Proizvođači medicinskih uređaja godinama su ojačavali hardver unutar pacemakera, inzulinskih pumpi i sustava za snimanje protiv kibernetičkih napada. No sve veći broj izvješća sugerira da je taj napor ugrožen mnogo jednostavnijom slabošću: softverskim dobavljačima trećih strana koji održavaju te uređaje u pogonu, ažuriraju ih i povezuju s bolničkim mrežama.
Nedavno izvješće Yesil Sciencea to ističe bez uvijanja. Proizvođači medicinskih uređaja osiguravaju svoj hardver, a pritom svoje softverske dobavljače trećih strana ostavljaju širom otvorene za iznudu. Drugim riječima, prednja vrata bolničke medicinske tehnologije možda su čvrsto zabravljena, ali stražnja vrata, kojima upravlja vanjski dobavljač s labavijim sigurnosnim praksama, često ostaju otključana.
Zašto je sigurnost softvera trećih strana u medtechu postala slaba karika
Moderni medicinski uređaji rijetko rade kao samostalni strojevi. Povezuju se s cloud nadzornim pločama, platformama za daljinsko praćenje, sustavima za naplatu i softverom za održavanje koji dobavljaju vanjske tvrtke. Svaka od tih integracija potencijalna je ulazna točka u zdravstvenu mrežu. Kada proizvođač uređaja ulaže u enkripciju, sigurne procese pokretanja i rigorozno testiranje usklađeno s FDA-om za fizički uređaj, to ulaganje ne prenosi se automatski na softverske dobavljače priključene na njega.
To je temeljni problem koji stoji za zabrinutošću o sigurnosti softvera trećih strana u medtechu: bolnica ili proizvođač može imati izvrsne interne kontrole i još uvijek biti izložen ako su dobavljačev portal za prijavu, mehanizam ažuriranja ili cloud pohrana slabo zaštićeni. Napadači razumiju tu dinamiku. Umjesto da pokušavaju izravno probiti sofisticirane hardverske zaštite, često je lakše kompromitirati manjeg softverskog dobavljača koji ima širok pristup podacima o pacijentima ili kontrolama uređaja, a zatim iskoristiti taj pristup za lateralno kretanje u veću mrežu.
Iznuda je konkretan rizik istaknut u izvješću i uklapa se u obrazac viđen u drugim industrijama. Nakon što napadači dobiju pristup putem dobavljačevih sustava, mogu ukrasti osjetljive podatke, uključujući pacijentove zapise vezane uz određene uređaje, a zatim zahtijevati plaćanje kako bi spriječili njihovo objavljivanje ili vratili pristup prekinutim sustavima. U zdravstvu su ulozi veći nego u većini sektora jer prekinut pristup može utjecati na praćenje i skrb pacijenata, a ne samo na financijske operacije.
Slijepa točka dobavljača u medicinskim lancima opskrbe
Rasprava o kibernetičkoj sigurnosti u medtech industriji povijesno se vrtjela oko samog uređaja: može li netko hakirati defibrilator ili reprogramirati inzulinsku pumpu? Ti scenariji su stvarni, ali nisu najčešća ulazna točka koju napadači zapravo koriste. Povezani članak Yesil Sciencea o ranjivim stražnjim vratima medicinskih lanaca opskrbe opisuje kako je bočni pristup kroz partnere u lancu opskrbe već omogućio napadačima ulaz u cloud sustave i interne baze podataka pacijenata, pomičući stvarnu metu s uređaja na podatke oko njega.
To odražava širi trend u sektorima u kojima dobavljači trećih strana, a ne primarna organizacija, postaju točka otkaza. Kongresno preispitivanje proboja ShinyHunters Canvas, primjerice, pokazalo je kako jedan kompromitirani odnos s dobavljačem može eskalirati u pitanje federalne odgovornosti nakon što podaci studenata ili pacijenata budu izloženi u velikom opsegu, kako je detaljno opisano u izvještavanju o kongresnim posljedicama proboja Canvas. Paralela za zdravstvo je jasna: regulatori i zakonodavci sve su spremniji pozvati cijele industrije na odgovornost kada nadzor nad dobavljačima zakaže, a ne samo dobavljača.
Što to znači za vas
Ako se oslanjate na povezani medicinski uređaj, bilo kao pacijent, njegovatelj ili pružatelj zdravstvene skrbi, taj rizik dobavljača uglavnom vam je nevidljiv. Ne možete revidirati softverski lanac opskrbe proizvođača uređaja, a ni sami proizvođači možda nemaju potpunu vidljivost u sigurnosno stanje svakog dobavljača. Ono što možete učiniti jest ostati informirani o tome kako se vaši podaci pohranjuju i dijele, pitati svog pružatelja zdravstvene skrbi prolaze li pacijentovi portali i platforme uređaja redovite sigurnosne procjene trećih strana te obraćati pozornost na obavijesti o probojima vezane uz bilo koju medicinsku tehnologiju koju koristite. Pokušaji iznude protiv dobavljača često postanu javni nakon što se podaci zaprijete objavljivanjem, pa obavijesti vašeg pružatelja usluga ili proizvođača uređaja ne treba ignorirati.
Za zdravstvene organizacije i proizvođače uređaja poruka je izravnija: sigurnost hardvera nužna je, ali nije dovoljna. Upravljanje rizikom dobavljača, uključujući ugovorne sigurnosne zahtjeve, redovite revizije i koordinaciju odgovora na incidente s trećim stranama, zahtijeva istu razinu ulaganja kao i zaštita na razini uređaja.
Zatvaranje stražnjih vrata
Napredak medtech industrije u sigurnosti hardvera stvaran je, ali ne zatvara jaz koji softverski dobavljači trećih strana ostavljaju otvorenim. Kako napadači sve više preferiraju put najmanjeg otpora, sigurnost softvera trećih strana u medtechu vjerojatno će postati veći fokus i za regulatore, i za bolnice, i za proizvođače.
Pacijenti i pružatelji usluga mogu potaknuti taj napredak postavljanjem izravnih pitanja o nadzoru nad dobavljačima i tretiranjem svake obavijesti o proboju vezane uz medicinsku tehnologiju kao nečega što vrijedi pažljivo pročitati, a ne odbaciti kao rutinsku papirologiju. Ostati informiran i dalje je najjednostavniji dostupni alat dok industrija radi na zatvaranju svojih stražnjih vrata.
