inclusiv lansările de upgrade software. Incidentele curente de cybersecuritate care implică dispozitive medicale în rețea pe care MDSL le-au împărtășit în timpul interviurilor includ:

• Un întreg sistem de monitorizare a fost deconectat pentru câteva ore, deoarece a fost infectat cu virusul Conficker;

• O pompă IV fără fir fiind afectată de "tulburare fără fir", ceea ce influențează în final rata de dozare a pompei;

• Un sistem de distribuire automat de administrare a medicamentelor devenind infectat cu malware și fiind luat offline timp de câteva ore.

MDSL-urile citează doi factori care susțin problema vulnerabilității dispozitivului medical: 1) gradul în care producătorul de dispozitive medicale se concentrează pe informații și securitatea informatică a dispozitivelor; și 2) sistemele și structurile furnizorilor (de exemplu, achiziții necentralizate) care pot nu reușesc să pună în practică securitatea informatică a aparatului înainte de cumpărare; poate necesita o asistență și o întreținere mai sigure de la distanță de către producător; și poate oferi o arhitectură / segmentare insuficientă a rețelei pentru izolarea unora dintre cele mai vulnerabile dispozitive.

Furnizorii de asistență medicală vor avea probabil nevoie de instrumente, abordări și sprijin din partea producătorilor de dispozitive medicale pentru a aborda mii de dispozitive medicale conectate în rețea cu o durată lungă de depozitare care se află pe rețele spitalicești, care nu pot fi testate cu ușurință pentru vulnerabilități în domeniul cybersecurity.

Îmbunătățirea industriei: este un efort de echipă

Multe MDSL (cinci din nouă) sunt de acord cu responsabilitatea pentru dispozitivul medical cybersecurity și intimitatea este o responsabilitatea comună a producătorilor și a furnizorilor de servicii medicale; FDA, la rândul său, este responsabilă de asigurarea supravegherii reglementare, a standardelor privind securitatea informatică și de confidențialitate și de orientare. Unele MDSL-uri diferențiază responsabilitatea producătorilor față de practicile de fabricație sigure și suportul dispozitivelor medicale, precum și responsabilitatea furnizorilor pentru operațiile dispozitivelor (de exemplu, securitatea rețelelor, instruirea pacienților, ingineria clinică și IT). Un MDSL spune că pacienții au, de asemenea, o anumită responsabilitate pentru dispozitivele din mediul de îngrijire a sănătății la domiciliu.

Mai multe sugerează că producătorii ar putea dezvolta mai multe capabilități pentru a aborda problemele legate de protecția vieții private și de securitatea informatică; supravegherea FDA suplimentară sau atenția poate ajuta producătorii în această privință. Unul dintre respondenți spune că consorțiile din industrie, cum ar fi Consorțiul pentru medicamente pentru inovare, siguranță și securitate (MDISS), Societatea pentru Sistemele de Informații și Management al Sănătății (HIMSS) și Asociația pentru Promovarea Instrumentelor Medicale (AAMI), pot contribui la recunoașterea industriei de securitate cibernetică și probleme de confidențialitate.

Se pare că se pot face mult mai multe în cadrul organizațiilor furnizorilor pentru a crește gradul de conștientizare în rândul părților interesate – medicilor, șefilor de informații medicale (CMIO), a CIO-urilor și a echipelor de inginerie clinică – și potențialele amenințări și vulnerabilități ale dispozitivelor medicale. Educarea acestor părți interesate poate spori sprijinul acordat capacităților adecvate de securitate cibernetică în dispozitivele care sunt luate în considerare pentru achiziții publice.

Privind spre viitor, MDSL ar trebui să ia în considerare concentrarea asupra următoarelor domenii pentru a spori eficacitatea strategiilor organizațiilor lor pentru a atinge niveluri adecvate de siguranță și securitate a dispozitivelor medicale.

1. Citiți proiectele de orientări ale FDA, Conținutul depunerilor pre-vânzare pentru managementul securității informatice în dispozitivele medicale (iunie 2013) și Comunicarea privind siguranța FDA.

• Proiectul de comunicare privind orientările și siguranța va informa MDSL despre amenințări, riscuri și vulnerabilități din punctul de vedere al FDA.

• Proiectul de îndrumare va oferi, de asemenea, o perspectivă asupra tipurilor de caracteristici și capabilități de securitate pe care organizațiile de îngrijire a sănătății le pot anticipa în viitoarele dispozitive medicale conectate la rețea.

2. Înțelegeți riscul organizației.

• Realizarea unei analize situaționale și de mediu la nivel de organizație.

• Înțelegeți gradul și complexitatea riscurilor cu care se confruntă organizația.

• Efectuați due diligence pe standardele și strategiile adecvate pentru a reduce riscul identificat și pentru a elabora un plan de acțiune și un plan de resurse corespunzător (capital uman și finanțare) necesare pentru a aborda problema.

