+49 155 609 62044contact@vamisec.comحادث سيبراني؟24/7csirt@vamisec.com
احجزوا موعدًا
الأمن السيبراني للتقنيات الطبية

الأجهزة الطبية – دورة حياة أمن المنتج متوافقة تنظيميًا. ملائمة لدورة الحياة. جاهزة للتدقيق.

الأمن السيبراني للأجهزة الطبية ليس خيارًا – بل هو إلزامي تنظيميًا ومرتبط مباشرة بسلامة المرضى. وتشترط لائحة MDR نهجًا منهجيًا قابلًا للتتبع لتحديد مخاطر الأمن السيبراني وتقييمها والحد منها عبر جميع مراحل دورة حياة المنتج. ترافقكم VamiSec في الطريق نحو الامتثال الكامل وفق MDCG ⁦2019-16⁩ وIEC 62304 وIEC ⁦81001-5-1⁩ وأفضل الممارسات الدولية (IEC 62443 وSAE 21434 وISO 14971).

احجزوا محادثة أولية →عرض الورقة البيضاء
AI Act × MDR

هل يستخدم جهازكم الطبي الذكاء الاصطناعي؟

بمجرد أن يكون الجهاز الطبي نظام ذكاء اصطناعي أو يدمج نظامًا كهذا، يُصنَّف في العادة ضمن أنظمة الذكاء الاصطناعي عالية المخاطر – وتنطبق متطلبات لائحة الذكاء الاصطناعي الأوروبية (EU AI Act) إضافةً إلى MDR. تعرض نظرتنا العامة التفاعلية جميع المجالات الأساسية الـ16، ودرجة تداخلها مع MDR، وفحصًا للمخاطر العالية.

استكشفوا لائحة الذكاء الاصطناعي للأجهزة الطبية
— الأساس المعياري

MDCG ⁦2019-16⁩: العمود الفقري التنظيمي

الأمن مقابل السلامة: يجب أن يسير الأمن السيبراني جنبًا إلى جنب مع سلامة المرضى.

تُعدّ MDCG ⁦2019-16⁩ (Guideline on medical device cybersecurity) الدليل الإرشادي الأوروبي المحوري للشركات المصنِّعة والجهات الرسمية. فهي تفصّل متطلبات MDR وتحدد القدرات الأمنية (Security Capabilities) المتوقعة، والحد الأدنى من متطلبات بيئة التشغيل، والوثائق المطلوبة. وجوهرها إدراك أن مخاطر الأمن السيبراني قد تؤدي مباشرة إلى مخاطر إلحاق الضرر بالمرضى.

01

الملحق III – المعايير المرجعية

02

الملحق IV – إدارة المخاطر

03

الملحقان I وII – الحوادث واليقظة

— MDCG ⁦2019-16⁩ · المفاهيم الأساسية

المفاهيم الأساسية للأمن السيبراني للأجهزة الطبية

المخاطر والأمن والسلامة والمسؤولية المشتركة في إطار MDR / IVDR – المبادئ الأساسية لـ MDCG ⁦2019-16⁩ في لمحة.

Risk = احتمال الضرر × شدة الضرر

فهم موحّد للمخاطر في إطار MDR / IVDR – للأمن والسلامة والفعالية.

Secure by Design

الأمن راسخ منذ البداية في البنية المعمارية والتطوير.

أحدث ما توصلت إليه التقنية

إجراءات وفق أحدث ما توصلت إليه التقنية.

التوازن بين الفائدة والمخاطر

يجب ألا يقوّض الأمن الفائدة والفعالية السريرية.

مسؤولية الشركة المصنِّعة

تتحمل الشركة المصنِّعة المسؤولية الأساسية على امتداد دورة الحياة كاملة.

الأمن السيبراني مسؤولية مشتركة

Manufacturer

التصميم الآمن، إدارة المخاطر، الإرشادات

Integrator

الإعداد الآمن، التدريب

Operator

التشغيل الآمن، الإبلاغ عن الحوادث

المستخدم / مقدّم الرعاية الصحية

الاستخدام المقصود، الوعي السيبراني، حماية البيانات

— MDCG ⁦2019-16⁩ · الملحق III

المعايير المرجعية وإرشادات MDCG المكمّلة

لدعم تطبيق دورة حياة أمن الأجهزة الطبية – إرشادات MDCG ذات الصلة مصنّفة حسب المجال.

01

الأمن السيبراني والتطوير الآمن

MDCG ⁦2019-16⁩ Rev.1

إرشادات الأمن السيبراني للأجهزة الطبية

02

البرمجيات والذكاء الاصطناعي والصحة الرقمية

MDCG ⁦2019-11⁩ Rev.1

تأهيل البرمجيات وتصنيفها (MDSW)

MDCG ⁦2020-1⁩

التقييم السريري / تقييم أداء برمجيات الأجهزة الطبية

MDCG ⁦2023-4⁩

MDSW – تركيبات البرمجيات والعتاد

03

مراقبة ما بعد التسويق والثغرات الأمنية والحوادث

MDCG ⁦2025-10⁩

مراقبة ما بعد التسويق للأجهزة الطبية وأجهزة التشخيص المختبري (IVD)

MDCG ⁦2023-3⁩ Rev.2

أسئلة وأجوبة حول مصطلحات اليقظة ومفاهيمها

MDCG ⁦2024-1⁩

إرشادات اليقظة الخاصة بالأجهزة (DSVG) – نموذج

MDCG ⁦2022-21⁩

تقرير تحديث السلامة الدوري (PSUR)

04

الحوكمة والأدوار وأمن سلسلة التوريد

MDCG ⁦2021-5⁩ Rev.1

إرشادات التقييس للأجهزة الطبية

MDCG ⁦2025-4⁩

الإتاحة الآمنة لتطبيقات MDSW على المنصات الإلكترونية

MDCG ⁦2019-7⁩ Rev.1

الشخص المسؤول عن الامتثال التنظيمي (PRRC)

MDCG ⁦2021-19⁩

دمج UDI في نظام إدارة الجودة (QMS)

05

البيانات وقابلية التتبع والشفافية

MDCG ⁦2021-1⁩ Rev.1

EUDAMED – الممارسات الإدارية المؤقتة (MDR)

MDCG ⁦2018-5⁩

تخصيص UDI لبرمجيات الأجهزة الطبية

MDCG ⁦2022-12⁩

EUDAMED – الممارسات الإدارية المؤقتة (IVDR)

MDCG ⁦2021-12⁩

أسئلة شائعة حول EMDN (التسمية الأوروبية للأجهزة الطبية)

* إرشادات MDCG غير ملزمة قانونيًا، لكنها تعكس التفسير الأوروبي المشترك لمتطلبات MDR (EU) 2017/745 وIVDR (EU) 2017/746.

— النموذج الجوهري

الأمن السيبراني هو سلامة المرضى

«يمكن أن تتحول مخاطر الأمن السيبراني مباشرة إلى مخاطر على سلامة المرضى» – MDCG ⁦2019-16⁩

لفترة طويلة عُومل أمن تقنية المعلومات والسلامة الوظيفية كمجالين منفصلين. وتقلب MDCG ⁦2019-16⁩ هذه النظرة: فالهجوم السيبراني الناجح على جهاز طبي يعرّض سلامة المرضى للخطر مباشرة. ولذلك يجب ربط نظامَي إدارة المخاطر ببعضهما.

