Производителите на медицински устройства са прекарали години в укрепване на хардуера в пейсмейкърите, инсулиновите помпи и системите за образна диагностика срещу кибератаки. Но нарастващ обем от репортажи подсказва, че този усилия се подкопава от много по-проста слабост: софтуерните доставчици на трети страни, които поддържат тези устройства работещи, актуализирани и свързани с болничните мрежи.
Скорошен доклад на Yesil Science посочва това направо. Производителите на медицински устройства защитават хардуера си, но оставят своите софтуерни доставчици на трети страни напълно отворени за изнудване. С други думи, входната врата към медицинската технология на болницата може да е залостена, но задната врата, управлявана от външен доставчик с по-слаби практики за сигурност, често остава отключена.
Защо сигурността на софтуера на трети страни в medtech се превърна в слабото звено
Съвременните медицински устройства рядко работят като самостоятелни машини. Те се свързват с облачни табла за управление, платформи за дистанционно наблюдение, системи за фактуриране и софтуер за поддръжка, доставяни от външни компании. Всяка от тези интеграции е потенциална входна точка в здравна мрежа. Когато производител на устройства инвестира в криптиране, процеси за сигурно зареждане и строги тестове, съобразени с FDA, за физическото устройство, тази инвестиция не се разпростира автоматично върху софтуерните доставчици, включени към него.
Това е основният проблем зад опасенията за сигурността на софтуера на трети страни в medtech: болница или производител може да има отлични вътрешни контроли и все още да бъде изложен, ако порталът за вход, механизмът за актуализация или облачното хранилище на даден доставчик са слабо защитени. Атакуващите разбират тази динамика. Вместо да се опитват директно да пробият сложните хардуерни защити, често е по-лесно да компрометират по-малък софтуерен доставчик, който има широк достъп до пациентски данни или контрол върху устройства, и след това да използват този достъп, за да се придвижат странично в по-голямата мрежа.
Изнудването е конкретният риск, подчертан в доклада, и той се вписва в модел, наблюдаван в други индустрии. След като атакуващите получат достъп чрез системите на даден доставчик, те могат да откраднат чувствителни данни, включително пациентски записи, свързани с конкретни устройства, и след това да поискат плащане, за да предотвратят публикуването им или да възстановят достъпа до нарушени системи. В здравеопазването залозите са по-високи, отколкото в повечето сектори, защото нарушението на достъпа може да засегне наблюдението и грижата за пациентите, а не само финансовите операции.
Сляпото петно на доставчиците в медицинските вериги за доставки
Киберсигурностният разговор в medtech индустрията исторически се е съсредоточавал върху самото устройство: Може ли някой да хакне дефибрилатор или да препрограмира инсулинова помпа? Тези сценарии са реални, но те не са най-честата входна точка, която атакуващите всъщност използват. Свързана статия от Yesil Science за уязвимата задна врата на медицинските вериги за доставки описва как страничният достъп през партньори във веригата за доставки вече е дал на атакуващите вход в облачни системи и вътрешни пациентски бази данни, измествайки реалната цел от устройството към данните около него.
Това отразява по-широка тенденция в секторите, където доставчиците на трети страни, а не основната организация, се превръщат в точката на провал. Конгресният контрол върху пробива ShinyHunters Canvas, например, показа как една единствена компрометирана връзка с доставчик може да ескалира до федерален въпрос за отчетност, след като студентски или пациентски данни бъдат изложени в голям мащаб, както е описано в отразяването на конгресните последици от пробива Canvas. Паралелът за здравеопазването е ясен: регулаторите и законодателите все повече са готови да търсят отговорност от цели индустрии, когато надзорът върху доставчиците се провали, а не само от самия доставчик.
Какво означава това за вас
Ако разчитате на свързано медицинско устройство, било то като пациент, болногледач или доставчик на здравни услуги, този риск от доставчик е до голяма степен невидим за вас. Не можете да одитирате веригата за доставки на софтуер на производител на устройства, а самите производители може да не имат пълна видимост върху сигурността на всеки доставчик. Това, което можете да направите, е да останете информирани за това как се съхраняват и споделят вашите данни, да попитате вашия доставчик на здравни услуги дали пациентските портали и платформите за устройства преминават редовни оценки за сигурност от трети страни, и да обръщате внимание на уведомленията за пробиви, свързани с всяка медицинска технология, която използвате. Опитите за изнудване срещу доставчици често излизат публично, след като данните бъдат заплашени с публикуване, така че уведомленията от вашия доставчик или производител на устройства не трябва да бъдат пренебрегвани.
За здравните организации и производителите на устройства изводът е по-директен: сигурността на хардуера е необходима, но не е достатъчна. Управлението на риска от доставчици, включително договорни изисквания за сигурност, редовни одити и координация на реакцията при инциденти с трети страни, се нуждае от същото ниво на инвестиция като защитите на ниво устройство.
Затваряне на задната врата
Постиженията в сигурността на хардуера в medtech индустрията са реални, но те не затварят пропастта, която софтуерните доставчици на трети страни оставят отворена. Тъй като атакуващите все повече предпочитат пътя на най-малкото съпротивление, сигурността на софтуера на трети страни в medtech вероятно ще се превърне в по-голям фокус както за регулаторите, така и за болниците и производителите.
Пациентите и доставчиците на здравни услуги могат да подпомогнат този напредък, като задават директни въпроси за надзора върху доставчиците и като третират всяко уведомление за пробив, свързано с медицинска технология, като заслужаващо внимателно прочитане, вместо да го отхвърлят като рутинна документация. Оставането информиран остава най-простият наличен инструмент, докато индустрията работи за затварянето на задната си врата.
FAQ: Q1: Какво подкопава усилията на производителите на медицински устройства да защитят хардуера си? A1: Много по-проста слабост са софтуерните доставчици на трети страни, които поддържат устройствата работещи, актуализирани и свързани с болничните мрежи. Производителите на медицински устройства защитават хардуера си, но оставят тези доставчици напълно отворени за изнудване. Q2: Защо сигурността на софтуера на трети страни в medtech се превърна в слабото звено? A2: Съвременните медицински устройства се свързват с облачни табла за управление, платформи за дистанционно наблюдение, системи за фактуриране и софтуер за поддръжка, доставяни от външни компании. Всяка от тези интеграции е потенциална входна точка в здравна мрежа. Q3: Как атакуващите често влизат в здравните мрежи, вместо да пробиват хардуерните защити? A3: Те често компрометират по-малък софтуерен доставчик, който има широк достъп до пациентски данни или контрол върху устройства, и след това използват този достъп, за да се придвижат странично в по-голямата мрежа. Атакуващите разбират, че това може да е по-лесно от опитите директно да пробият сложните хардуерни защити. Q4: Какъв конкретен риск подчертава докладът на Yesil Science относно софтуерните доставчици на трети страни? A4: Докладът казва, че производителите на медицински устройства оставят своите софтуерни доставчици на трети страни напълно отворени за изнудване. Входната врата може да е залостена, но задната врата, управлявана от външен доставчик, често остава отключена. Q5: Защо атаките за изнудване чрез системите на доставчици са особено сериозни в здравеопазването? A5: Нарушеният достъп може да засегне наблюдението и грижата за пациентите, а не само финансовите операции. Атакуващите могат също да откраднат чувствителни данни, включително пациентски записи, свързани с конкретни устройства, и да поискат плащане, за да предотвратят публикуването им или да възстановят достъпа. ---END---
