Виробники медичних пристроїв роками зміцнювали апаратне забезпечення кардіостимуляторів, інсулінових помп і систем візуалізації проти кібератак. Але дедалі більше повідомлень свідчить, що ці зусилля підриваються значно простішою слабкістю: сторонніми постачальниками програмного забезпечення, які підтримують роботу цих пристроїв, їх оновлення та підключення до лікарняних мереж.
Нещодавній звіт від Yesil Science висловлює це прямо. Виробники медичних пристроїв захищають своє апаратне забезпечення, залишаючи своїх сторонніх постачальників програмного забезпечення широко відкритими для вимагання. Іншими словами, вхідні двері до медичних технологій лікарні можуть бути зачинені на засув, але задні двері, якими керує зовнішній постачальник із слабшими практиками безпеки, часто залишаються незамкненими.
Чому безпека стороннього програмного забезпечення в medtech стала слабкою ланкою
Сучасні медичні пристрої рідко працюють як автономні машини. Вони підключаються до хмарних панелей моніторингу, платформ віддаленого спостереження, білінгових систем і програмного забезпечення для обслуговування, що постачається зовнішніми компаніями. Кожна з цих інтеграцій є потенційною точкою входу до мережі охорони здоров'я. Коли виробник пристрою інвестує в шифрування, процеси безпечного завантаження та ретельне тестування, узгоджене з FDA, для фізичного пристрою, ця інвестиція не поширюється автоматично на постачальників програмного забезпечення, підключених до нього.
Це основна проблема, що стоїть за занепокоєннями щодо безпеки стороннього програмного забезпечення в medtech: лікарня або виробник можуть мати відмінні внутрішні засоби контролю і все одно бути вразливими, якщо портал входу постачальника, механізм оновлення або хмарне сховище погано захищені. Зловмисники розуміють цю динаміку. Замість того, щоб намагатися безпосередньо зламати складні засоби захисту апаратного забезпечення, часто простіше скомпрометувати меншого постачальника програмного забезпечення, який має широкий доступ до даних пацієнтів або засобів керування пристроями, а потім використати цей доступ для бокового переміщення до більшої мережі.
Вимагання — це конкретний ризик, виділений у звіті, і він вписується в схему, яка спостерігається в інших галузях. Щойно зловмисники отримують доступ через системи постачальника, вони можуть викрасти конфіденційні дані, зокрема записи пацієнтів, пов'язані з конкретними пристроями, а потім вимагати оплату, щоб запобігти їх оприлюдненню або відновити доступ до порушених систем. В охороні здоров'я ставки вищі, ніж у більшості секторів, оскільки порушений доступ може вплинути на моніторинг і догляд за пацієнтами, а не лише на фінансові операції.
Сліпа зона постачальників у медичних ланцюгах постачання
Розмова про кібербезпеку в галузі medtech історично зосереджувалася на самому пристрої: чи може хтось зламати дефібрилятор або перепрограмувати інсулінову помпу? Ці сценарії реальні, але вони не є найпоширенішою точкою входу, яку насправді використовують зловмисники. Пов'язана стаття від Yesil Science про вразливі задні двері медичних ланцюгів постачання описує, як бічний доступ через партнерів у ланцюгу постачання вже надав зловмисникам вхід до хмарних систем і внутрішніх баз даних пацієнтів, зміщуючи реальну ціль від пристрою до даних, що його оточують.
Це відображає ширшу тенденцію в секторах, де сторонні постачальники, а не основна організація, стають точкою відмови. Розгляд Конгресом порушення Canvas з боку ShinyHunters, наприклад, показав, як одні скомпрометовані відносини з постачальником можуть перерости у федеральне питання підзвітності, щойно дані студентів або пацієнтів зазнають масштабного розкриття, як детально описано в висвітленні наслідків порушення Canvas у Конгресі. Паралель для охорони здоров'я очевидна: регулятори та законодавці дедалі більше готові притягати до відповідальності цілі галузі, коли нагляд за постачальниками дає збій, а не лише самого постачальника.
Що це означає для вас
Якщо ви покладаєтеся на підключений медичний пристрій, чи то як пацієнт, опікун або медичний працівник, цей ризик постачальника значною мірою невидимий для вас. Ви не можете провести аудит ланцюга постачання програмного забезпечення виробника пристрою, і самі виробники можуть не мати повної видимості щодо стану безпеки кожного постачальника. Що ви можете зробити — це залишатися поінформованими про те, як зберігаються та передаються ваші дані, запитати свого медичного працівника, чи проходять портали пацієнтів і платформи пристроїв регулярні сторонні оцінки безпеки, і звертати увагу на повідомлення про порушення, пов'язані з будь-якою медичною технологією, яку ви використовуєте. Спроби вимагання проти постачальників часто стають публічно відомими, щойно даним загрожує оприлюднення, тому повідомлення від вашого постачальника послуг або виробника пристрою не слід ігнорувати.
Для організацій охорони здоров'я та виробників пристроїв висновок більш прямий: безпека апаратного забезпечення необхідна, але недостатня. Управління ризиками постачальників, включаючи договірні вимоги до безпеки, регулярні аудити та координацію реагування на інциденти з третіми сторонами, потребує такого ж рівня інвестицій, як і засоби захисту на рівні пристрою.
Закриття задніх дверей
Досягнення в безпеці апаратного забезпечення в галузі medtech є реальними, але вони не закривають прогалину, яку залишають відкритою сторонні постачальники програмного забезпечення. Оскільки зловмисники дедалі більше віддають перевагу шляху найменшого опору, безпека стороннього програмного забезпечення в medtech, ймовірно, стане більшим фокусом для регуляторів, лікарень і виробників однаково.
Пацієнти та медичні працівники можуть просувати цей прогрес, ставлячи прямі запитання про нагляд за постачальниками та ставлячись до будь-якого повідомлення про порушення, пов'язаного з медичною технологією, як до вартого уважного прочитання, а не відмахування як від рутинного паперообігу. Залишатися поінформованим залишається найпростішим доступним інструментом, поки галузь працює над закриттям своїх задніх дверей.