المخاطر الأمنية

  • اختراق البيانات
  • اختراق النظام
  • فقدان السرية / السلامة / التوافر
  • انخفاض فعالية النظام

مخاطر متعلقة بالسلامة

  • إلحاق الضرر بالمريض
  • إصابة جسدية
  • أثر على السلامة السريرية

مخاطر أمنية ذات أثر على السلامة

حوادث سيبرانية تؤثر في سلامة المرضى

— MDCG ⁦2019-16⁩ · الملحق IV

عمليتان لإدارة المخاطر، مترابطتان بإحكام

تسير إدارة مخاطر الأمن السيبراني وإدارة مخاطر السلامة (EN ISO 14971) بالتوازي بخطوات العملية ذاتها. والحاسم هو الروابط المتبادلة: يجب أن يُدرَج كل خطر أمني أو ضابط (Control) قد يكون له أثر على السلامة في تقييم مخاطر السلامة – والعكس صحيح.

عملية إدارة مخاطر الأمن السيبراني
تحليل مخاطر الأمن السيبراني
تقييم مخاطر الأمن السيبراني
التحكم في مخاطر الأمن السيبراني
المخاطر المتبقية للأمن السيبراني
تقرير إدارة مخاطر الأمن السيبراني
معلومات الأمن السيبراني للإنتاج وما بعد الإنتاج
مخاطر الأمن السيبراني التي قد تنطوي على مخاطر على السلامة
ضوابط الأمن السيبراني التي تؤثر في السلامة
ضوابط السلامة التي تؤثر في الأمن السيبراني
عملية إدارة المخاطر وفق ISO 14971
تحليل المخاطر
تقييم المخاطر
التحكم في المخاطر
المخاطر المتبقية
إدارة المخاطر
معلومات الإنتاج وما بعد الإنتاج

* MDCG ⁦2019-16⁩ Rev.1، الملحق IV: تتضمن إدارة المخاطر الأمنية العناصر ذاتها التي تتضمنها إدارة مخاطر السلامة – ويجب النظر إلى الاثنتين بشكل متكامل.

— مراحل دورة الحياة

أهداف أمنية على امتداد دورة حياة الجهاز الطبي كاملة بتفكير مستمر

تحدد MDCG ⁦2019-16⁩ سبع مراحل لدورة الحياة، ولكل منها أهداف محددة للأمن السيبراني. وتنشأ نواقل هجوم جديدة باستمرار – فما هو آمن اليوم قد يُخترق غدًا. وتضمن الإدارة المنهجية لهذه المراحل أمنًا استباقيًا.

التصوّر والتخطيط

  • تحديد المتطلبات الأمنية
  • نمذجة التهديدات وتقييم المخاطر
  • خط الأساس للبنية الأمنية
  • تقييم المتطلبات التنظيمية والمعايير (IEC 62304 وIEC ⁦81001-5-1⁩)

VamiSec-Nachweise: تحليل الفجوات، ميثاق الأمن، مواصفة المتطلبات

تتطلب كل مرحلة وثائق وعمليات وضوابط محددة. وتدعمكم VamiSec في الدمج السلس لهذه الأهداف في نظام إدارة الجودة (QMS) وعمليات التطوير القائمة لديكم.

— متطلبات وفق أحدث ما توصلت إليه التقنية

القدرات الأمنية للأجهزة الطبية

MDCG ⁦2019-16⁩ الملحق I: الحد الأدنى من القدرات الأمنية وفق أحدث ما توصلت إليه التقنية.

تحدد الإرشادات قدرات أمنية محددة يجب على الأجهزة الطبية تطبيقها حسب فئة المخاطر. وفي الوقت ذاته تُفرض متطلبات دنيا على بيئة التشغيل – لأن الأمن مسؤولية مشتركة بين الشركة المصنِّعة والجهة المشغّلة.

المصادقة والتفويض

مصادقة قوية، مصادقة متعددة العوامل (MFA)، تحكم في الوصول قائم على الأدوار (RBAC)، مبدأ الحد الأدنى من الصلاحيات.

MDCG ⁦2019-16⁩، القسم 4.1

السرية والتشفير

تشفير من طرف إلى طرف، TLS 1.2+، إدارة المفاتيح، إدارة الأسرار، وحدات أمن الأجهزة (HSM) للمفاتيح الحساسة.

MDCG ⁦2019-16⁩، القسم 4.2

السلامة والتوقيع

التوقيعات الرقمية، المجاميع الاختبارية، توقيع الشيفرة، التحقق من البرامج الثابتة، إجراءات مكافحة العبث.

MDCG ⁦2019-16⁩، القسم 4.3

التدقيق والتسجيل

تسجيل كامل للأحداث الأمنية، دليل على العبث، مسارات التدقيق، سجلات غير قابلة للتعديل، المراقبة والتنبيه.

MDCG ⁦2019-16⁩، القسم 4.4

المرونة والتكرار

التدهور التدريجي، آليات التحويل عند الفشل (Failover)، الحد من هجمات DoS، تخطيط استمرارية الأعمال، الاستجابة للحوادث (CSIRT).

MDCG ⁦2019-16⁩، القسم 4.5

بنية الدفاع متعدد الطبقات (Defense-in-Depth)

طبقات أمنية متعددة (الشبكة، التطبيق، النظام)، التجزئة، جدران الحماية، IDS/IPS، جدران حماية تطبيقات الويب (WAF).

MDCG ⁦2019-16⁩، القسم 3

— بيئة التشغيل

الحد الأدنى من المتطلبات لنظام التشغيل والبنية التحتية

  • إدارة التحديثات والتحديثات الأمنية لنظام التشغيل
  • جدار الحماية وتجزئة الشبكة
  • مكافحة الفيروسات واكتشاف التهديدات
  • التحكم في وصول المستخدمين والقيود الإدارية
  • القدرة على المراقبة والاستجابة للحوادث
  • عمليات النسخ الاحتياطي والاستعادة

يجب على الشركة المصنِّعة توثيق هذه المتطلبات وإبلاغها بوضوح في تعليمات الاستخدام (IFU). والجهة المشغّلة (العيادة، المستشفى) مسؤولة عن التنفيذ – مسؤولية مشتركة.

الدفاع متعدد الطبقات (Defense-in-Depth): الفلسفة الجوهرية
تعدد الطبقات بدلًا من نقطة فشل واحدة

لا يكفي إجراء أمني واحد. وتشترط MDCG ⁦2019-16⁩ استراتيجية دفاع متعددة المستويات تعمل عبر عدة طبقات (الشبكة، النظام، التطبيق، البيانات). وحتى إن اختُرقت طبقة ما، يجب أن تمنع طبقات الحماية الأخرى المهاجم من بلوغ هدفه.

— الاستراتيجية الأمنية الجوهرية

الدفاع متعدد الطبقات (Defense-in-Depth): الفلسفة الجوهرية

1

الشبكة والمحيط

  • تجزئة الشبكة وبنية Zero-Trust
  • جدران الحماية وIDS/IPS (كشف التسلل ومنعه)
  • VPN والوصول الآمن عن بُعد
  • الحماية من DDoS وتحديد معدل الطلبات
2

النظام ونظام التشغيل

  • تحصين نظام التشغيل (CIS Benchmarks)
  • التحكم في الوصول والحد الأدنى من الصلاحيات
  • إدارة التحديثات والتحديثات الأمنية
  • الكشف والاستجابة على مستوى نقاط النهاية (EDR)
3

التطبيق والشيفرة

  • دورة تطوير برمجيات آمنة (Secure SDLC) ومراجعات الشيفرة
  • SAST وSCA (SBOM، فحص الاعتماديات)
  • التحقق من المدخلات وترميز المخرجات
  • معالجة الأخطاء والتسجيل
4

البيانات والتشفير

  • التشفير أثناء التخزين وأثناء النقل (TLS 1.2+)
  • إدارة الأسرار (Vault، KMS)
  • التوقيعات الرقمية وتوقيع الشيفرة
  • فحوص سلامة البيانات والمجاميع الاختبارية
5

التشغيل والاستجابة للحوادث

  • المراقبة وتحليل السجلات (SIEM)
  • اكتشاف التهديدات والتنبيه
  • خطة الاستجابة للحوادث وCSIRT
  • مراقبة ما بعد التسويق (PMS) واليقظة

صُمّمت كل طبقة بشكل مستقل ومتكرر. واختراق الطبقة 1 (الشبكة) لا يعني تلقائيًا الوصول إلى الطبقة 3 (التطبيق). وهذا التدرج في العمق ليس خيارًا – بل هو معيار تنظيمي.

