Tıbbi cihaz üreticileri yıllardır kalp pilleri, insülin pompaları ve görüntüleme sistemlerindeki donanımı siber saldırılara karşı güçlendirmek için çalışıyor. Ancak büyüyen bir rapor grubu, bu çabanın çok daha basit bir zayıflık tarafından baltalandığını ortaya koyuyor: bu cihazları çalıştıran, güncelleyen ve hastane ağlarına bağlayan üçüncü taraf yazılım tedarikçileri.
Yesil Science'ın yakın tarihli bir raporu bu noktayı açıkça ortaya koyuyor. Tıbbi cihaz üreticileri donanımlarını güvence altına alırken üçüncü taraf yazılım tedarikçilerini gaspa karşı tamamen açık bırakıyor. Başka bir deyişle, bir hastanenin tıbbi teknolojisinin ön kapısı sürgülenmiş olabilir, ancak daha gevşek güvenlik uygulamalarına sahip bir dış tedarikçi tarafından yönetilen arka kapı genellikle kilitsiz bırakılıyor.
Medtech Üçüncü Taraf Yazılım Güvenliği Neden Zayıf Halka Haline Geldi
Modern tıbbi cihazlar nadiren bağımsız makineler olarak çalışır. Bulut panolarına, uzaktan izleme platformlarına, faturalama sistemlerine ve dış şirketler tarafından sağlanan bakım yazılımlarına bağlanırlar. Bu entegrasyonların her biri bir sağlık ağına potansiyel bir giriş noktasıdır. Bir cihaz üreticisi fiziksel cihaz için şifrelemeye, güvenli önyükleme süreçlerine ve titiz FDA uyumlu testlere yatırım yaptığında, bu yatırım otomatik olarak cihaza bağlanan yazılım tedarikçilerine uzanmaz.
Medtech üçüncü taraf yazılım güvenliği endişelerinin arkasındaki temel sorun budur: bir hastane veya üretici mükemmel iç kontrollere sahip olabilir ve bir tedarikçinin giriş portalı, güncelleme mekanizması veya bulut depolaması yeterince korunmuyorsa yine de riske maruz kalabilir. Saldırganlar bu dinamiği anlıyor. Gelişmiş donanım korumalarını doğrudan kırmaya çalışmak yerine, genellikle hasta verilerine veya cihaz kontrollerine geniş erişimi olan daha küçük bir yazılım tedarikçisini ele geçirmek ve ardından bu erişimi daha büyük ağa yanal olarak sızmak için kullanmak daha kolaydır.
Gasp, raporda vurgulanan spesifik risktir ve diğer sektörlerde görülen bir örüntüye uymaktadır. Saldırganlar bir tedarikçinin sistemleri üzerinden erişim sağladıktan sonra, belirli cihazlara bağlı hasta kayıtları dahil olmak üzere hassas verileri çalabilir ve ardından bunların yayınlanmasını önlemek veya kesintiye uğramış sistemlere erişimi geri yüklemek için ödeme talep edebilir. Sağlık hizmetlerinde riskler çoğu sektörden daha yüksektir çünkü kesintiye uğramış erişim yalnızca finansal operasyonları değil, hasta izleme ve bakımını da etkileyebilir.
Tıbbi Tedarik Zincirlerindeki Tedarikçi Kör Noktası
Medtech endüstrisinin siber güvenlik tartışması tarihsel olarak cihazın kendisine odaklanmıştır: Birisi bir defibrilatörü hackleyebilir mi veya bir insülin pompasını yeniden programlayabilir mi? Bu senaryolar gerçektir, ancak saldırganların gerçekte kullandığı en yaygın giriş noktası değildir. Yesil Science'ın tıbbi tedarik zincirlerinin savunmasız arka kapısı hakkındaki ilgili bir makalesi, tedarik zinciri ortakları aracılığıyla yan kapı erişiminin saldırganlara bulut tabanlı sistemlere ve dahili hasta veritabanlarına nasıl giriş sağladığını ve gerçek hedefin cihazdan uzaklaşıp onu çevreleyen verilere yöneldiğini açıklamaktadır.
Bu, birincil kuruluşun değil üçüncü taraf tedarikçilerin başarısızlık noktası haline geldiği sektörler arasındaki daha geniş bir eğilimi yansıtmaktadır. Örneğin ShinyHunters Canvas ihlalinin Kongre incelemesi, öğrenci veya hasta verileri geniş ölçekte ifşa edildiğinde tek bir ele geçirilmiş tedarikçi ilişkisinin nasıl federal bir hesap verebilirlik sorununa dönüşebileceğini göstermiştir; bu durum Canvas ihlalinin Kongre yankılarına ilişkin haberlerde ayrıntılı olarak ele alınmaktadır. Sağlık hizmetleri için paralellik açıktır: düzenleyiciler ve yasa koyucular, tedarikçi gözetimi başarısız olduğunda yalnızca tedarikçiyi değil, tüm sektörleri hesap vermeye giderek daha fazla istekli hale gelmektedir.
Bu Sizin İçin Ne Anlama Geliyor
Bağlantılı bir tıbbi cihaza güveniyorsanız, ister hasta, ister bakıcı, ister sağlık hizmeti sağlayıcısı olarak, bu tedarikçi riski sizin için büyük ölçüde görünmezdir. Bir cihaz üreticisinin yazılım tedarik zincirini denetleyemezsiniz ve üreticilerin kendileri de her tedarikçinin güvenlik duruşu hakkında tam görünürlüğe sahip olmayabilir. Yapabileceğiniz şey, verilerinizin nasıl saklandığı ve paylaşıldığı hakkında bilgi sahibi olmak, sağlık hizmeti sağlayıcınıza hasta portallarının ve cihaz platformlarının düzenli üçüncü taraf güvenlik değerlendirmelerinden geçip geçmediğini sormak ve kullandığınız herhangi bir tıbbi teknolojiyle ilgili ihlal bildirimlerine dikkat etmektir. Tedarikçilere yönelik gasp girişimleri genellikle verilerin yayınlanmasıyla tehdit edildiğinde kamuya açık hale gelir, bu nedenle sağlayıcınızdan veya cihaz üreticinizden gelen bildirimler göz ardı edilmemelidir.
Sağlık kuruluşları ve cihaz üreticileri için çıkarım daha doğrudandır: donanım güvenliği gereklidir ancak yeterli değildir. Sözleşmesel güvenlik gereksinimleri, düzenli denetimler ve üçüncü taraflarla olay müdahale koordinasyonu dahil olmak üzere tedarikçi risk yönetimi, cihaz düzeyindeki korumalarla aynı düzeyde yatırım gerektirmektedir.
Arka Kapıyı Kapatmak
Medtech endüstrisinin donanım güvenliği kazanımları gerçektir, ancak üçüncü taraf yazılım tedarikçilerinin açık bıraktığı boşluğu kapatmamaktadır. Saldırganlar giderek en az direnç yolunu tercih ettikçe, medtech üçüncü taraf yazılım güvenliği muhtemelen düzenleyiciler, hastaneler ve üreticiler için daha büyük bir odak noktası haline gelecektir.
Hastalar ve sağlayıcılar, tedarikçi gözetimi hakkında doğrudan sorular sorarak ve tıbbi teknolojiyle ilgili herhangi bir ihlal bildirimini rutin evrak olarak reddetmek yerine dikkatle okunmaya değer olarak değerlendirerek bu ilerlemeyi destekleyebilir. Endüstri arka kapısını kapatmaya çalışırken bilgi sahibi olmak, mevcut en basit araç olmaya devam etmektedir.
