I produttori di dispositivi medici hanno trascorso anni a rafforzare l'hardware all'interno di pacemaker, pompe per insulina e sistemi di imaging contro gli attacchi informatici. Ma un numero crescente di reportage suggerisce che questo sforzo venga minato da una debolezza molto più semplice: i fornitori di software di terze parti che mantengono quei dispositivi in funzione, aggiornati e connessi alle reti ospedaliere.
Un recente rapporto di Yesil Science lo mette in evidenza senza mezzi termini. I produttori di dispositivi medici stanno proteggendo il loro hardware mentre lasciano i loro fornitori di software di terze parti completamente esposti all'estorsione. In altre parole, la porta d'ingresso alla tecnologia medica di un ospedale può essere sbarrata, ma la porta sul retro, gestita da un fornitore esterno con pratiche di sicurezza più blande, è spesso lasciata aperta.
Perché la sicurezza del software di terze parti nel medtech è diventata l'anello debole
I dispositivi medici moderni raramente funzionano come macchine autonome. Si connettono a dashboard cloud, piattaforme di monitoraggio remoto, sistemi di fatturazione e software di manutenzione forniti da aziende esterne. Ognuna di queste integrazioni è un potenziale punto di ingresso in una rete sanitaria. Quando un produttore di dispositivi investe in crittografia, processi di avvio sicuro e test rigorosi allineati alla FDA per il dispositivo fisico, quell'investimento non si estende automaticamente ai fornitori di software collegati ad esso.
Questo è il problema centrale alla base delle preoccupazioni sulla sicurezza del software di terze parti nel medtech: un ospedale o un produttore può avere controlli interni eccellenti e rimanere comunque esposto se il portale di accesso, il meccanismo di aggiornamento o l'archiviazione cloud di un fornitore sono scarsamente protetti. Gli attaccanti comprendono questa dinamica. Piuttosto che tentare di violare direttamente le sofisticate protezioni hardware, è spesso più facile compromettere un fornitore di software più piccolo che ha ampio accesso ai dati dei pazienti o ai controlli dei dispositivi, per poi usare quell'accesso per muoversi lateralmente nella rete più grande.
L'estorsione è il rischio specifico evidenziato nel rapporto, e rientra in un pattern osservato in altri settori. Una volta che gli attaccanti ottengono l'accesso attraverso i sistemi di un fornitore, possono rubare dati sensibili, comprese le cartelle dei pazienti legate a specifici dispositivi, e poi chiedere un pagamento per impedirne la divulgazione o per ripristinare l'accesso ai sistemi compromessi. In ambito sanitario, la posta in gioco è più alta che nella maggior parte dei settori perché l'accesso interrotto può influire sul monitoraggio e sulle cure dei pazienti, non solo sulle operazioni finanziarie.
Il punto cieco dei fornitori nelle catene di approvvigionamento mediche
Il dibattito sulla cybersecurity nel settore medtech si è storicamente concentrato sul dispositivo stesso: qualcuno può hackerare un defibrillatore o riprogrammare una pompa per insulina? Questi scenari sono reali, ma non sono il punto di ingresso più comune che gli attaccanti utilizzano effettivamente. Un articolo correlato di Yesil Science su la porta sul retro vulnerabile delle catene di approvvigionamento mediche descrive come l'accesso laterale attraverso i partner della catena di approvvigionamento abbia già permesso agli attaccanti di entrare in sistemi cloud e database interni dei pazienti, spostando il vero obiettivo dal dispositivo ai dati che lo circondano.
Questo rispecchia una tendenza più ampia in tutti i settori, in cui sono i fornitori di terze parti, non l'organizzazione principale, a diventare il punto di fallimento. Lo scrutinio del Congresso sulla violazione di Canvas da parte di ShinyHunters, ad esempio, ha mostrato come una singola relazione compromessa con un fornitore possa trasformarsi in una questione di responsabilità federale una volta che i dati degli studenti o dei pazienti vengono esposti su larga scala, come dettagliato in la copertura delle ricadute congressuali della violazione di Canvas. Il parallelo per la sanità è chiaro: i regolatori e i legislatori sono sempre più disposti a ritenere interi settori responsabili quando la supervisione dei fornitori fallisce, non solo il fornitore stesso.
Cosa significa per te
Se dipendi da un dispositivo medico connesso, che tu sia un paziente, un caregiver o un operatore sanitario, questo rischio legato ai fornitori ti è in gran parte invisibile. Non puoi verificare la catena di approvvigionamento software di un produttore di dispositivi, e i produttori stessi potrebbero non avere piena visibilità sulla postura di sicurezza di ogni fornitore. Quello che puoi fare è rimanere informato su come i tuoi dati vengono archiviati e condivisi, chiedere al tuo operatore sanitario se i portali dei pazienti e le piattaforme dei dispositivi sono sottoposti a valutazioni di sicurezza regolari di terze parti, e prestare attenzione alle notifiche di violazione legate a qualsiasi tecnologia medica che utilizzi. I tentativi di estorsione contro i fornitori spesso emergono pubblicamente una volta che i dati vengono minacciati di divulgazione, quindi le notifiche del tuo operatore o del produttore del dispositivo non dovrebbero essere ignorate.
Per le organizzazioni sanitarie e i produttori di dispositivi, il messaggio è più diretto: la sicurezza hardware è necessaria ma non sufficiente. La gestione del rischio dei fornitori, inclusi requisiti di sicurezza contrattuali, audit regolari e coordinamento della risposta agli incidenti con terze parti, necessita dello stesso livello di investimento delle protezioni a livello di dispositivo.
Chiudere la porta sul retro
I progressi nella sicurezza hardware del settore medtech sono reali, ma non colmano il divario che i fornitori di software di terze parti lasciano aperto. Poiché gli attaccanti preferiscono sempre più la via di minor resistenza, la sicurezza del software di terze parti nel medtech diventerà probabilmente un focus maggiore per regolatori, ospedali e produttori.
I pazienti e gli operatori sanitari possono favorire questo progresso ponendo domande dirette sulla supervisione dei fornitori e trattando qualsiasi notifica di violazione legata alla tecnologia medica come meritevole di un'attenta lettura, piuttosto che come una routine burocratica da ignorare. Rimanere informati resta lo strumento più semplice disponibile mentre il settore lavora per chiudere la sua porta sul retro.