— تحليل التهديدات

نمذجة التهديدات للأجهزة الطبية: دليل عملي

نمذجة التهديدات ليست خيارًا – بل هي نشاط مطلوب تنظيميًا يجب عليكم تنفيذه بشكل منهجي لتحديد المخاطر السيبرانية وتقييمها. وتنص MDCG ⁦2019-16⁩ وIEC 62304 على أن تُعدّ الشركات المصنِّعة نموذج تهديدات رسميًا لأجهزتها الطبية وتوثّقه.

من مخطط تدفق البيانات حتى سلسلة الهجوم (Kill Chain) – استباق الهجمات بشكل منظّم.

تصوير حركة البيانات في النظام: العمليات ومخازن البيانات والكيانات الخارجية وحدود الثقة. وتكشف مخططات DFD مواضع حساسية البيانات والمواضع التي قد يتسلل منها المهاجمون.

Beispiel: يتواصل جهاز علاجي مع واجهة خلفية سحابية. أين تتدفق بيانات العلاج؟ من يملك صلاحية الوصول؟ أين تقع حدود التشفير؟

VamiSec-Ansatz: تُعدّ VamiSec مخططات DFD على عدة مستويات: مستوى النظام، ومستوى النظام الفرعي، ومستوى الشبكة.

Phase 1

مرحلة التصميم: إعداد DFD وتحليل STRIDE

Phase 2

مرحلة التطوير: أشجار هجوم للوظائف الحرجة

Phase 3

ما قبل الإصدار: رسم سلاسل الهجوم + تقييم وفق MITRE ATT&CK

Phase 4

ما بعد التسويق: مراقبة مستمرة للتهديدات في مواجهة تقنيات ATT&CK الجديدة

VamiSec-Nachweise: تقرير نموذج التهديدات، مخططات أشجار الهجوم، تقييم سلاسل الهجوم، مطابقة MITRE ATT&CK

— تطوير البرمجيات

دورة حياة تطوير البرمجيات الآمنة (SSDLC) وDevSecOps

الأمن من البداية حتى النهاية – لا كفكرة لاحقة، بل كمبدأ جوهري.

الجهاز الطبي ذو البنية الآمنة والتصميم الجيد لا يمثل سوى نصف الحل – فالتنفيذ الفعلي هو الحاسم. ويدمج نموذج SSDLC الإجراءات الأمنية في كل خطوة من خطوات تطوير البرمجيات: من تحديد المتطلبات مرورًا بمراجعات الشيفرة حتى المراقبة المستمرة أثناء التشغيل. ويؤتمت DevSecOps هذه الضوابط في مسارات CI/CD.

01

المتطلبات والتخطيط

  • متطلبات أمنية وظيفية وغير وظيفية معًا
  • نمذجة التهديدات وتقييم المخاطر
  • خط الأساس للبنية الأمنية
  • مطابقة الامتثال (MDR وIEC 62304 وIEC ⁦81001-5-1⁩)

Tools: أدوات نمذجة التهديدات، مصفوفة تقييم المخاطر، مواصفة المتطلبات الأمنية

02

التصميم والبنية المعمارية

  • أنماط التصميم الآمن (مثل مبدأ الحد الأدنى من الصلاحيات والإعدادات الافتراضية الآمنة عند الفشل)
  • مراجعة البنية الأمنية
  • خوارزميات التشفير وتصميم إدارة المفاتيح
  • استراتيجية الدفاع متعدد الطبقات (Defense-in-Depth)

Tools: مجلس مراجعة البنية المعمارية، قائمة مراجعة التصميم، المعايير الأمنية (IEC 62443 وSAE 21434)

03

التنفيذ والبرمجة

  • إرشادات البرمجة الآمنة (CWE Top 25 وOWASP ASVS)
  • مراجعات الشيفرة مع تركيز أمني
  • خطافات ما قبل الإيداع (Pre-Commit Hooks) (فحص الأسرار باستخدام truffleHog وgitleaks)
  • إضافات أمنية لبيئات التطوير (IDE)

Tools: منصات مراجعة الشيفرة (GitHub وGitLab)، أدوات فحص الأسرار، بيئات تطوير للتحليل الساكن

04

الاختبار والتحقق

  • SAST (الاختبار الأمني الساكن للتطبيقات) – تحليل مؤتمت للشيفرة
  • SCA (تحليل مكوّنات البرمجيات) – فحص المصادر المفتوحة والاعتماديات
  • SBOM (قائمة مكوّنات البرمجيات) – الشفافية بشأن المكوّنات
  • DAST/IAST (الاختبار الديناميكي)، الاختبار بالمدخلات العشوائية (Fuzzing)، اختبار الاختراق

Tools: SonarCloud/SonarQube ‏(SAST)، وSnyk/Veracode ‏(SCA)، وOWASP Dependency-Check، وCycloneDX ‏(SBOM)، وBurp Suite ‏(DAST)

05

الإصدار والنشر

  • التحصين وفق CIS Benchmarks
  • توقيع البرامج الثابتة وتوقيع الشيفرة
  • إدارة الإعدادات الآمنة
  • الاعتماد الأمني

Tools: قوائم مراجعة التحصين، شهادات توقيع الشيفرة، أدوات إدارة الإعدادات

06

الصيانة والمراقبة

  • إدارة التحديثات والاستجابة للثغرات الأمنية
  • المراقبة المستمرة والتسجيل (SIEM)
  • الاستجابة للحوادث (تفعيل CSIRT)
  • مراقبة ما بعد التسويق واليقظة

Tools: SIEM (مثل ELK وSplunk)، أنظمة إدارة التحديثات، أدوات CSIRT، التكامل مع EUDAMED

DevSecOps: الأتمتة والتكامل مع CI/CD

يؤتمت DevSecOps الفحوص الأمنية في مسار CI/CD. ويُفحص كل إيداع للشيفرة تلقائيًا؛ ولا يمكن إجراء الإصدار إلا عند اجتياز بوابات الجودة.

Commitفحص الأسرار · خطافات ما قبل الإيداع · فحص التراخيصBuildSAST · SCA · توليد SBOM · تحليل الاعتمادياتTestاختبارات وحدات أمنية · DAST · فحص الحاويات · فحص البنية التحتية كشيفرة (IaC)Releaseتوقيع الشيفرة · التحقق من التحصين · الاعتماد الأمنيDeployالإعداد الآمن · تفعيل المراقبة · الجاهزية للاستجابة للحوادث
  • اكتشاف مؤتمت للثغرات الأمنية في المراحل المبكرة (Shift Left)
  • معالجة أسرع للمشكلات الأمنية
  • وضع أمني متسق عبر جميع الإصدارات
  • توثيق جاهز للتدقيق لجميع الفحوص
— Enablement

التمكين والثقافة

  • برنامج أبطال الأمن (Security Champion) – تدريب المطورين والمعماريين
  • تدريبات التوعية الأمنية لجميع المطورين
  • التوجيه في البرمجة الآمنة ونمذجة التهديدات
  • التحسين المستمر – الدروس المستفادة بعد الحوادث
— الفحص الأمني والشفافية

SBOM وSAST وSCA: أمن مؤتمت للشيفرة والمكوّنات

شفافية كاملة بشأن الاعتماديات ومواطن الضعف – الامتثال عبر الأتمتة.

