Fabrikanten van medische apparaten hebben jaren besteed aan het verharden van de hardware in pacemakers, insulinepompen en beeldvormingssystemen tegen cyberaanvallen. Maar een groeiend aantal rapporten suggereert dat die inspanning wordt ondermijnd door een veel eenvoudiger zwakte: de softwareleveranciers van derden die deze apparaten draaiende, bijgewerkt en verbonden met ziekenhuisnetwerken houden.
Een recent rapport van Yesil Science zegt het ronduit. Fabrikanten van medische apparaten beveiligen hun hardware, maar laten hun softwareleveranciers van derden wijdopen staan voor afpersing. Met andere woorden, de voordeur naar de medische technologie van een ziekenhuis is misschien op slot, maar de achterdeur, beheerd door een externe leverancier met lossere beveiligingspraktijken, blijft vaak onvergrendeld.
Waarom de beveiliging van software van derden in medtech de zwakke schakel is geworden
Moderne medische apparaten functioneren zelden als op zichzelf staande machines. Ze verbinden met clouddashboards, platformen voor externe monitoring, factureringssystemen en onderhoudssoftware van externe bedrijven. Elk van die integraties is een potentieel toegangspunt tot een zorgnetwerk. Wanneer een fabrikant van apparaten investeert in encryptie, beveiligde opstartprocessen en rigoureuze, op FDA afgestemde tests voor het fysieke apparaat, strekt die investering zich niet automatisch uit tot de softwareleveranciers die erop zijn aangesloten.
Dit is de kern van de zorgen over de beveiliging van software van derden in medtech: een ziekenhuis of fabrikant kan uitstekende interne controles hebben en toch blootgesteld zijn als het inlogportaal, het updatemechanisme of de cloudopslag van een leverancier slecht beveiligd is. Aanvallers begrijpen deze dynamiek. In plaats van te proberen geavanceerde hardwarebeveiligingen direct te doorbreken, is het vaak eenvoudiger om een kleinere softwareleverancier te compromitteren die brede toegang heeft tot patiëntgegevens of apparaatbesturing, en die toegang vervolgens te gebruiken om lateraal door te dringen in het grotere netwerk.
Afpersing is het specifieke risico dat in het rapport wordt belicht, en het past in een patroon dat in andere sectoren zichtbaar is. Zodra aanvallers toegang krijgen via de systemen van een leverancier, kunnen ze gevoelige gegevens stelen, waaronder patiëntdossiers die aan specifieke apparaten zijn gekoppeld, en vervolgens betaling eisen om vrijgave te voorkomen of om de toegang tot verstoorde systemen te herstellen. In de zorg is de inzet hoger dan in de meeste sectoren, omdat verstoorde toegang de patiëntmonitoring en -zorg kan beïnvloeden, niet alleen financiële processen.
De blinde vlek voor leveranciers in medische toeleveringsketens
Het cybersecuritygesprek in de medtech-industrie heeft zich historisch gericht op het apparaat zelf: kan iemand een defibrillator hacken of een insulinepomp herprogrammeren? Die scenario's zijn reëel, maar het zijn niet de meest voorkomende toegangspunten die aanvallers daadwerkelijk gebruiken. Een gerelateerd stuk van Yesil Science over de kwetsbare achterdeur van medische toeleveringsketens beschrijft hoe zijdeurtoegang via partners in de toeleveringsketen aanvallers al toegang heeft gegeven tot cloudsystemen en interne patiëntendatabases, waardoor het werkelijke doel verschuift van het apparaat naar de gegevens eromheen.
Dit weerspiegelt een bredere trend in sectoren waarin leveranciers van derden, niet de primaire organisatie, het zwakke punt worden. Het congresonderzoek naar het ShinyHunters Canvas-datalek toonde bijvoorbeeld hoe één gecompromitteerde leveranciersrelatie kan uitgroeien tot een federale verantwoordelijkheidskwestie zodra student- of patiëntgegevens op grote schaal worden blootgesteld, zoals beschreven in de berichtgeving over de congresreactie op het Canvas-datalek. De parallel voor de zorg is duidelijk: toezichthouders en wetgevers zijn steeds meer bereid hele sectoren verantwoordelijk te houden wanneer het toezicht op leveranciers faalt, niet alleen de leverancier zelf.
Wat dit voor u betekent
Als u afhankelijk bent van een verbonden medisch apparaat, of u nu patiënt, mantelzorger of zorgverlener bent, is dit leveranciersrisico grotendeels onzichtbaar voor u. U kunt de softwartoeleveringsketen van een fabrikant niet controleren, en fabrikanten zelf hebben mogelijk geen volledig zicht op de beveiligingspositie van elke leverancier. Wat u kunt doen, is op de hoogte blijven van hoe uw gegevens worden opgeslagen en gedeeld, uw zorgverlener vragen of patiëntportalen en apparaatplatformen regelmatig externe beveiligingsbeoordelingen ondergaan, en aandacht besteden aan datalekmeldingen die verband houden met medische technologie die u gebruikt. Afpersingspogingen tegen leveranciers komen vaak publiekelijk aan het licht zodra gegevens met vrijlating worden bedreigd, dus meldingen van uw zorgverlener of apparaatfabrikant mogen niet worden genegeerd.
Voor zorgorganisaties en fabrikanten van apparaten is de conclusie directer: hardwarebeveiliging is noodzakelijk maar niet voldoende. Risicobeheer van leveranciers, inclusief contractuele beveiligingseisen, regelmatige audits en coördinatie van incidentrespons met derden, vereist hetzelfde niveau van investering als beveiliging op apparaatniveau.
De achterdeur sluiten
De vooruitgang op het gebied van hardwarebeveiliging in de medtech-industrie is reëel, maar dicht het gat niet dat softwareleveranciers van derden openlaten. Naarmate aanvallers steeds vaker de weg van de minste weerstand kiezen, zal de beveiliging van software van derden in medtech waarschijnlijk een grotere focus worden voor toezichthouders, ziekenhuizen en fabrikanten.
Patiënten en zorgverleners kunnen deze vooruitgang stimuleren door directe vragen te stellen over toezicht op leveranciers en door elke datalekmelding die verband houdt met medische technologie te behandelen als iets dat zorgvuldig moet worden gelezen in plaats van afgedaan als routinepapierwerk. Op de hoogte blijven is het eenvoudigste hulpmiddel dat beschikbaar is terwijl de sector werkt aan het sluiten van zijn achterdeur.
