Medtech ล็อกฮาร์ดแวร์แน่นหนา แต่มองข้ามช่องโหว่ซอฟต์แวร์จากผู้ขาย

ผู้ผลิตอุปกรณ์การแพทย์ใช้เวลาหลายปีในการเสริมความแข็งแกร่งให้ฮาร์ดแวร์ภายในเครื่องกระตุ้นหัวใจ เครื่องปั๊มอินซูลิน และระบบถ่ายภาพ เพื่อป้องกันการโจมตีทางไซเบอร์ แต่รายงานที่เพิ่มมากขึ้นเรื่อย ๆ ชี้ให้เห็นว่าความพยายามนั้นกำลังถูกบั่นทอนโดยจุดอ่อนที่เรียบง่ายกว่ามาก นั่นคือผู้ขายซอฟต์แวร์บุคคลที่สามที่ทำให้อุปกรณ์เหล่านั้นทำงาน อัปเดต และเชื่อมต่อกับเครือข่ายโรงพยาบาล

รายงานล่าสุดจาก Yesil Science ระบุประเด็นนี้อย่างตรงไปตรงมา ผู้ผลิตอุปกรณ์การแพทย์กำลังรักษาความปลอดภัยให้ฮาร์ดแวร์ของตน ในขณะที่ปล่อยให้ผู้ขายซอฟต์แวร์บุคคลที่สามเปิดกว้างต่อการเรียกค่าไถ่ กล่าวอีกนัยหนึ่ง ประตูหน้าของเทคโนโลยีการแพทย์ในโรงพยาบาลอาจถูกล็อกแน่นหนา แต่ประตูหลังซึ่งดำเนินการโดยผู้ขายภายนอกที่มีแนวปฏิบัติด้านความปลอดภัยหละหลวมกว่ามักถูกทิ้งให้ไม่ได้ล็อก

ทำไมความปลอดภัยซอฟต์แวร์บุคคลที่สามใน Medtech จึงกลายเป็นจุดอ่อน

อุปกรณ์การแพทย์สมัยใหม่แทบจะไม่ทำงานเป็นเครื่องเดี่ยว ๆ อีกต่อไป พวกมันเชื่อมต่อกับแดชบอร์ดบนคลาวด์ แพลตฟอร์มตรวจสอบระยะไกล ระบบเรียกเก็บเงิน และซอฟต์แวร์บำรุงรักษาที่จัดหาโดยบริษัทภายนอก การเชื่อมต่อแต่ละจุดเหล่านี้เป็นช่องทางเข้าสู่เครือข่ายการดูแลสุขภาพที่อาจถูกใช้ประโยชน์ได้ เมื่อผู้ผลิตอุปกรณ์ลงทุนในการเข้ารหัส กระบวนการบูตที่ปลอดภัย และการทดสอบที่สอดคล้องกับ FDA อย่างเข้มงวดสำหรับอุปกรณ์ทางกายภาพ การลงทุนนั้นไม่ได้ขยายไปถึงผู้ขายซอฟต์แวร์ที่เชื่อมต่อกับอุปกรณ์โดยอัตโนมัติ

นี่คือประเด็นหลักเบื้องหลังความกังวลด้านความปลอดภัยซอฟต์แวร์บุคคลที่สามใน medtech โรงพยาบาลหรือผู้ผลิตอาจมีมาตรการควบคุมภายในที่ยอดเยี่ยมและยังคงมีความเสี่ยงหากพอร์ทัลเข้าสู่ระบบ กลไกการอัปเดต หรือที่จัดเก็บข้อมูลบนคลาวด์ของผู้ขายได้รับการป้องกันที่ไม่ดี ผู้โจมตีเข้าใจพลวัตนี้ แทนที่จะพยายามเจาะการป้องกันฮาร์ดแวร์ที่ซับซ้อนโดยตรง การเจาะผู้ขายซอฟต์แวร์รายเล็กกว่าที่มีการเข้าถึงข้อมูลผู้ป่วยหรือการควบคุมอุปกรณ์ในวงกว้างมักทำได้ง่ายกว่า แล้วใช้การเข้าถึงนั้นเคลื่อนที่ในแนวราบเข้าสู่เครือข่ายที่ใหญ่ขึ้น

