Produsen perangkat medis telah menghabiskan bertahun-tahun memperkuat perangkat keras di dalam alat pacu jantung, pompa insulin, dan sistem pencitraan terhadap serangan siber. Namun semakin banyak laporan yang menunjukkan bahwa upaya tersebut sedang dilemahkan oleh kelemahan yang jauh lebih sederhana: vendor perangkat lunak pihak ketiga yang menjaga perangkat tersebut tetap berjalan, diperbarui, dan terhubung ke jaringan rumah sakit.
Laporan terbaru dari Yesil Science menyampaikan hal ini secara blak-blakan. Produsen perangkat medis mengamankan perangkat keras mereka sementara membiarkan vendor perangkat lunak pihak ketiga mereka terbuka lebar terhadap pemerasan. Dengan kata lain, pintu depan menuju teknologi medis sebuah rumah sakit mungkin terkunci rapat, tetapi pintu belakang, yang dikelola oleh vendor luar dengan praktik keamanan yang lebih longgar, sering kali dibiarkan tidak terkunci.
Mengapa Keamanan Perangkat Lunak Pihak Ketiga Medtech Telah Menjadi Mata Rantai Terlemah
Perangkat medis modern jarang beroperasi sebagai mesin yang berdiri sendiri. Perangkat tersebut terhubung ke dasbor cloud, platform pemantauan jarak jauh, sistem penagihan, dan perangkat lunak pemeliharaan yang disediakan oleh perusahaan luar. Setiap integrasi tersebut merupakan titik masuk potensial ke dalam jaringan layanan kesehatan. Ketika produsen perangkat berinvestasi dalam enkripsi, proses boot aman, dan pengujian ketat yang selaras dengan FDA untuk perangkat fisik, investasi tersebut tidak secara otomatis mencakup vendor perangkat lunak yang terhubung dengannya.
Inilah masalah inti di balik kekhawatiran keamanan perangkat lunak pihak ketiga medtech: rumah sakit atau produsen dapat memiliki kontrol internal yang sangat baik dan tetap terekspos jika portal login, mekanisme pembaruan, atau penyimpanan cloud vendor dilindungi dengan buruk. Penyerang memahami dinamika ini. Daripada mencoba menembus perlindungan perangkat keras yang canggih secara langsung, sering kali lebih mudah untuk mengompromikan vendor perangkat lunak yang lebih kecil yang memiliki akses luas ke data pasien atau kontrol perangkat, lalu menggunakan akses tersebut untuk bergerak secara lateral ke jaringan yang lebih besar.
Pemerasan adalah risiko spesifik yang disorot dalam laporan tersebut, dan hal ini sesuai dengan pola yang terlihat di industri lain. Setelah penyerang mendapatkan akses melalui sistem vendor, mereka dapat mencuri data sensitif, termasuk catatan pasien yang terkait dengan perangkat tertentu, dan kemudian menuntut pembayaran untuk mencegah pelepasannya atau untuk memulihkan akses ke sistem yang terganggu. Di layanan kesehatan, taruhannya lebih tinggi daripada di sebagian besar sektor karena akses yang terganggu dapat memengaruhi pemantauan dan perawatan pasien, bukan hanya operasi keuangan.
Titik Buta Vendor dalam Rantai Pasokan Medis
Percakapan keamanan siber industri medtech secara historis berpusat pada perangkat itu sendiri: Bisakah seseorang meretas defibrillator atau memprogram ulang pompa insulin? Skenario tersebut nyata, tetapi itu bukan titik masuk yang paling umum digunakan penyerang. Artikel terkait dari Yesil Science tentang pintu belakang rantai pasokan medis yang rentan menjelaskan bagaimana akses pintu samping melalui mitra rantai pasokan telah memberi penyerang jalan masuk ke sistem berbasis cloud dan basis data pasien internal, menggeser target sebenarnya dari perangkat ke data di sekitarnya.
Hal ini mencerminkan tren yang lebih luas di berbagai sektor di mana vendor pihak ketiga, bukan organisasi utama, menjadi titik kegagalan. Pengawasan Kongres terhadap pelanggaran ShinyHunters Canvas, misalnya, menunjukkan bagaimana satu hubungan vendor yang terkompromi dapat meningkat menjadi masalah akuntabilitas federal begitu data siswa atau pasien terekspos dalam skala besar, seperti yang dirinci dalam liputan tentang dampak pelanggaran Canvas di Kongres. Paralelnya untuk layanan kesehatan jelas: regulator dan pembuat undang-undang semakin bersedia menuntut akuntabilitas seluruh industri ketika pengawasan vendor gagal, bukan hanya vendor itu sendiri.
