Az orvostechnikai eszközgyártók évek óta keményítik a pacemakerekbe, inzulinpumpákba és képalkotó rendszerekbe épített hardvert a kibertámadások ellen. Egyre több jelentés azonban arra utal, hogy ezt az erőfeszítést egy sokkal egyszerűbb gyengeség ássa alá: azok a harmadik féltől származó szoftverbeszállítók, amelyek életben tartják, frissítik és a kórházi hálózatokhoz csatlakoztatják ezeket az eszközöket.
A Yesil Science nemrégiben megjelent jelentése kertelés nélkül fogalmazza meg a problémát. Az orvostechnikai eszközgyártók biztosítják a hardverüket, miközben harmadik féltől származó szoftverbeszállítóikat széles körben ki vannak téve a zsarolásnak. Más szóval, a kórház orvostechnológiai rendszerének bejárati ajtaja be lehet zárva, de a hátsó ajtó, amelyet egy külső beszállító üzemeltet lazább biztonsági gyakorlattal, gyakran nyitva marad.
Miért vált a medtech harmadik féltől származó szoftvereinek biztonsága a leggyengébb láncszemmé
A modern orvostechnikai eszközök ritkán működnek önálló gépekként. Felhőalapú irányítópultokhoz, távfelügyeleti platformokhoz, számlázási rendszerekhez és külső cégek által szállított karbantartási szoftverekhez csatlakoznak. Ezen integrációk mindegyike potenciális belépési pont az egészségügyi hálózatba. Amikor egy eszközgyártó titkosításba, biztonságos rendszerindítási folyamatokba és az FDA-nak megfelelő szigorú tesztelésbe fektet be a fizikai eszköz esetében, ez a befektetés nem terjed ki automatikusan a hozzá kapcsolódó szoftverbeszállítókra.
Ez a medtech harmadik féltől származó szoftvereinek biztonsági aggályai mögött húzódó alapvető probléma: egy kórház vagy gyártó kiváló belső kontrollokkal rendelkezhet, és mégis ki lehet téve, ha egy beszállító bejelentkezési portálja, frissítési mechanizmusa vagy felhőtárolója gyengén védett. A támadók tisztában vannak ezzel a dinamikával. Ahelyett, hogy közvetlenül próbálnák áttörni a kifinomult hardvervédelmet, gyakran könnyebb egy kisebb szoftverbeszállítót kompromittálni, amely széles körű hozzáféréssel rendelkezik a betegadatokhoz vagy az eszközvezérléshez, majd ezt a hozzáférést felhasználva oldalirányban behatolni a nagyobb hálózatba.
A zsarolás az a konkrét kockázat, amelyet a jelentés kiemel, és ez illeszkedik más iparágakban megfigyelt mintázathoz. Miután a támadók egy beszállító rendszerein keresztül hozzáférést szereznek, érzékeny adatokat lophatnak el, beleértve az adott eszközökhöz kapcsolódó betegadatokat, majd fizetést követelhetnek azok nyilvánosságra hozatalának megakadályozásáért vagy a zavart rendszerekhez való hozzáférés helyreállításáért. Az egészségügyben a tét magasabb, mint a legtöbb ágazatban, mert a zavart hozzáférés a betegmegfigyelést és az ellátást is érintheti, nem csak a pénzügyi műveleteket.
A beszállítói vakfolt az orvostechnikai ellátási láncokban
A medtech ipar kiberbiztonsági diskurzusa történelmileg magára az eszközre összpontosított: Meg tud valaki hackelni egy defibrillátort vagy újraprogramozni egy inzulinpumpát? Ezek a forgatókönyvek valósak, de nem ezek a leggyakoribb belépési pontok, amelyeket a támadók valójában használnak. A Yesil Science kapcsolódó írása az orvostechnikai ellátási láncok sebezhető hátsó ajtajáról leírja, hogy az ellátási lánc partnerein keresztüli mellékajtós hozzáférés már eddig is beengedte a támadókat felhőalapú rendszerekbe és belső betegadatbázisokba, eltolva a valódi célpontot az eszközről a körülötte lévő adatok felé.
Ez tükrözi az ágazatokon átívelő szélesebb tendenciát, amelyben a harmadik féltől származó beszállítók, nem pedig az elsődleges szervezet válnak a meghibásodás pontjává. A ShinyHunters Canvas adatvédelmi incidensének kongresszusi vizsgálata például megmutatta, hogy egyetlen kompromittált beszállítói kapcsolat hogyan eszkalálódhat szövetségi elszámoltathatósági kérdéssé, miután hallgatói vagy betegadatok nagy léptékben kerülnek nyilvánosságra, amint azt a Canvas adatvédelmi incidens kongresszusi következményeiről szóló tudósítás részletezi. Az egészségügyre vonatkozó párhuzam egyértelmű: a szabályozók és a jogalkotók egyre inkább hajlandóak egész iparágakat felelősségre vonni, amikor a beszállítói felügyelet kudarcot vall, nem csak magát a beszállítót.
Mit jelent ez Önnek
Ha Ön csatlakoztatott orvostechnikai eszközre támaszkodik, akár betegként, gondozóként vagy egészségügyi szolgáltatóként, ez a beszállítói kockázat nagyrészt láthatatlan Ön számára. Ön nem tudja auditálni egy eszközgyártó szoftverellátási láncát, és maguk a gyártók sem feltétlenül rendelkeznek teljes rálátással minden beszállító biztonsági helyzetére. Amit tehet, az az, hogy tájékozott marad arról, hogyan tárolják és osztják meg adatait, megkérdezi egészségügyi szolgáltatóját, hogy a betegportálok és eszközplatformok átesnek-e rendszeres harmadik féltől származó biztonsági értékeléseken, és figyelmet fordít az Ön által használt orvostechnológiához kapcsolódó adatvédelmi incidens értesítésekre. A beszállítók elleni zsarolási kísérletek gyakran nyilvánosan napvilágra kerülnek, amint az adatok kiadásával fenyegetnek, ezért a szolgáltatójától vagy eszközgyártójától érkező értesítéseket nem szabad figyelmen kívül hagyni.
Az egészségügyi szervezetek és eszközgyártók számára a tanulság közvetlenebb: a hardverbiztonság szükséges, de nem elegendő. A beszállítói kockázatkezelésnek, beleértve a szerződéses biztonsági követelményeket, a rendszeres auditokat és a harmadik felekkel való incidenskezelési koordinációt, ugyanolyan szintű befektetést igényel, mint az eszközszintű védelem.
A hátsó ajtó bezárása
A medtech ipar hardverbiztonsági eredményei valósak, de nem zárják be a rést, amelyet a harmadik féltől származó szoftverbeszállítók nyitva hagynak. Mivel a támadók egyre inkább a legkisebb ellenállás útját részesítik előnyben, a medtech harmadik féltől származó szoftvereinek biztonsága valószínűleg nagyobb hangsúlyt kap a szabályozók, a kórházak és a gyártók részéről egyaránt.
A betegek és a szolgáltatók elősegíthetik ezt a fejlődést azzal, hogy közvetlen kérdéseket tesznek fel a beszállítói felügyeletről, és úgy kezelik az orvostechnológiához kapcsolódó bármely adatvédelmi incidens értesítést, mint amelyet érdemes figyelmesen elolvasni, nem pedig rutin papírmunkaként elutasítani. A tájékozottság megőrzése marad a legegyszerűbb elérhető eszköz, amíg az ipar azon dolgozik, hogy bezárja hátsó ajtaját.