ثلاث أدوات لا غنى عنها لدورة SDLC آمنة حديثة: SBOM (قائمة مكوّنات البرمجيات) للشفافية، وSAST (التحليل الساكن) لثغرات الشيفرة، وSCA (تحليل مكوّنات البرمجيات) لمخاطر المصادر المفتوحة. وتشكّل معًا أساس الفحوص الأمنية المؤتمتة في مسارات CI/CD.

SBOM

SBOM – قائمة مكوّنات البرمجيات

SBOM هي جرد قابل للقراءة آليًا لجميع مكوّنات البرمجيات وإصداراتها واعتمادياتها. وتُطلب تنظيميًا بشكل متزايد (CRA وMDR) وهي أساسية لإدارة الثغرات الأمنية.

  • شفافية بشأن جميع مكوّنات الأطراف الثالثة (المصادر المفتوحة والمكتبات التجارية)
  • تحديد سريع للمنتجات المتأثرة عند ظهور ثغرات CVE
  • الامتثال لـ CRA والمتطلبات الأوروبية المستقبلية
  • أساس لـ SCA وإدارة التحديثات
OWASP Dependency-TrackSyftAnchore EnterpriseSonatype SBOM ManagerFOSSA
SAST

SAST – الاختبار الأمني الساكن للتطبيقات

يحلل SAST الشيفرة المصدرية دون تشغيلها. ويحدد الثغرات الأمنية النموذجية (حقن SQL وXSS وتجاوز سعة المخزن المؤقت والتشفير غير الآمن وغيرها) مبكرًا في دورة التطوير.

  • اكتشاف مبكر لثغرات الشيفرة (Shift Left)
  • معايير برمجة متسقة (CWE وOWASP ASVS)
  • تقليص وقت المراجعة الأمنية عبر الأتمتة
  • مدمج في بيئة التطوير (IDE) لتقديم ملاحظات فورية
SonarCloud / SonarQubeSnyk CodeFortify (Micro Focus)SemgrepCodeQL (GitHub)
SCA

SCA – تحليل مكوّنات البرمجيات

يفحص SCA الاعتماديات ومكوّنات المصادر المفتوحة بحثًا عن ثغرات أمنية معروفة (CVE). كما يقيس الامتثال للتراخيص ويقدّم توصيات بالتحديثات.

  • تحديد ثغرات CVE المعروفة في مكوّنات المصادر المفتوحة
  • توصيات تلقائية بالتحديثات وإرشادات للإصلاح
  • الامتثال لشروط التراخيص
  • الوقاية من هجمات سلسلة التوريد
SnykVeracodeCheckmarx / CxSASTOWASP Dependency-CheckOSV-Scanner

التكامل مع CI/CD وبوابات الجودة

يجب أتمتة SBOM وSAST وSCA في مسار CI/CD. وتضمن بوابات الجودة عدم إصدار شيفرة تحتوي على ثغرات أمنية حرجة.

  • الإيداع: يفحص خطاف ما قبل الإيداع الأسرار (truffleHog وgitleaks)
  • البناء: يفحص SAST الشيفرة، ويفحص SCA الاعتماديات، وتُولَّد SBOM
  • الاختبار: إذا عُثر على ثغرات أمنية حرجة، يفشل البناء
  • الإصدار: لا يمكن الإصدار إلا عند اجتياز جميع عمليات الفحص

VamiSec-Nachweise: تقارير SAST، تقارير SCA، SBOM (بصيغة CycloneDX)، سجلات بوابات الجودة، تتبّع المعالجة

نظام إدارة المخاطر

تحليل المخاطر وفق MDR وISO 14971

تحديد المخاطر وتقييمها والحد منها بشكل منظّم عبر جميع مراحل دورة الحياة.

ISO 14971 هو المعيار الدولي لإدارة المخاطر في الأجهزة الطبية. ويشترط تقييمًا منهجيًا موثّقًا لجميع المخاطر المرتبطة بالمنتج – بما في ذلك مخاطر الأمن السيبراني. وتُلزم لائحة MDR الشركات المصنِّعة بإنشاء نظام رسمي لإدارة المخاطر وفق ISO 14971 وإثباته.

1

تحليل المخاطر

تحديد منهجي لجميع المخاطر: أخطاء التصميم وأعطال المكوّنات وسوء سلوك المستخدمين والهجمات السيبرانية والعوامل البيئية.

2

تقييم المخاطر

تقييم كل خطر وفق الاحتمال (Likelihood) × الضرر (Severity) = قيمة الخطر. وتحديد معايير القبول.

3

التحكم في المخاطر

تنفيذ إجراءات لتقليل الخطر: تغييرات في التصميم، وتحذيرات، وتدريبات، وتحديثات برمجية.

4

تقييم المخاطر المتبقية

إعادة التقييم بعد تنفيذ الضوابط. هل المخاطر المتبقية مقبولة؟

5

مراجعة إدارة المخاطر

مراجعة دورية لتحليل المخاطر وتحديثه (لا سيما بعد ظهور ثغرات CVE جديدة وأنماط هجوم جديدة وتغيرات السوق).

مخاطر الأمن السيبراني في تحليل ISO 14971

تختلف مخاطر الأمن السيبراني عن مخاطر السلامة التقليدية: فهي غير حتمية وتكيّفية وتتطور باستمرار. وتحدد MDCG ⁦2019-16⁩ كيفية دمجها في ISO 14971:

Risiko-KategorieBeispieleMitigation
● مخاطر المصادقةوصول غير مصرّح به عبر بيانات اعتماد مسروقة; هجمات القوة الغاشمة (Brute-Force) على كلمات المرور; اختطاف الجلسات وسرقة الرموزالمصادقة متعددة العوامل (MFA); سياسة كلمات مرور قوية وتحديد معدل المحاولات; إدارة آمنة للجلسات، انتهاء صلاحية JWT
● مخاطر السلامة (Integrity)التلاعب بمعاملات العلاج أو بيانات المرضى; العبث بالبرامج الثابتة أو الإعدادات; هجمات الوسيط (MITM)تشفير من طرف إلى طرف (TLS 1.2+); التوقيعات الرقمية وتوقيع الشيفرة; كشف التسلل وتنبيهات العبث
● مخاطر التوافر (DoS/DDoS)تعطّل الجهاز بسبب هجوم سيبراني; إرهاق البنية التحتية السحابية; توقف التشغيل بسبب برمجيات الفديةتحديد معدل الطلبات والحد من هجمات DDoS; آليات التكرار والتحويل عند الفشل; عمليات النسخ الاحتياطي والاستعادة
● مخاطر السريةسرقة بيانات المرضى أو معلومات العلاج; إفشاء الأسرار التجارية; انتهاكات DSGVOالتشفير أثناء التخزين وأثناء النقل; التحكم في الوصول وتقليل البيانات; الامتثال لـ DSGVO والخصوصية بالتصميم (Privacy by Design)
● مخاطر سلسلة التوريدبرمجيات خبيثة في مكوّنات المصادر المفتوحة; اعتماديات أو مورّدون مخترقون; عتاد مقلّدSBOM وتحليل مكوّنات البرمجيات (SCA); التقييم الأمني للمورّدين; توقيع الشيفرة والتحقق من السلامة

مراجعة المخاطر بعد التسويق والمراقبة المستمرة

يُلزم ISO 14971 بمراجعة منتظمة لتحليل المخاطر. وفي مرحلة ما بعد التسويق يجب رصد المحفزات التالية:

  • ثغرات CVE جديدة في المكوّنات المستخدمة
  • تغيّر مشهد التهديدات (تقنيات ATT&CK جديدة)
  • حالات شاذة في المراقبة/التسجيل
  • بلاغات العملاء أو شكاواهم
  • تحديثات الإرشادات التنظيمية (مثل إرشادات MDCG جديدة)
  • تغيّر بيئة التشغيل لدى العميل

تساعدكم VamiSec على مراقبة هذه المحفزات وتحديث تحليل المخاطر باستمرار – وهي عملية مترابطة مع CSIRT ومراقبة ما بعد التسويق.

