Kalp cihazlarında siber güvenlik: ihlal ile güvenlik açığını ayırmak

Tips for Clinicians - Keeping Your Patients’ Connected Medical Devices Safe

U.S. Food and Drug Administration · 2022-10-07 · Kaynak

FDA’nın 2022 tarihli İngilizce eğitim videosu, klinisyenlerin bağlantılı cihazların siber güvenliğini hastalarıyla nasıl konuşabileceğini ele alıyor. 2026 Medtronic olayının haberi veya soruşturma sonucu değildir.

Olay: Nisan 2026’da kurumsal sistemlere erişim

Medtronic, Nisan 2026’da bazı kurumsal BT sistemlerindeki verilere yetkisiz erişimi 24 Nisan’da açıkladı. 29 Haziran güncellemesinde, bilgileri etkilenmiş olabilecek kişilere bildirim başlatıldığını; ürün güvenliği, hasta güvenliği ve üretim/dağıtım üzerinde etki belirlenmediğini bildirdi. Kurum, olayı sınırladığını ve dış uzmanlarla çalıştığını açıkladı. Bu açıklamalar kurumun beyanıdır. Kesin olay günü, giriş yöntemi, saldırgan kimliği ve etkilenen kişi sayısı kaynakta belirtilmiyor; bilinmiyor olarak bırakıyoruz.

Ayrı bülten: evde kullanılan monitördeki açıklar

24 Temmuz 2025’te yayımlanan MyCareLink bülteni, 24950 ve 24952 numaralı haricî hasta monitörlerini kapsıyor. Üretici, 7 Mayıs 2026’da son güvenlik güncellemelerinin yayımlandığını ve bu bültenin kurumsal erişim olayıyla ilişkili olmadığını özellikle belirtti. Kötü amaçlı kullanım gözlemlemediğini bildirdi. Açığın konusu, kalbe yerleştirilen implantla aynı şey olmayan izleme ünitesidir; bunu gerçekleşmiş bir kalp pili saldırısı diye sunmak doğru olmaz.

Teknik neden: fiziksel erişim ve veri koruması

CISA’nın Update A kaydı, erişim denetimi ve hassas verilerin korunmasıyla ilgili zayıflıkları açıklıyor. Örneğin CVE-2025-4386 fiziksel erişim kontrolüyle, CVE-2025-4394 şifrelenmemiş veri saklamayla ilişkili. CISA, bu açıkların uzaktan istismar edilemediğini ve kendisine kamuya açık bilinen istismar bildirilmediğini belirtiyor. Bu değerlendirme, kurumsal ihlalin giriş yolunu açıklamaz. CISA kaydı cihaz açığını çapraz doğrular; kurum olayına ilişkin bağımsız adli inceleme değildir.

Klinik iletişim: etkilenen ürünü doğru tarif etmek

FDA, üreticilerin cihaz risklerini izlemesi ve sağlık kuruluşlarının kendi ağlarını koruması gerektiğini vurguluyor. Klinisyenlere yönelik resmî videosu, bağlantılı cihaz güvenliğinin hastalarla konuşulmasına odaklanıyor. Bu genel kaynak, belirli bir cihazın risksiz olduğuna dair onay değildir. Bir bildirim okunurken cihaz modeli, yazılım sürümü, etkilenen işlev ve resmî güncelleme açıklaması birlikte değerlendirilmelidir. Bu yazı cihaz ayarı veya tedavi değişikliği önermiyor.

Editoryal değerlendirme: kurumlar için ayrı takip kayıtları

Savunma açısından önerimiz, kurumsal olay kaydını ve cihaz açığı kaydını ayrı tutmaktır. İlkinde olay zamanı, veri etkisi ve hizmet kesintisi; ikincisinde model, sürüm, üretici bildirimi ve yetkili ekibin güncelleme doğrulaması bulunmalıdır. “Bilinmiyor”, “üretici bildirdi” ve “bağımsız olarak doğrulandı” etiketleri aynı anlama gelmez. Biyomedikal mühendislik, klinik ekip ve bilgi güvenliği ortak bir sorumlu belirleyerek açık konuları izleyebilir. Bu, editoryal bir yönetim çerçevesidir; klinik protokol, düzenleyici uygunluk belgesi veya RAI ürünlerinin güvenlik etkinliğine ilişkin kanıt değildir.