Tillverkare av medicintekniska produkter har i åratal härdat hårdvaran i pacemakers, insulinpumpar och bildgivningssystem mot cyberattacker. Men en växande mängd rapportering tyder på att ansträngningen undergrävs av en mycket enklare svaghet: de tredjepartsleverantörer av programvara som håller dessa enheter igång, uppdaterade och anslutna till sjukhusnätverk.

En färsk rapport från Yesil Science säger det rakt ut. Tillverkare av medicintekniska produkter säkrar sin hårdvara medan de lämnar sina tredjepartsleverantörer av programvara vidöppna för utpressning. Med andra ord kan ytterdörren till ett sjukhus medicintekniska teknik vara reglad, men bakdörren, som drivs av en extern leverantör med slappare säkerhetsrutiner, lämnas ofta olåst.

Varför säkerheten i tredjepartsprogramvara för medtech har blivit den svaga länken

Moderna medicintekniska enheter fungerar sällan som fristående maskiner. De ansluter till molndashboarder, fjärrövervakningsplattformar, faktureringssystem och underhållsprogramvara som tillhandahålls av externa företag. Var och en av dessa integrationer är en potentiell ingång till ett vårdnätverk. När en enhetstillverkare investerar i kryptering, säkra uppstartsprocesser och rigorösa tester i linje med FDA, sträcker sig den investeringen inte automatiskt till de programvaruleverantörer som kopplas in.

Detta är kärnproblemet bakom säkerhetsbekymren kring tredjepartsprogramvara för medtech: ett sjukhus eller en tillverkare kan ha utmärkta interna kontroller och ändå vara exponerad om en leverantörs inloggningsportal, uppdateringsmekanism eller molnlagring är dåligt skyddad. Angripare förstår denna dynamik. Istället för att försöka bryta sig igenom sofistikerade hårdvaruskydd direkt är det ofta enklare att kompromettera en mindre programvaruleverantör som har bred åtkomst till patientdata eller enhetskontroller, och sedan använda den åtkomsten för att röra sig lateralt in i det större nätverket.

Utpressning är den specifika risk som lyfts fram i rapporten, och den passar ett mönster som setts i andra branscher. När angripare väl får åtkomst via en leverantörs system kan de stjäla känsliga data, inklusive patientjournaler kopplade till specifika enheter, och sedan kräva betalning för att förhindra att de offentliggörs eller för att återställa åtkomsten till störda system. Inom vården är insatserna högre än i de flesta sektorer eftersom störd åtkomst kan påverka patientövervakning och vård, inte bara finansiell verksamhet.

Leverantörens blinda fläck i medicinska leveranskedjor

Medtechbranschens cybersäkerhetsdiskussion har historiskt kretsat kring själva enheten: Kan någon hacka en defibrillator eller programmera om en insulinpump? Dessa scenarier är verkliga, men de är inte den vanligaste ingången som angripare faktiskt använder. En relaterad artikel från Yesil Science om den sårbara bakdörren i medicinska leveranskedjor beskriver hur sidoingångar via leveranskedjepartner redan har gett angripare tillträde till molnbaserade system och interna patientdatabaser, vilket flyttar det verkliga målet bort från enheten och mot data runt omkring den.

Detta speglar en bredare trend över sektorer där tredjepartsleverantörer, inte den primära organisationen, blir felpunkten. Kongressens granskning av ShinyHunters Canvas-intrånget visade till exempel hur en enda komprometterad leverantörsrelation kan eskalera till en federal ansvarsfråga när student- eller patientdata exponeras i stor skala, vilket beskrivs i rapporteringen om det kongressrelaterade fallet kring Canvas-intrånget. Parallellen för vården är tydlig: tillsynsmyndigheter och lagstiftare är alltmer villiga att hålla hela branscher ansvariga när leverantörsövervakningen misslyckas, inte bara leverantören själv.

Vad detta innebär för dig

Om du förlitar dig på en uppkopplad medicinteknisk enhet, oavsett om du är patient, vårdgivare eller vårdpersonal, är denna leverantörsrisk till stor del osynlig för dig. Du kan inte granska en enhetstillverkares programvaruleveranskedja, och tillverkarna själva kanske inte har full insyn i varje leverantörs säkerhetsläge. Vad du kan göra är att hålla dig informerad om hur dina data lagras och delas, fråga din vårdgivare om patientportaler och enhetsplattformar genomgår regelbundna tredjepartssäkerhetsbedömningar, och vara uppmärksam på intrångsmeddelanden kopplade till medicinteknisk teknik du använder. Utpressningsförsök mot leverantörer blir ofta offentliga när data hotas med att släppas, så meddelanden från din vårdgivare eller enhetstillverkare bör inte ignoreras.

För vårdorganisationer och enhetstillverkare är slutsatsen mer direkt: hårdvarusäkerhet är nödvändig men inte tillräcklig. Hantering av leverantörsrisk, inklusive avtalsenliga säkerhetskrav, regelbundna revisioner och samordning av incidenthantering med tredje parter, behöver samma nivå av investering som skyddet på enhetsnivå.

Att stänga bakdörren

Medtechbranschens vinster inom hårdvarusäkerhet är verkliga, men de stänger inte gapet som tredjepartsleverantörer av programvara lämnar öppet. I takt med att angripare alltmer föredrar vägen med minst motstånd kommer säkerheten i tredjepartsprogramvara för medtech sannolikt att bli ett större fokus för såväl tillsynsmyndigheter som sjukhus och tillverkare.

Patienter och vårdgivare kan driva på denna utveckling genom att ställa direkta frågor om leverantörsövervakning och genom att behandla alla intrångsmeddelanden kopplade till medicinteknisk teknik som värda att läsa noggrant snarare än att avfärda som rutinpapper. Att hålla sig informerad förblir det enklaste verktyget tillgängligt medan branschen arbetar för att stänga sin bakdörr.