VamiSec-Nachweise: سجل المخاطر، تقرير تحليل المخاطر (متوافق مع ISO 14971)، إجراءات التحكم في المخاطر، تقييم المخاطر المتبقية، سجل مراجعة المخاطر بعد التسويق

— الاستجابة للحوادث

CSIRT: المركز التشغيلي لإدارة الثغرات الأمنية والحوادث

اكتشاف مبكر، واستجابة سريعة، وامتثال تنظيمي – جاهزية على مدار الساعة طوال أيام الأسبوع.

فريق الاستجابة لحوادث أمن الحاسوب (CSIRT) ليس خيارًا – بل هو القلب التشغيلي لإدارة الأمن السيبراني المتوافقة مع MDR. ويشكّل CSIRT نقطة الوصل بين اكتشاف الثغرات وعمليات CVE وفرق المنتجات والجهات التنظيمية. ويجب عليكم إنشاء CSIRT أو العمل مع مقدّم خدمات CSIRT خارجي.

01

الاكتشاف المبكر للثغرات الأمنية وعمليات الاستغلال النشطة

يراقب CSIRT باستمرار قواعد بيانات CVE ‏(NVD وOSV وCISA KEV) والقوائم البريدية الأمنية وموجزات استخبارات التهديدات. والهدف اكتشاف الثغرات الجديدة في أبكر وقت ممكن – ويُفضَّل قبل استغلالها فعليًا.

  • أدوات مؤتمتة لمراقبة CVE (مثل Artifact Hub وAdvisories RSS)
  • مطابقة قائمة على SBOM مع ثغرات CVE الجديدة
  • تكامل استخبارات التهديدات (مثل Recorded Future وMandiant)
  • نظام تنبيه بأزمنة استجابة محددة في اتفاقيات مستوى الخدمة (SLA)
02

التصنيف وترتيب الأولويات وفق معايير المخاطر في CRA

ليست جميع ثغرات CVE بالدرجة ذاتها من الخطورة. ويقيّم CSIRT كل ثغرة محددة وفق: قابلية الاستغلال (ما مدى سهولة استغلال الثغرة؟)، والأثر (ما الضرر المحتمل؟)، والأنظمة المتأثرة (أيّ المنتجات متأثرة؟)، وتوفر التحديثات.

  • CVSS (Common Vulnerability Scoring System) كأساس
  • تقييم داخلي إضافي وفق الأثر على سلامة المرضى (خاص بـ CRA)
  • تحديد SLA: حرجة (24 ساعة)، عالية (48 ساعة)، متوسطة (أسبوع واحد)، منخفضة (شهر واحد)
03

تنسيق عمليات CVE (التكامل مع CVE Numbering Authority)

ينسّق CSIRT عندما تكتشفون ثغرات بأنفسكم أو عندما يتواصل معكم باحثون أمنيون خارجيون. ويجب عليكم طلب أرقام CVE (عبر CISA أو شركاء CNA)، وتوثيق الثغرات بشكل صحيح، ونشر التحديثات في الوقت المناسب.

  • استلام بلاغات الثغرات الأمنية والتحقق منها (الإفصاح المسؤول)
  • التصنيف والتوثيق
  • تطوير التحديثات واختبارها
  • طلب CVE لدى CVE Numbering Authority ‏(CISA)
  • إفصاح منسّق مع الباحثين الأمنيين (في حال البلاغ الخارجي)
  • نشر إشعار أمني عام
04

التواصل والمتابعة مع التطوير وفرق المنتجات والإدارة

يشكّل CSIRT نقطة الوصل بين استخبارات التهديدات والفرق التقنية. ويجب أن يكون قد استوعب الثغرات الأمنية وأن يتمكن من اتخاذ قرارات سريعة ومدروسة: تحديث الآن؟ حل بديل؟ إصدار جديد؟ سحب المنتج؟

  • إجراءات التصعيد للثغرات الحرجة/العالية
  • اجتماعات CSIRT يومية قصيرة خلال الحوادث
  • تتبّع المعالجة وتقارير الحالة للإدارة
  • إخطارات العملاء وإرشادات التحديث

حوكمة CSIRT والجاهزية

  • ميثاق CSIRT – تعريف رسمي للأدوار والمسؤوليات والصلاحيات
  • اتفاقيات SLA لأزمنة الاستجابة (حرجة، عالية، متوسطة، منخفضة)
  • مناوبات الاستدعاء وإجراءات التصعيد
  • تدريب منتظم وتمارين محاكاة على الطاولة (تدريبات الاستجابة للحوادث)
  • المقاييس ومؤشرات الأداء الرئيسية (متوسط وقت الاكتشاف، متوسط وقت الاستجابة، معدل نشر التحديثات)
  • تدقيق سنوي لـ CSIRT وتقييم للجاهزية

VamiSec-Nachweise: ميثاق CSIRT، إجراءات التشغيل القياسية للاستجابة للحوادث، سجل مراقبة CVE، تقارير تقييم الثغرات الأمنية، سجل إدارة التحديثات، نماذج الإشعارات للعملاء، سجلات التقديم إلى EUDAMED

— مراقبة ما بعد التسويق

مراقبة ما بعد التسويق (PMS) والإبلاغ في إطار اليقظة

مراقبة مستمرة، واستجابة سريعة، وشفافية تنظيمية – بعد الإصدار يبدأ العمل الحقيقي.

الجهاز الطبي ليس «منتهيًا» بعد الإصدار. ففي مرحلة ما بعد التسويق يجب عليكم الاستجابة باستمرار للمشكلات الأمنية وشكاوى العملاء وأنماط الهجوم الجديدة والتغيرات في مشهد التهديدات. وتُلزم لائحة MDR بعمليات رسمية لمراقبة ما بعد التسويق (PMS) وبالإبلاغ في إطار اليقظة إلى الجهات الرسمية عند وقوع حوادث جسيمة.

الإبلاغ في إطار اليقظة: من الحادث إلى البلاغ

اليقظة هي نظام الإبلاغ عن الأحداث المتعلقة بسلامة المرضى. وإذا أدى حادث أمن سيبراني إلى ضرر للمرضى أو كان من الممكن أن يؤدي إليه، فيجب إبلاغ الجهة الرسمية بذلك.

01

Detection

اكتشاف حادث أمن سيبراني عبر المراقبة أو بلاغات العملاء أو استخبارات التهديدات أو تنبيه من CSIRT.

02

Assessment

تقييم سريع: هل هو حادث جسيم؟ هل يوجد خطر على سلامة المرضى؟ يقيّم CSIRT وفرق الجودة والشؤون التنظيمية ذلك معًا.

03

Action

اتخاذ إجراءات فورية: تطوير التحديثات، وإخطار العملاء، وسحب المنتج عند الاقتضاء، والإبلاغ عن الحلول البديلة. وفي الحوادث الحرجة: الإخطار خلال 24–48 ساعة.

04

Reporting

في الحوادث الجسيمة: تقديم تقرير اليقظة إلى الجهة المختصة (في ألمانيا: BfArM)، والإدخال في EUDAMED، ونشر إشعار للعملاء.

05

التعلّم والوقاية

تحليل ما بعد الحادث: كيف أمكن حدوث ذلك؟ وما الذي كان سيمنعه؟ تحليل الأسباب الجذرية وتحسين العمليات والضوابط.

التكامل مع EUDAMED

تُعدّ European Database on Medical Devices ‏(EUDAMED) منذ عام 2022 منصة الإبلاغ عن جميع الحوادث في الاتحاد الأوروبي. وجميع التقارير المقدَّمة متاحة للاطلاع العام.