การเรียกค่าไถ่เป็นความเสี่ยงเฉพาะที่ถูกเน้นในรายงาน และสอดคล้องกับรูปแบบที่พบในอุตสาหกรรมอื่น ๆ เมื่อผู้โจมตีได้รับ access ผ่านระบบของผู้ขาย พวกเขาสามารถขโมยข้อมูลที่ละเอียดอ่อน รวมถึงบันทึกผู้ป่วยที่เชื่อมโยงกับอุปกรณ์เฉพาะ แล้วเรียกร้องค่าไถ่เพื่อป้องกันการเปิดเผยหรือเพื่อคืนการเข้าถึงระบบที่ถูกขัดขวาง ในด้านการดูแลสุขภาพ stakes นั้นสูงกว่าในภาคส่วนส่วนใหญ่ เพราะการเข้าถึงที่ถูกขัดขวางสามารถส่งผลต่อการตรวจสอบและดูแลผู้ป่วย ไม่ใช่แค่การดำเนินงานทางการเงิน

จุดบอดของผู้ขายในห่วงโซ่อุปทานทางการแพทย์

การสนทนาเกี่ยวกับความปลอดภัยทางไซเบอร์ในอุตสาหกรรม medtech มักมุ่งเน้นที่ตัวอุปกรณ์: มีใครสามารถแฮกเครื่องกระตุกหัวใจหรือตั้งโปรแกรมเครื่องปั๊มอินซูลินใหม่ได้หรือไม่? สถานการณ์เหล่านั้นเป็นเรื่องจริง แต่ไม่ใช่ช่องทางเข้าที่ผู้โจมตีใช้บ่อยที่สุด บทความที่เกี่ยวข้องจาก Yesil Science เกี่ยวกับประตูหลังที่เปราะบางของห่วงโซ่อุปทานทางการแพทย์ อธิบายว่าการเข้าถึงผ่านประตูข้างผ่านพันธมิตรในห่วงโซ่อุปทานได้เปิดทางให้ผู้โจมตีเข้าสู่ระบบบนคลาวด์และฐานข้อมูลผู้ป่วยภายในแล้ว โดยเปลี่ยนเป้าหมายจริงออกจากตัวอุปกรณ์และมุ่งไปที่ข้อมูลรอบ ๆ อุปกรณ์นั้น

สิ่งนี้สะท้อนแนวโน้มที่กว้างขึ้นในหลายภาคส่วนที่ผู้ขายบุคคลที่สาม ไม่ใช่องค์กรหลัก กลายเป็นจุดล้มเหลว การตรวจสอบของสภาคองเกรสต่อเหตุละเมิดข้อมูล ShinyHunters Canvas ตัวอย่างเช่น แสดงให้เห็นว่าความสัมพันธ์กับผู้ขายรายเดียวที่ถูกเจาะสามารถลุกลามกลายเป็นประเด็นความรับผิดชอบระดับรัฐบาลกลางได้ เมื่อข้อมูลนักเรียนหรือผู้ป่วยถูกเปิดเผยในวงกว้าง ดังที่ระบุในการรายงานเกี่ยวกับผลกระทบต่อสภาคองเกรสจากเหตุละเมิด Canvas ความคล้ายคลึงสำหรับการดูแลสุขภาพนั้นชัดเจน: หน่วยงานกำกับดูแลและสมาชิกสภานิติบัญญัติมีความเต็มใจมากขึ้นที่จะให้ทั้งอุตสาหกรรมรับผิดชอบเมื่อการกำกับดูแลผู้ขายล้มเหลว ไม่ใช่แค่ตัวผู้ขายเอง

