Medtech blochează hardware-ul, ignoră lacunele din software-ul furnizorilor

Producătorii de dispozitive medicale au petrecut ani de zile consolidând hardware-ul din pacemaker-uri, pompe de insulină și sisteme de imagistică împotriva atacurilor cibernetice. Dar un număr tot mai mare de rapoarte sugerează că acest efort este subminat de o vulnerabilitate mult mai simplă: furnizorii de software terți care mențin aceste dispozitive funcționale, actualizate și conectate la rețelele spitalelor.

Un raport recent de la Yesil Science evidențiază acest lucru fără echivoc. Producătorii de dispozitive medicale își securizează hardware-ul lăsând în același timp furnizorii lor de software terți complet expuși la extorcare. Cu alte cuvinte, ușa din față a tehnologiei medicale a unui spital poate fi zăvorâtă, dar ușa din spate, administrată de un furnizor extern cu practici de securitate mai slabe, este adesea lăsată descuiată.

De ce securitatea software-ului terț din medtech a devenit veriga slabă

Dispozitivele medicale moderne rareori funcționează ca mașini autonome. Ele se conectează la panouri de control cloud, platforme de monitorizare la distanță, sisteme de facturare și software de mentenanță furnizate de companii externe. Fiecare dintre aceste integrări este un potențial punct de intrare într-o rețea de sănătate. Când un producător de dispozitive investește în criptare, procese de boot securizat și teste riguroase aliniate standardelor FDA pentru dispozitivul fizic, acea investiție nu se extinde automat la furnizorii de software conectați la acesta.

Aceasta este problema centrală din spatele preocupărilor privind securitatea software-ului terț din medtech: un spital sau un producător poate avea controale interne excelente și totuși să fie expus dacă portalul de autentificare, mecanismul de actualizare sau stocarea în cloud al unui furnizor este slab protejat. Atacatorii înțeleg această dinamică. În loc să încerce să spargă direct protecțiile sofisticate ale hardware-ului, este adesea mai ușor să compromită un furnizor de software mai mic care are acces larg la datele pacienților sau la controalele dispozitivelor, apoi să folosească acel acces pentru a se deplasa lateral în rețeaua mai mare.

Extorcarea este riscul specific evidențiat în raport și se încadrează într-un tipar observat în alte industrii. Odată ce atacatorii obțin acces prin sistemele unui furnizor, ei pot fura date sensibile, inclusiv dosare ale pacienților legate de dispozitive specifice, și apoi pot cere plată pentru a preveni publicarea acestora sau pentru a restabili accesul la sistemele perturbate. În domeniul sănătății, miza este mai mare decât în majoritatea sectoarelor, deoarece accesul perturbat poate afecta monitorizarea și îngrijirea pacienților, nu doar operațiunile financiare.

Punctul orb al furnizorilor din lanțurile de aprovizionare medicale

Conversația despre securitatea cibernetică din industria medtech s-a concentrat istoric pe dispozitivul în sine: Poate cineva să hackuiască un defibrilator sau să reprogrameze o pompă de insulină? Aceste scenarii sunt reale, dar nu sunt cel mai comun punct de intrare pe care îl folosesc efectiv atacatorii. Un articol related de la Yesil Science despre ușa din spate vulnerabilă a lanțurilor de aprovizionare medicale descrie modul în care accesul prin ușa laterală prin partenerii din lanțul de aprovizionare a oferit deja atacatorilor intrare în sistemele bazate pe cloud și în bazele de date interne ale pacienților, deplasând ținta reală de la dispozitiv către datele din jurul acestuia.

Acest lucru reflectă o tendință mai largă în toate sectoarele, unde furnizorii terți, nu organizația principală, devin punctul de defecțiune. Examinarea congressională a breșei ShinyHunters Canvas, de exemplu, a arătat cum o singură relație compromisă cu un furnizor se poate escalada într-o problemă de responsabilitate federală odată ce datele studenților sau pacienților sunt expuse la scară largă, după cum este detaliat în acoperirea consecințelor congressionale ale breșei Canvas. Paralela pentru domeniul sănătății este clară: autoritățile de reglementare și legislatorii sunt din ce în ce mai dispuși să tragă la răspundere industrii întregi atunci când supravegherea furnizorilor eșuează, nu doar furnizorul în sine.

Ce înseamnă acest lucru pentru dumneavoastră

Dacă vă bazați pe un dispozitiv medical conectat, fie ca pacient, îngrijitor sau furnizor de servicii medicale, acest risc al furnizorilor este în mare măsură invizibil pentru dumneavoastră. Nu puteți audita lanțul de aprovizionare software al unui producător de dispozitive, iar producătorii înșiși s-ar putea să nu aibă vizibilitate completă asupra posturii de securitate a fiecărui furnizor. Ce puteți face este să rămâneți informat despre modul în care datele dumneavoastră sunt stocate și partajate, să întrebați furnizorul dumneavoastră de servicii medicale dacă portalurile pentru pacienți și platformele de dispozitive sunt supuse evaluărilor periodice de securitate ale terților și să acordați atenție notificărilor de breșă legate de orice tehnologie medicală pe care o utilizați. Încercările de extorcare împotriva furnizorilor ies adesea la iveală public odată ce datele sunt amenințate cu publicarea, astfel încât notificările de la furnizorul dumneavoastră sau producătorul de dispozitive nu ar trebui ignorate.

Pentru organizațiile din domeniul sănătății și producătorii de dispozitive, concluzia este mai directă: securitatea hardware-ului este necesară, dar nu suficientă. Managementul riscului furnizorilor, inclusiv cerințele contractuale de securitate, auditurile periodice și coordonarea răspunsului la incidente cu terți, necesită același nivel de investiție ca protecțiile la nivel de dispozitiv.

Închiderea ușii din spate

Câștigurile în securitatea hardware-ului din industria medtech sunt reale, dar nu acoperă golul pe care îl lasă deschis furnizorii de software terți. Pe măsură ce atacatorii preferă din ce în ce mai mult calea cu cea mai mică rezistență, securitatea software-ului terț din medtech va deveni probabil o preocupare mai mare atât pentru autoritățile de reglementare, cât și pentru spitale și producători.

Pacienții și furnizorii de servicii medicale pot impulsiona acest progres punând întrebări directe despre supravegherea furnizorilor și tratând orice notificare de breșă legată de tehnologia medicală ca demnă de citit cu atenție, în loc să fie respinsă ca documentație de rutină. Rămânerea informată rămâne cel mai simplu instrument disponibil în timp ce industria lucrează pentru a-și închide ușa din spate.