  • تسجيل رسمي بصفة شركة مصنِّعة/جهة مُخطَرة/موزّع
  • الإبلاغ عن الحوادث عبر بوابة EUDAMED (نموذج ويب أو API)
  • الموعد النهائي: يجب الإبلاغ عن الحوادث الجسيمة – عادةً خلال 30 يومًا
  • قابلة للبحث العام: يمكن للمرضى والأطباء والجمهور البحث عن الحوادث

تساعدكم VamiSec على تأسيس عمليات EUDAMED، وتوحيد تصنيف الحوادث، وتنفيذ التكامل التقني.

متوسط وقت الاكتشاف (MTTD)

كم يستغرق في المتوسط اكتشاف حادث أمن سيبراني؟ الهدف: أقل من أسبوع واحد للحوادث الحرجة.

متوسط وقت الاستجابة (MTTR)

كم يستغرق توفير تحديث أو حل بديل؟ الهدف: أقل من أسبوعين لثغرات CVE الحرجة.

معدل نشر التحديثات

ما النسبة المئوية من العملاء الذين نشروا التحديث خلال X أسابيع؟ الهدف: أكثر من 80% خلال شهر واحد.

الالتزام بمواعيد تقارير اليقظة

ما مدى الالتزام بالمواعيد في إبلاغ الجهات الرسمية بالحوادث الجسيمة؟ الامتثال: ≤ 30 يومًا.

معدل الإيجابيات الكاذبة (CSIRT)

كم عدد ثغرات CVE التي تُصنَّف «ذات صلة بمنتجنا» بينما هي ليست كذلك؟ الهدف: أقل من 10%.

VamiSec-Nachweise: خطة PMS، سجل اكتشاف الحوادث، تقارير تقييم المخاطر، سجل نشر التحديثات، التقديمات إلى EUDAMED، أرشيف إشعارات العملاء، نماذج تقارير اليقظة، تقارير تحليل ما بعد الحادث

— مسار التنفيذ

طريقكم نحو الامتثال لـ MDR: 4 خطوات نحو الجاهزية

الامتثال لـ MDCG ⁦2019-16⁩ وIEC 62304 ومعايير الأمن السيبراني عملية منظّمة. وترافقكم VamiSec عبر أربع مراحل محددة بوضوح، من تحليل وضعكم الحالي حتى الإعداد النهائي للتدقيق. وكل مرحلة قابلة للقياس وموثّقة.

1

الوضع الحالي والتحقق من الفجوات · 2–4 أسابيع

جرد شامل ومنظّم: ما وضعكم الحالي؟ ما العمليات القائمة بالفعل؟ أين توجد الفجوات؟

  • تقرير تحليل الفجوات (مفصّل ومرتّب حسب الأولوية)
  • خارطة طريق المعالجة (ماذا، ومن، ومتى، والاعتماديات)
  • ملخص تنفيذي للقيادة والشؤون التنظيمية
2

مواءمة العمليات واستكمالها · 4–8 أسابيع

تطوير العمليات الناقصة أو غير المكتملة ومواءمتها. مع التركيز على SSDLC وإدارة الثغرات الأمنية والتوثيق المتوافق تنظيميًا.

  • توثيق العمليات (إجراءات التشغيل القياسية وتعليمات العمل)
  • النماذج وقوائم المراجعة
  • خطة تكامل الأدوات
  • مواد التدريب والتسجيلات
3

التنفيذ التشغيلي وإنتاج أدلة الإثبات · 8–16 أسبوعًا

تنفيذ فعلي: تُرسَّخ العمليات تشغيليًا، وتُستخدم الأدوات فعليًا، وتُوثَّق الأنشطة الأمنية.

  • إجراءات تشغيل قياسية فعلية (مطبّقة ومُتَّبعة)
  • تقارير المراجعة الأمنية (للمشاريع التجريبية)
  • توثيق نموذج التهديدات
  • تقارير SAST/SCA/SBOM
  • لوحة المقاييس
4

الجاهزية للتدقيق والضبط النهائي · 2–4 أسابيع

الإعداد النهائي لعمليات التدقيق (الداخلية أو من الجهات الرسمية). تُجمَع الوثائق، ويُتحقق من الاتساق، وتُسد الفجوات المتبقية.

  • ملف التقديم التنظيمي (كامل وموحّد)
  • قائمة مراجعة الجاهزية للتدقيق (أخضر = جاهز)
  • تقرير التدقيق التجريبي وسجل المعالجة
  • الأسئلة الشائعة ومواد إحاطة المدققين
— منهجية VamiSec

منهجيتنا: سد فجوات الامتثال في الأمن السيبراني بشكل منهجي

التحليل → التصميم → التنفيذ → المرافقة – منهجية تكرارية مُجرَّبة.

تمتلك VamiSec خبرة سنوات طويلة في قيادة شركات التقنيات الطبية عبر رحلة الامتثال. ومنهجيتنا منظّمة وتكرارية وتسترشد بعمليات تطوير المنتجات الفعلية – لا بنماذج مثالية.

01

التحليل – ما الوضع القائم، وما الوضع المنشود؟

جرد شامل ومقارنة بين الوضع المنشود والوضع القائم.

  • 1a. مراجعة الوثائق: تحليل منهجي لوثائق نظام إدارة الجودة (QMS) القائمة وملفات التصميم وتقارير الاختبار ونماذج التهديدات (إن وُجدت) وتقييمات المخاطر.
  • 1b. مقابلات أصحاب المصلحة: محادثات مع أصحاب المصلحة الرئيسيين: قادة التطوير ومديري ضمان الجودة والشؤون التنظيمية وأمن تقنية المعلومات وإدارة المنتجات.
  • 1c. مطابقة المعايير: مقارنة تفصيلية مع MDCG ⁦2019-16⁩ (جميع الملاحق) وIEC 62304 وIEC ⁦81001-5-1⁩ وISO 14971 وIEC 62443 وSAE 21434.
  • 1d. ترتيب الفجوات حسب الأولوية: تصنيف الفجوات وفق المخاطر التنظيمية والأثر على الأعمال وجهد التنفيذ.
02

التصميم – كيف ينبغي أن يبدو؟

تحديد البنية المستهدفة للوثائق، وتعريف العمليات، واختيار الأدوات.

  • 2a. البنية المستهدفة للوثائق: التحديد: ما الوثائق/العمليات التي تحتاجونها؟ وأين موضعها (إجراء تشغيل قياسي، تعليمات عمل، خطة، دليل إثبات)؟
  • 2b. تصميم العمليات: تصميم مشترك مع فرقكم: نقاط تفتيش أمنية في SDLC، ومراجعة الشيفرة، وتكامل SAST/SCA، ونمذجة التهديدات، وإدارة المخاطر والتحديثات، وCSIRT، وPMS/اليقظة.
  • 2c. تقييم الأدوات واختيارها: تقييم أدوات SAST وSCA وSBOM وإدارة الأسرار وحلول إدارة الحوادث استنادًا إلى متطلباتكم.
  • 2d. بنية التكامل: تصميم طريقة تكامل الأدوات في مسار CI/CD لديكم، وتحديد بوابات الجودة.
  • 2e. المقاييس ومؤشرات الأداء الرئيسية: تحديد MTTD وMTTR ومعدل نشر التحديثات وتغطية الشيفرة وكثافة الثغرات ولوحة حالة الامتثال.
03

التنفيذ – كيف يصبح ملموسًا؟

تنفيذ فعلي: تُكتب إجراءات التشغيل القياسية، وتُهيّأ الأدوات، وتُدرَّب الفرق.