สิ่งนี้หมายความว่าอย่างไรสำหรับคุณ

หากคุณพึ่งพาอุปกรณ์การแพทย์ที่เชื่อมต่ออยู่ ไม่ว่าจะในฐานะผู้ป่วย ผู้ดูแล หรือผู้ให้บริการด้านการดูแลสุขภาพ ความเสี่ยงจากผู้ขายนี้ส่วนใหญ่จะมองไม่เห็นสำหรับคุณ คุณไม่สามารถตรวจสอบห่วงโซ่อุปทานซอฟต์แวร์ของผู้ผลิตอุปกรณ์ได้ และผู้ผลิตเองอาจไม่สามารถมองเห็นสถานะความปลอดภัยของผู้ขายทุกรายได้อย่างเต็มที่ สิ่งที่คุณทำได้คือติดตามข้อมูลเกี่ยวกับวิธีที่ข้อมูลของคุณถูกจัดเก็บและแบ่งปัน ถามผู้ให้บริการด้านการดูแลสุขภาพของคุณว่าพอร์ทัลผู้ป่วยและแพลตฟอร์มอุปกรณ์ผ่านการประเมินความปลอดภัยโดยบุคคลที่สามเป็นประจำหรือไม่ และให้ความสนใจกับการแจ้งเตือนการละเมิดข้อมูลที่เกี่ยวข้องกับเทคโนโลยีการแพทย์ใด ๆ ที่คุณใช้ ความพยายามเรียกค่าไถ่ต่อผู้ขายมักปรากฏต่อสาธารณะเมื่อข้อมูลถูกข่มขู่ว่าจะเปิดเผย ดังนั้นการแจ้งเตือนจากผู้ให้บริการหรือผู้ผลิตอุปกรณ์ของคุณไม่ควรถูกมองข้าม

สำหรับองค์กรด้านการดูแลสุขภาพและผู้ผลิตอุปกรณ์ ข้อสรุปนั้นตรงกว่า: ความปลอดภัยของฮาร์ดแวร์เป็นสิ่งจำเป็นแต่ไม่เพียงพอ การจัดการความเสี่ยงของผู้ขาย รวมถึงข้อกำหนดด้านความปลอดภัยในสัญญา การตรวจสอบเป็นประจำ และการประสานงานตอบสนองต่อเหตุการณ์กับบุคคลที่สาม จำเป็นต้องได้รับการลงทุนในระดับเดียวกับการป้องกันระดับอุปกรณ์

ปิดประตูหลัง

ความก้าวหน้าด้านความปลอดภัยฮาร์ดแวร์ของอุตสาหกรรม medtech นั้นเป็นเรื่องจริง แต่ไม่ได้ปิดช่องว่างที่ผู้ขายซอฟต์แวร์บุคคลที่สามทิ้งไว้ ในขณะที่ผู้โจมตีหันมาใช้เส้นทางที่ต้านทานน้อยที่สุดมากขึ้น ความปลอดภัยซอฟต์แวร์บุคคลที่สามใน medtech มีแนวโน้มจะกลายเป็นจุดสนใจที่ใหญ่ขึ้นสำหรับหน่วยงานกำกับดูแล โรงพยาบาล และผู้ผลิตเช่นเดียวกัน

ผู้ป่วยและผู้ให้บริการสามารถผลักดันความก้าวหน้านี้ได้โดยการถามคำถามตรง ๆ เกี่ยวกับการกำกับดูแลผู้ขาย และปฏิบัติต่อการแจ้งเตือนการละเมิดข้อมูลใด ๆ ที่เกี่ยวข้องกับเทคโนโลยีการแพทย์ว่าควรอ่านอย่างละเอียดแทนที่จะมองข้ามว่าเป็นเอกสารroutine การติดตามข้อมูลยังคงเป็นเครื่องมือง่ายที่สุดที่มีอยู่ enquanto อุตสาหกรรมกำลังดำเนินการเพื่อปิดประตูหลังของตน