Praktijkgids voor medische systemen

Transcriptie

1 Praktijkgids voor medische systemen Hoe borgen we de levenscyclus van medische ICT? Dagmar Rosenbrand, Klinisch Informaticus LUMC Werkgroep Medische Software; Initiatief Koepel Medische Technologie VZI najaarscongres; 1 december 2016

2 Werkgroep Vereniging Voorzitter NVKF VZI Wibaz BMTZ NVKFM NVKI Lid Henk Imming Vera Lagerburg Egon Scheepers Wilco Schillemans Jannis Syntychakis Joost Ansems Koos van Ringelenstein Leo Groenendaal Dagmar Rosenbrand Dave Wauben Thierry Felkers 2

3 3

4 Vertrouwelijkheid Integriteit Beschikbaarheid 4

5 Vraagstelling Welke software valt onder de Wet Medische Hulpmiddelen en dus ook onder het Convenant MedischeTechnologie? Welke regelgeving, normen, etc. zijn van toepassing? Welke acties zouden per fase genomen moeten worden om veilig gebruik van medische software te waarborgen? Hoe zit dat voor samengestelde medische systemen? Bijv. componenten in keten niet medisch 5

6 Doelstelling Handvatten voor het veilig gebruik medische systemen in zorginstellingen Praktijkgids Medische Systemen: digitaal en hardcopy 6

7 Scope Categorieën Medische apparatuur met embedded software Medische software Zelfbouw medische software Medische systemen 7

8 Definitie Medisch Systeem Medische apparatuur gekoppeld met het IT netwerk en informatiesystemen Een systeem bestaat uit meerdere componenten die functioneel gekoppeld zijn 8

9 Aanpak Opzet Levenscyclus medische hulpmiddelen Wet- en regelgeving: o.a. Convenant MedischeTechnologie, NEN7510, ISO 27001, ISO 27002, IEC 80001, Wet en Richtlijn Medische Hulpmiddelen, NEN-EN-ISO Enquête Verspreid onder leden verenigingen Koepel Medische Technologie Voorbeelden vanuit praktijk verzamelen 9

10 Levenscyclus Risico analyse Taken, Bevoegdheden, Verantwoordelijkheden (TBV) Beleid Fase 1: Aanschaf Fase 2: Ingebruikname Fase 3: Gebruik Fase 4: Afvoer Pakket van Eisen Cyber security ICT infrastructuur ontwerp Inrichting systeem OTAP Vrijgave procedure BIV Inrichting beheer Wijzigings beheer Vrijgave procedure Meldplicht datalek Data verwijderen 10

11 Levenscyclus (2) Zelfbouw software: Fase Ontwikkeling 11

12 Enquête 1. Hoe zijn in jouw instelling de verantwoordelijkheden van en de samenwerking tussen de (gebruikers)afdeling, ICT-organisatie en de Afdeling Medische Technologie geregeld met betrekking tot medische software/ systemen? 2. Kun je voorbeelden geven van successen en/of knelpunten behorend bij vraag 1? 3. Hoe wordt binnen jouw instelling omgegaan met software-updates en upgrades van medische software/ systemen op initiatief van de fabrikant? 4. Wordt er binnen jouw afdeling gebruik gemaakt van risicomanagement bij selectie, aanschaf en ingebruikname? 5. Wordt er binnen jouw instelling gebruik gemaakt van software ten behoeve van diagnostiek en/of behandeling van patiënten die door (medewerkers van) de instelling zelf is ontwikkeld? 6. Wat is de functie van deze software? (b.v. dosisberekening, patiëntbewaking, dataopslag en analyse) Worden daarbij bepaalde methodieken, systemen, normen e.d. gehanteerd voor: Analyse en specificatie Ontwerp en review Test en vrijgave Zo ja, welke? 12

13 Enquête quotes Niettemin is er inmiddels besef om met name bij de aanschaf meer projectmatig te werken, met meerdere stakeholders af te stemmen en waar van toepassing een PRI uit te voeren. Stand alone medische software (dus niet direct gekoppeld aan medische apparatuur) is in ons ziekenhuis niet aanwezig, met uitzondering van het EPD Degelijke aanpak (of onderbezetting?) leidt tot een langer aanschaftraject. Niet alle systemen kennen een test en acceptatie omgeving. indien release notes interessant genoeg zijn Risicomanagement: Voor software die niet in combinatie met apparatuur wordt aangeschaft is dit echter nog vrijwel nooit het geval. 13 Voordat software uit de wetenschap het "klinische domein" binnen gaat wordt op onze afdeling met de klinische fysica gekeken wat er nodig is om de software verantwoord in te kunnen zetten.