  • 3a. إعداد إجراءات التشغيل القياسية والتوثيق: كتابة إجراءات التشغيل القياسية النهائية وتعليمات العمل وقوائم المراجعة (مثل SDLC Security SOP وThreat Modeling SOP وميثاق CSIRT).
  • 3b. إعداد الأدوات: تهيئة عملية للأدوات المختارة: إعداد SAST/SCA، وتوليد SBOM ‏(CycloneDX)، والتكامل في مسارات CI/CD.
  • 3c. التدريب والتمكين: تدريب الفرق: المطورون (البرمجة الآمنة)، وأبطال الأمن (نمذجة التهديدات)، وضمان الجودة (الاختبار الأمني)، والشؤون التنظيمية.
  • 3d. المشاريع التجريبية: تطبيق العمليات الجديدة على منتج أو منتجين حقيقيين كتجربة، وتوثيق الدروس المستفادة، وتكييف العمليات.
  • 3e. إنتاج أدلة الإثبات: تنفيذ نمذجة التهديدات وSAST/SCA/SBOM وتحديثات تقييم المخاطر وتوثيق المراجعة الأمنية.
  • 3f. الإطلاق والدعم: طرح إنتاجي بدعم من VamiSec في الموقع أو عن بُعد: استكشاف الأعطال وإصلاحها، وإرشادات أفضل الممارسات، وحل المشكلات.
04

المرافقة والتطوير المستمر

بعد الإطلاق: الدعم والمراقبة والتكيّف مع اللوائح والتهديدات الجديدة.

  • 4a. الإعداد للتدقيق وتنفيذه: إعداد مواد التدقيق، والمرافقة في المقابلات، والإجابة عن أسئلة المدققين، ومعالجة النتائج.
  • 4b. متابعة الإرشادات التنظيمية: متابعة إرشادات MDCG الجديدة وFDA Guidance وCISA Advisories وتحديثات MITRE ATT&CK وتقييم مدى صلتها.
  • 4c. تكامل استخبارات التهديدات: مراقبة مستمرة لثغرات CVE وعمليات الاستغلال وأنماط الهجوم الجديدة، مدمجة في عملية CSIRT لديكم.
  • 4d. مراقبة المقاييس وتحسينها: مراجعة منتظمة لـ MTTD وMTTR ومعدل نشر التحديثات وحالة الامتثال، وتحديد نقاط الاختناق.
  • 4e. الدعم التنظيمي ودعم التقديم: الدعم في التقديمات التنظيمية (التسجيل وفق MDR، وعمليات تدقيق الجهات المُخطَرة، وFDA 510(k)).
  • 4f. المراجعات الفصلية ورسم خارطة الطريق: مراجعات فصلية على الأقل مع قيادتكم: حالة الامتثال، والمخاطر الناشئة، واحتياجات الموارد، وخارطة الطريق.

تكوين فريق VamiSec

يقود برنامجكم فريق متعدد التخصصات:

  • قائد البرنامج: لائحة الأجهزة الطبية، استراتيجية الأمن السيبراني، CRA/MDR، ISO 27001
  • متخصص Secure SDLC: IEC 62304، SSDLC، مراجعة الشيفرة، DevSecOps، التكامل مع CI/CD
  • خبير نمذجة التهديدات والمخاطر: STRIDE، أشجار الهجوم، سلاسل الهجوم، MITRE ATT&CK، ISO 14971، تقييم المخاطر
  • متخصص هندسة الأمن: IEC 62443، SAE 21434، التشفير، أمن الشبكات، الدفاع متعدد الطبقات
  • متخصص CSIRT والاستجابة للحوادث: إدارة CVE، الاستجابة للثغرات الأمنية، إنشاء CSIRT، مراقبة ما بعد التسويق
  • مهندس الأدوات والأتمتة: أدوات SAST/SCA/SBOM، التكامل في مسارات CI/CD، الأتمتة
— المتطلبات المعيارية

المعايير ذات الصلة والمتطلبات التنظيمية

الأمن السيبراني للأجهزة الطبية مدمج في شبكة معقدة من المعايير والتوجيهات. وكل معيار مسؤول عن جانب محدد: تنظّم MDR الرقابة على السوق، وتفصّل MDCG ⁦2019-16⁩ المتطلبات الأمنية، وتحدد معايير IEC التنفيذ التقني، وينظّم ISO 14971 إدارة المخاطر.

لائحة الأجهزة الطبية الأوروبية (MDR 2017/745)

لائحة أوروبية لجميع الأجهزة الطبية. تحدد المتطلبات المفروضة على الشركات المصنِّعة، ونظام إدارة الجودة، والتقييم السريري، ومراقبة ما بعد التسويق، والإبلاغ في إطار اليقظة، وEUDAMED.

يشترط الملحق I «أمنًا سيبرانيًا وفق أحدث ما توصلت إليه التقنية» (State-of-the-art cybersecurity) (تفصّله MDCG ⁦2019-16⁩). وإدارة مخاطر الأمن السيبراني جزء لا يتجزأ من نظام إدارة الجودة.

MDCG ⁦2019-16⁩: إرشادات الأمن السيبراني

إرشادات أوروبية رسمية صادرة عن Medical Device Coordination Group. تفصّل متطلبات MDR المتعلقة بالأمن السيبراني.

مراحل دورة الحياة، والقدرات الأمنية، ومتطلبات بيئة التشغيل، والدفاع متعدد الطبقات، ونمذجة التهديدات، ومراقبة ما بعد التسويق، واليقظة، والإحالة إلى معايير IEC (62304 و81001-5-1 و62443 وغيرها).

IEC 62304: دورة حياة برمجيات الأجهزة الطبية

معيار دولي لدورة حياة البرمجيات في الأجهزة الطبية. يحدد الأنشطة في كل مرحلة: التخطيط، والتصميم، والتنفيذ، والاختبار، والإصدار، والصيانة.

تحيل MDCG ⁦2019-16⁩ إلى IEC 62304 بشأن متطلبات SDLC. ويجب دمج الأمن السيبراني في كل مرحلة.

IEC ⁦81001-5-1⁩: أمن الشبكات

معيار دولي لأمن الشبكات والاتصالات في الأجهزة الطبية المتصلة (أجهزة IoT والأنظمة السحابية).

المصادقة، والتشفير، والسلامة، والتحكم في الوصول، والتسجيل، وإدارة التحديثات، وتجزئة الشبكة.

IEC 62443: أمن أنظمة الأتمتة والتحكم الصناعية

معيار دولي للأمن السيبراني في الأنظمة الحرجة (السيارات والطاقة والأتمتة). يُطبَّق كثيرًا على الأجهزة الطبية ذات متطلبات الأمن العالية.

نموذج نضج من 4 مستويات: من المستوى 1 (أساسي) حتى المستوى 4 (متقدم). وتحدد مستويات القدرة الأمنية (SCL) الإجراءات التقنية المطلوبة.

SAE J3061 / ISO 21434: هندسة أمن المنتجات

معيار لهندسة أمن المنتجات، نشأ في الأصل في صناعة السيارات. ويُطبَّق بشكل متزايد على الأجهزة الطبية.

نهج قائم على المخاطر: نمذجة التهديدات، وتقييم الثغرات الأمنية، والتصميم الآمن، والتطوير الآمن، والاختبار الأمني، والمراقبة بعد الإطلاق.

ISO 14971: إدارة المخاطر

معيار دولي لإدارة المخاطر في الأجهزة الطبية. مُلزِم بموجب MDR.

يشترط MDCG ⁦2019-16⁩ دمج مخاطر الأمن السيبراني في سجل المخاطر وفق ISO 14971. لا توجد عملية منفصلة لإدارة مخاطر الأمن السيبراني – فكل شيء تحليل مخاطر واحد.