3. Adoptarea unui cadru formal de gestionare a riscurilor pentru dispozitive medicale în rețea și implementarea politicilor administrative și funcționale.

• Adoptarea unui cadru de management al riscului, cum ar fi ISO / IEC 80001, și adaptarea acestuia la cultura și mediul de risc ale organizației.

• Elaborarea unor politici standardizate de achiziții care să sporească securitatea:

– integrați evaluările și cerințele privind securitatea și confidențialitatea specifice dispozitivelor medicale în rețea;

procesul de achiziție. Luați în considerare utilizarea "Declarației de prezentare a producătorului pentru securitatea dispozitivelor medicale – MDS2" și măriți acest chestionar standard cu cerințele specifice organizației.

– Efectuați recenzii "cutie albă" a dispozitivelor medicale conectate în rețea, luate în considerare pentru cumpărare, fie pe plan intern, fie prin intermediul unei terțe părți.

– încorporați suportul și întreținerea continuă a securității în contractele furnizorilor.

• Instituirea măsurilor de rezistență:

– Asigurați-vă că piesele de schimb sunt disponibile la cerere

pentru dispozitive medicale conectate la rețea pentru a menține operațiunile în

cazul unui eșec.

– să instituie măsuri de protecție a mediului (de exemplu, generator backup, surse de alimentare neîntreruptibile, HVAC redundant) pentru a proteja instalatiile care adapostesc dispozitive medicale de ingrijire critica si suport pentru viata.

• Aranjamente ale producătorului de adrese:

– Obțineți asistență de la un dispozitiv medical conectat la rețea

producătorii să identifice în mod continuu vulnerabilitățile și riscurile, să creeze măsuri de siguranță pentru a atenua pagubele și să furnizeze actualizări firmware, patch-uri și antivirus.

4. Îmbunătățiți gestionarea vulnerabilităților pentru dispozitive medicale în rețea.

• Inventați și clasificați dispozitivele medicale în rețea. – Stabilirea unui sistem actualizat, centralizat și complet inventarierea dispozitivelor medicale în rețea. Stratificați inventarul pentru a include dispozitive medicale conectate prin cablu, wireless și moștenire (cele care sunt în serviciu mai mult de cinci ani).

– Clasificarea dispozitivelor medicale în rețea în funcție de criticitatea pacientului. • Limitați accesul la utilizatorii autorizați prin întreținere liste de control acces autorizate și autentificare puternică controale.

• Puneți la dispoziție inventarul stabilit instrumente de monitorizare pentru a detecta și a analiza necunoscut / rogue dispozitive.

• Efectuarea evaluărilor de rutină ale riscurilor de securitate și a auditurilor dispozitive medicale de rețea.

• Actualizați software-ul antivirus adecvat și firewall-urile cu suportul de la producătorul dispozitivului, dacă este disponibil.

• Dacă este nerealist să se dezvolte in-house, în profunzime evaluarea vulnerabilităților, considerați că managementul vulnerabilităților externalizează furnizorii de soluții terță parte.

5. Creșterea educației în domeniul securității și a conștientizării în rândul părților interesate din domeniul dispozitivelor medicale

• Stabilirea și / sau îmbunătățirea programelor de educare și conștientizare a părților interesate, inclusiv a inginerilor și medicilor clinici, CMIO și CIO, pentru a-și spori gradul de cunoaștere și înțelegere a amenințărilor, vulnerabilităților și riscurilor (TVR) la dispozitive medicale conectate în rețea.

• Implicarea membrilor echipei, cum ar fi inginerii clinici și medici, în elaborarea și implementarea politicilor și proceselor de achiziții care să răspundă cerințelor minime de securitate pentru dispozitivele medicale în rețea.

• Includerea analizei TVR în rapoartele de risc privind dispozitivele medicale în rețea.

• Traduceți concluziile privind riscurile în limba părților interesate și prezentați rezultatele la diferite forumuri (de exemplu, prânzuri de pungi maro, briefing-uri speciale etc.).

6. Folosirea Centrului național de partajare și analiză a informațiilor în domeniul sănătății (NH-ISAC).

• Luați în considerare colaborarea cu NH-ISAC și FDA pentru a explora modalități de a împărtăși descoperirile de incidente și vulnerabilități legate de dispozitivele medicale conectate în rețea în același timp, adresându-se preocupărilor furnizorilor privind răspunderea. NH-ISAC lucrează deja cu un număr de organizații la nivel de stat și federal, iar securitatea dispozitivelor medicale este o zonă cu prioritate ridicată.

• Să se dezvolte colaborarea dintre FDA și NH-ISAC un plan cuprinzător de informare a organizațiilor de îngrijire a sănătății care evidențiază avantajele utilizării capacităților NH-ISAC, precum și beneficiul general al sănătății publice de a împărtăși informațiile FDA (prin NH-ISAC) cu privire la informațiile privind vulnerabilitatea dispozitivelor medicale. Exemple de campanii de informare ar putea include webinarii, un briefing național de prezentare a drumurilor care va avea loc la facilitățile furnizorilor, precum și un summit național invitat, care să reunească directorii furnizorilor și producătorilor de dispozitive.