14 Praktijkgids Opzet: levenscyclus Ontwikkeling Aanschaf Ingebruikname Gebruik Afvoer 4 praktijkvoorbeelden (A,B,C,D) Topics 14

15 De 4 praktijkvoorbeelden A: Software behorend op/bij een medisch apparaat B: Software (standalone) C: Medisch Systeem D: Zelfbouw software 15

16 Praktijkvoorbeeld A: Fiets ergometer 16

17 Praktijkvoorbeeld B: Software ECG analyse (bijv. MUSE) ECG data management systeem Metingen/analyses uitvoeren op ECG s Beoordeling van ECG s 17 Bron: management/muse_v9

18 Praktijkvoorbeeld C: Medisch Oproep Systeem 18 Met dank aan Carola van Pul

19 Praktijkvoorbeeld D: Software dosisberekening TBI behandelingen TBI: Total Body Irradiation bij o.a. leukemie- en lymfoonpatiënten Radiotherapie Dosis mogelijk > LD50, hele lichaam dus afwijkende geometrie t.o.v. standaard bestralingen Berekening op basis van doorsnede patiënt en afstand tot de bron Zelfbouw 19 Bron: Radiation Oncology Physics: A handbook for teachers and students, E.B. Podgorsak, an IAEA Publication

20 Taken, Bevoegdheden, Verantwoordelijkheden (TBV) Vastleggen wie voor wat verantwoordelijk is Zowel voor algemene stappen in de levenscyclus medische technologie Als in samengestelde systemen: voor onderverdeling van het beheer 20

21 Taken, Bevoegdheden, Verantwoordelijkheden (TBV) Algemeen: VERI, RACI, Bijv. Wie is verantwoordelijk voor het opstellen van een PvE of het vrijgeven van software + wie moet daarbij betrokken worden 21

22 Praktijkvoorbeeld A: Fiets ergometer 22

23 23 Uitwerking TBV voor toepassing A Zorgafdeling Medische Techniek ICT Leverancier Ergometrie fiets/loopband Koppeling (RS- 232) Eigenaar Eigenaar Beheer 1e lijn Beheer 1e lijn Beheer 2e lijn Beheer 2e lijn Standaard ziekenhuis PC incl Software OS voor aansturing Software voor fiets/loopband aansturing Gevalideerde fiets/loopband software Gevalideerde voor virusbescherming software voor op virusbescherming de PC op de PC Eigenaar Beheer 1e lijn Eigenaar Beheer 1e lijn Beheer 2e lijn Eigenaar Beheer 1e lijn Beheer 2e lijn

24 Cybersecurity O.a.: Dataveiligheid Wachtwoorden Remote toegang Beveiliging data in de cloud Bescherming tegen virusverspreiding Via netwerk Via USB sticks, etc. Bescherming tegen hacken 24 RTL Nieuws 29 november 2016

25 Change management Impact van wijzigingen Software op medisch apparaat: functioneren apparaat, functioneren koppelingen met informatiesystemen Software gekoppeld met apparatuur: functioneren koppelingen met medische apparatuur, verandering voor gebruikers Operating systemen, browsers, etc.: functioneren software Hardware netwerk: functioneren medische systemen 25

26 Change management Tipje van de sluier: Opvragen en beoordelen van release notes software Goedkeuring nodig vóórdat wijzingen worden uitgevoerd Grip krijgen op remote toegang Beoordelen of training nodig is Testen van wijzigingen (OTAP omgeving) Registreren van wijzigingen 26

27 Levenscyclus Risico analyse Taken, Bevoegdheden, Verantwoordelijkheden (TBV) Beleid Fase 1: Aanschaf Fase 2: Ingebruikname Fase 3: Gebruik Fase 4: Afvoer Pakket van Eisen Cyber security ICT infrastructuur ontwerp Inrichting systeem OTAP Vrijgave procedure BIV Inrichting beheer Wijziging sbeheer Vrijgave procedure Meldplicht datalek Data verwijderen 27

28 Samenvatting Praktijkgids: handvat/tool Fase van levenscyclus Topic Relevante wet- en regelgeving Beschrijvingen Kader met voorbeelduitwerkingen voor de 4 praktijkvoorbeelden (A,B,C,D) 28

29 Planning Maart 2017 concept naar leden Publicatie praktijkgids voor zomer

30 Praktijkgids voor medische systemen Extra topics, Tips, Opmerkingen, Vragen,? Dagmar Rosenbrand,