قانون المرونة السيبرانية الأوروبي (EU Cyber Resilience Act – CRA)

لائحة أوروبية للأمن السيبراني للمنتجات والخدمات الرقمية. مكمِّلة لـ MDR؛ يدخل حيز التنفيذ في 2025/2026.

يوسّع متطلبات الأمن السيبراني إلى ما يتجاوز السلامة وحدها: يجب أيضًا حماية السلامة التكاملية (Integrity) والتوافر (Availability).

DSGVO وحماية البيانات

اللائحة العامة الأوروبية لحماية البيانات. تنظّم التعامل مع بيانات المرضى.

يجب أن تمتثل الأجهزة الطبية التي تجمع بيانات المرضى أو تخزّنها أو تعالجها لـ DSGVO: الخصوصية بالتصميم (Privacy by Design)، وتقليل البيانات، والتشفير، والاحتفاظ بالبيانات، والإبلاغ عن الاختراقات.

— قيمتنا المضافة

لماذا VamiSec شريككم في الأمن السيبراني للأجهزة الطبية؟

خبرة تنظيمية + عمق تقني + تميّز تشغيلي

VamiSec ليست مجرد شركة استشارات أمنية – نحن متخصصون في التقنية الطبية والحوكمة والمخاطر والامتثال (GRC) ولدينا سنوات من الخبرة العملية في MDR والامتثال لـ MDCG ودورة حياة التطوير الآمن (Secure SDLC). نجمع بين خبرة تنظيمية عميقة وخبرة تقنية في الأمن وبراغماتية تشغيلية.

خبرة عميقة في الأمن السيبراني للأجهزة الطبية

  • MDCG ⁦2019-16⁩، MDR، IEC 62304، IEC ⁦81001-5-1⁩، IEC 62443، SAE 21434 – نعرف جميع المعايير بالتفصيل
  • مرافقة شركات التقنية الطبية خلال الامتثال لـ MDR وتطبيق MDCG
  • متابعة منتظمة لتحديثات MDCG وتغييرات إرشادات FDA والمؤتمرات الأمنية الدولية
  • مستشارون حاصلون على شهادات: ISO 27001 LA، CRA Consultant، BSI IT-Grundschutz، كفاءة BSIG §8a

تستفيدون من الدروس المستفادة من تطبيقات عديدة – دون أن تضطروا لسلوك الطرق الملتوية بأنفسكم.

براغماتيون وموجَّهون نحو التنفيذ

  • لسنا دوغمائيين. ندرك أنه لا توجد شركة تقنية طبية تشبه الأخرى.
  • نكيّف أفضل الممارسات مع وضعكم الخاص: الحجم، وتعقيد المنتج، ووضع السوق، والعمليات القائمة.
  • نهج رشيق ومرن (Lean & Agile): مكاسب سريعة (Quick Wins) بالتوازي مع تحولات أكبر.
  • التركيز على تنفيذ تشغيلي مستدام – لا على توصيات استشارية يعلوها الغبار على الرفوف.

امتثال يعمل ومدمج في أعمالكم اليومية – لا بيروقراطية إضافية.

نطاق كامل للحوكمة والمخاطر والامتثال (GRC)

  • ليس الأمن السيبراني فقط: نغطي إدارة الجودة (ISO 13485)، وإدارة المخاطر (ISO 14971)، والشؤون التنظيمية (MDR، FDA)، والاستجابة للحوادث.
  • خدمات vCISO: مرافقة طويلة الأمد، لا مجرد ارتباطات قائمة على المشاريع.
  • الخدمات المُدارة: CSIRT على مدار الساعة 24/7، ومراقبة الثغرات الأمنية، ودعم مراقبة ما بعد التسويق.
  • التدريب: دورات مصمّمة خصيصًا للمطورين وفرق ضمان الجودة ومديري المنتجات والقيادة التنفيذية.

نقطة اتصال واحدة، وتفكير متكامل في الأمن والامتثال والمخاطر – لا معرفة مجزّأة.

مستقلون تقنيًا ومحايدون تجاه المورّدين

  • لسنا مرتبطين بأدوات أو أطر عمل أو مورّدين.
  • تقييم موضوعي: مقارنات أدوات SAST مبنية على متطلباتكم، لا على شراكات مع المورّدين.
  • تُؤخذ الحلول مفتوحة المصدر في الاعتبار بالقدر نفسه كالحلول التجارية.
  • مقاوِمة للمستقبل: نصائحنا لا تعتمد على تغيير المورّدين.

استشارات مبنية على احتياجاتكم، لا على هياكل العمولات.

تحديات شائعة نحلّها

«لم يكن لدينا نموذج تهديدات. كيف لنا أن نعرف ما الذي يجب علينا حمايته؟»

تُدخل VamiSec نمذجة تهديدات منظّمة قائمة على DFD وSTRIDE وأشجار الهجوم. بعد 4–6 أسابيع: نموذج تهديدات شامل وموثّق لكل منتج.

«يستخدم فريق التطوير لدينا مكونات مفتوحة المصدر – لكن ليست لدينا أي فكرة عن الثغرات الأمنية الكامنة فيها.»

توليد SBOM + دمج أداة SCA في CI/CD. خلال أسبوعين: جرد كامل لجميع الاعتماديات مع فحوصات CVE وإدارة تصحيحات راسخة.

«واجهنا ثغرة CVE حرجة، لكننا لم نعرف إن كان منتجنا متأثرًا – وحتى لو كان كذلك، لم تكن لدينا عملية للتصحيح.»

إعداد CSIRT + إجراء تشغيل قياسي (SOP) لإدارة الثغرات الأمنية. الآن: اكتشاف CVE خلال أقل من 24 ساعة من النشر، والتقييم خلال أقل من 48 ساعة، وقرار التصحيح خلال أقل من 72 ساعة.

«يتألف MDCG ⁦2019-16⁩ من 56 صفحة. كيف لنا أن ندمجه في نظام إدارة الجودة (QMS) القائم لدينا؟»

تربط VamiSec متطلبات MDCG بنسبة 1:1 بعملياتكم القائمة أو تقترح إضافات. لا بيروقراطية إضافية – كل شيء مدمج في SDLC/QMS.

الأسئلة الشائعة

عادةً 4–6 أشهر لتطبيق كامل، حسب تعقيد المنتج ومستوى النضج القائم. وغالبًا ما تظهر المكاسب السريعة بعد 4–6 أسابيع.
يعتمد ذلك على نقطة انطلاقكم ومحفظة منتجاتكم. تنفق شركة التقنية الطبية المتوسطة نحو 0.5–2% من إيراداتها على الامتثال في الأمن السيبراني. إنه استثمار إلزامي – ويوفّر التكاليف عند تجنّب الحوادث الأمنية.
يعتمد ذلك على مدى حرجية منتجكم وحجم السوق. يمكن للفرق الصغيرة البدء بـ CSIRT بدوام جزئي أو بخدمة مُدارة خارجية. نساعدكم على تحديد الهيكل المناسب.
كلا الخيارين ممكن. يسرّع الشركاء الخارجيون (مثل VamiSec) التطبيق ويقلّلون المخاطر ويضيفون أفضل الممارسات. التنفيذ الداخلي ممكن، لكنه يتطلب وقتًا أطول وبناءً للخبرات.
يجب توثيق المنتجات القائمة بأثر رجعي: نماذج التهديدات، وتقييمات المخاطر، وSBOM. هذا مُجهِد لكنه ممكن. أما المنتجات الجديدة فينبغي أن تتبع العملية الجديدة منذ اليوم الأول.

ابدأوا مسيرتكم نحو الامتثال لـ MDR – اليوم

الأمن السيبراني للأجهزة الطبية ليس مشروعًا منفردًا – بل عملية مستمرة. VamiSec شريككم لسلوك هذا الطريق بشكل مستدام وناجح.

اطلبوا تقييمًا