Apa Artinya Ini Bagi Anda
Jika Anda mengandalkan perangkat medis yang terhubung, baik sebagai pasien, pengasuh, atau penyedia layanan kesehatan, risiko vendor ini sebagian besar tidak terlihat oleh Anda. Anda tidak dapat mengaudit rantai pasokan perangkat lunak produsen perangkat, dan produsen sendiri mungkin tidak memiliki visibilitas penuh terhadap postur keamanan setiap vendor. Yang dapat Anda lakukan adalah tetap mendapat informasi tentang bagaimana data Anda disimpan dan dibagikan, tanyakan kepada penyedia layanan kesehatan Anda apakah portal pasien dan platform perangkat menjalani penilaian keamanan pihak ketiga secara rutin, dan perhatikan notifikasi pelanggaran yang terkait dengan teknologi medis apa pun yang Anda gunakan. Upaya pemerasan terhadap vendor sering kali muncul ke publik begitu data diancam untuk dirilis, sehingga notifikasi dari penyedia atau produsen perangkat Anda tidak boleh diabaikan.
Bagi organisasi layanan kesehatan dan produsen perangkat, kesimpulannya lebih langsung: keamanan perangkat keras itu perlu tetapi tidak cukup. Manajemen risiko vendor, termasuk persyaratan keamanan kontraktual, audit rutin, dan koordinasi respons insiden dengan pihak ketiga, memerlukan tingkat investasi yang sama dengan perlindungan tingkat perangkat.
Menutup Pintu Belakang
Keuntungan keamanan perangkat keras industri medtech adalah nyata, tetapi tidak menutup celah yang dibiarkan terbuka oleh vendor perangkat lunak pihak ketiga. Karena penyerang semakin memilih jalur dengan hambatan paling kecil, keamanan perangkat lunak pihak ketiga medtech kemungkinan akan menjadi fokus yang lebih besar bagi regulator, rumah sakit, dan produsen.
Pasien dan penyedia dapat mendorong kemajuan ini dengan mengajukan pertanyaan langsung tentang pengawasan vendor dan dengan memperlakukan setiap notifikasi pelanggaran yang terkait dengan teknologi medis sebagai hal yang layak dibaca dengan cermat alih-alih diabaikan sebagai dokumen rutin. Tetap mendapat informasi tetap menjadi alat paling sederhana yang tersedia sementara industri berupaya menutup pintu belakangnya.
FAQ: Q1: Apa yang melemahkan upaya produsen perangkat medis untuk mengamankan perangkat keras mereka? A1: Kelemahan yang jauh lebih sederhana adalah vendor perangkat lunak pihak ketiga yang menjaga perangkat tetap berjalan, diperbarui, dan terhubung ke jaringan rumah sakit. Produsen perangkat medis mengamankan perangkat keras mereka sementara membiarkan vendor-vendor tersebut terbuka lebar terhadap pemerasan. Q2: Mengapa keamanan perangkat lunak pihak ketiga medtech telah menjadi mata rantai terlemah? A2: Perangkat medis modern terhubung ke dasbor cloud, platform pemantauan jarak jauh, sistem penagihan, dan perangkat lunak pemeliharaan yang disediakan oleh perusahaan luar. Setiap integrasi tersebut merupakan titik masuk potensial ke dalam jaringan layanan kesehatan. Q3: Bagaimana penyerang sering masuk ke jaringan layanan kesehatan alih-alih menembus perlindungan perangkat keras? A3: Mereka sering mengompromikan vendor perangkat lunak yang lebih kecil yang memiliki akses luas ke data pasien atau kontrol perangkat, lalu menggunakan akses tersebut untuk bergerak secara lateral ke jaringan yang lebih besar. Penyerang memahami bahwa hal itu bisa lebih mudah daripada mencoba menembus perlindungan perangkat keras yang canggih secara langsung. Q4: Risiko spesifik apa yang disorot laporan Yesil Science terkait vendor perangkat lunak pihak ketiga? A4: Laporan tersebut menyatakan bahwa produsen perangkat medis membiarkan vendor perangkat lunak pihak ketiga mereka terbuka lebar terhadap pemerasan. Pintu depan mungkin terkunci rapat, tetapi pintu belakang yang dikelola oleh vendor luar sering kali dibiarkan tidak terkunci. Q5: Mengapa serangan pemerasan melalui sistem vendor sangat serius di layanan kesehatan? A5: Akses yang terganggu dapat memengaruhi pemantauan dan perawatan pasien, bukan hanya operasi keuangan. Penyerang juga dapat mencuri data sensitif, termasuk catatan pasien yang terkait dengan perangkat tertentu, dan menuntut pembayaran untuk mencegah pelepasannya atau memulihkan akses. ---END---