7. Protejați dispozitivele medicale moștenite vulnerabile prin segregarea în rețea.

• Luați în considerare, acolo unde este cazul, implementarea unor măsuri de segregare a rețelelor, cum ar fi rețelele locale virtuale (VLAN) și liste de control al accesului la firewall și router.

• Anticipați măsurile de segregare în rețea prin ele însele nu pot fi suficiente; "Punțile" între rețele vor exista probabil și nu pot fi pe deplin înțelese în rețele complexe. Prin urmare, luați în considerare, dacă este cazul, implementarea capabilităților de monitorizare a rețelelor în seturi de instrumente, cum ar fi soluțiile de analiză de rețea și soluțiile de securitate a informațiilor și gestionarea evenimentelor (SIEM).

8. Învață din experiența altor industrii

• Multe industrii, cum ar fi Utilități Publice s-au confruntat cu provocarea de a apăra și de a proteja dispozitive complexe și unice cu sisteme încorporate de la cibernetice. Lecțiile învățate din experiența lor ar trebui luate în considerare în mediul medical.

– Recunoașteți că dispozitivele medicale reprezintă un domeniu de interes pentru cercetătorii în domeniul securității și că vor apărea vulnerabilități și dezvăluiri – uneori cu un avertisment puțin sau deloc.

Această imprevizibilitate va necesita capacități în cadrul spectrului "proteja, apăra, răspunde și recupera".

– Implicați profund cu comunitatea de securitate, acolo unde este cazul, inclusiv colegii din alte organizații.

– Pregătiți-vă să investiți în capacități de construcție dincolo de securitatea operațională, inclusiv investițiile în resurse umane sau în specialiștii terți pentru a accesa capabilități în domenii emergente, cum ar fi inteligența amenințărilor cibernetice și analiza rețelelor și a programelor malware.

– Realizați faptul că cei care doresc să dăuneze sau să perturbe dispozitivele medicale au atât timp cât și resurse în arsenalul lor și sunt pregătiți să joace "jocul lung".

3.2. Implementarea modelului (activitate medicală)

Dispozitivele medicale inteligente în rețea sunt în creștere, cerând, prin urmare, creșterea siguranței cibernetice și respectarea mai strictă a liniilor moderne de reglementare în domeniul securității informatice. Această lucrare albă se concentrează pe:

• Securitatea în epoca dispozitivelor medicale inteligente în rețea

• Proiectarea dispozitivelor medicale cu o echipă multidisciplinară

• Exemple de activități proactive de securitate

• Pașii de securitate pentru ciclul de viață al dispozitivului

• Tipurile principale de exploatări și modul de prevenire a atacurilor

Securitatea în epoca dispozitivelor medicale inteligente în rețea

Odată cu apariția dispozitivelor medicale inteligente în rețea, abordarea cerințelor de reglementare în domeniul securității informatice a devenit o sarcină importantă de proiectare pentru producătorii de dispozitive medicale. Protejarea dispozitivului de infractorii cibernetici, care nu sunt doar după datele personale, dar care se află și după proprietatea intelectuală, cum ar fi încălcarea Sistemului de Sănătate al Comunității, necesită abordarea designului din mai multe unghiuri de securitate. Cybersecurity pune presiune asupra noilor modele de dispozitive medicale pentru a rezolva aceste probleme la arhitectura sistemului și la etapa de proiectare a ciclului de viață al produsului.

Cybersecurity pune presiune asupra unui nou dispozitiv medical:

probleme la sistem

generarea de înregistrări și dispozitivele mobile,

securitatea pentru un dispozitiv medical trebuie să

să fie abordată în fiecare disciplină a sistemului de ciclu de viață al produsului. și nu poate fi o gândire ulterioară.

Echipa interdisciplinară

A avea o echipă interdisciplinară care constă în Cercetare, Design Industrial, Experiență utilizator, Inginerie electrică, mecanică, Sisteme și Software, care lucrează în strânsă colaborare, este mai imperativă decât oricând. Integrarea tuturor disciplinelor va conduce la rezolvarea problemelor la începutul etapei de proiectare, ceea ce va conduce la un timp considerabil mai rapid de comercializare, la costuri de dezvoltare reduse și la controale de securitate mai stricte.

După cum am observat în cadrul capitolului de față, securitatea cibernetică este un domeniu nou în care se investește mult, atât din punct de vedere al achiziționării de aparatură, cât și din perspectiva dezvoltării competenețelor umane. Pe viitor, literatura de specialitate ar trebui să acorde mai multă atenție aspectelor referitoare la provocările securității cibernetice din perspectiva competențelor umane, dar și aspectelor referitoare la dezvoltare.