Boas práticas no ciclo de vida para melhoria da segurança de software para dispositivos médicos

Abstract

Apesar do uso generalizado da tecnologia da informação na área médica, pouca atenção é dada à segurança do software que executa ou coleta informações de pacientes em dispositivos médicos. Falhas de segurança de software nestes dispositivos podem levar a problemas que vão desde a revelação não autorizada da informação médica do paciente até lesões ou mortes. Com o objetivo de melhorar a qualidade e aumentar a segurança deste tipo de equipamento, este trabalho propõe uma metodologia para inclusão de atividades de segurança no ciclo de vida do software para equipamentos médicos, especialmente na sua fase de construção e testes. Esta metodologia foi desenvolvida a partir da avaliação de normas para construção de software para dispositivos médicos e sua correlação com técnicas de construção de software seguro. A partir da adoção de técnicas de desenvolvimento seguro, atividades como casos de abuso, análise de riscos, revisão de código-fonte e testes de penetração passam a fazer parte do ciclo de vida do software médico com o objetivo de colaborar com a redução da lacuna entre os requisitos de segurança e safety da aplicação. Para validar a proposta desta pesquisa, foi realizado estudo de caso em um software para dispositivo médico que monitora os sinais vitais de um paciente e realiza alertas relacionados a seu estado de saúde. _______________________________________________________________________________________ ABSTRACT

Despite the widespread use of information technology in the medical field, little attention is given to security software that performs or collects patient information on medical devices. Security software flaws in these devices can lead to problems ranging from the unauthorized disclosure of medical information to the patient injuries or deaths. Aiming to improve the quality and increase safety of this type of equipment, this work proposes a methodology for including security activities in software life cycle to medical devices, especially in its construction and testing phases. This methodology was developed based on the evaluation of standards for implementation of medical devices software and correlation techniques to build secure software. With the adoption of secure development techniques, activities such as abuse cases, risk analysis, code review and penetration testing become part of medical software life cycle in order to collaborate with the reduction of the gap between security and safety requirements of the application. In order to validate the proposal of this research was conducted a case study in medical device software that monitors the vital signs of a patient and performs alerts related to their health status.