Các nhà sản xuất thiết bị y tế đã dành nhiều năm để gia cố phần cứng bên trong máy tạo nhịp tim, bơm insulin và hệ thống chẩn đoán hình ảnh trước các cuộc tấn công mạng. Nhưng ngày càng nhiều báo cáo cho thấy nỗ lực đó đang bị vô hiệu hóa bởi một điểm yếu đơn giản hơn nhiều: các nhà cung cấp phần mềm bên thứ ba, những đơn vị giúp các thiết bị đó vận hành, cập nhật và kết nối với mạng lưới bệnh viện.
Một báo cáo gần đây từ Yesil Science nêu thẳng vấn đề. Các nhà sản xuất thiết bị y tế đang bảo vệ phần cứng của họ trong khi để các nhà cung cấp phần mềm bên thứ ba rộng cửa cho các cuộc tống tiền. Nói cách khác, cửa trước dẫn vào công nghệ y tế của bệnh viện có thể đã được khóa chặt, nhưng cửa sau, do một nhà cung cấp bên ngoài với quy trình bảo mật lỏng lẻo hơn vận hành, thường vẫn để ngỏ.
Vì sao bảo mật phần mềm bên thứ ba trong medtech đã trở thành mắt xích yếu
Các thiết bị y tế hiện đại hiếm khi hoạt động như những cỗ máy độc lập. Chúng kết nối với bảng điều khiển đám mây, nền tảng giám sát từ xa, hệ thống thanh toán và phần mềm bảo trì do các công ty bên ngoài cung cấp. Mỗi tích hợp như vậy là một điểm xâm nhập tiềm năng vào mạng lưới chăm sóc sức khỏe. Khi một nhà sản xuất thiết bị đầu tư vào mã hóa, quy trình khởi động an toàn và kiểm thử nghiêm ngặt theo chuẩn FDA cho thiết bị vật lý, khoản đầu tư đó không tự động mở rộng sang các nhà cung cấp phần mềm được kết nối với thiết bị.
Đây là vấn đề cốt lõi đằng sau những lo ngại về bảo mật phần mềm bên thứ ba trong medtech: một bệnh viện hay nhà sản xuất có thể có các biện pháp kiểm soát nội bộ xuất sắc mà vẫn bị phơi nhiễm nếu cổng đăng nhập, cơ chế cập nhật hoặc lưu trữ đám mây của nhà cung cấp được bảo vệ kém. Kẻ tấn công hiểu rõ động lực này. Thay vì cố gắng phá vỡ trực tiếp các lớp bảo vệ phần cứng tinh vi, việc xâm nhập một nhà cung cấp phần mềm nhỏ hơn nhưng có quyền truy cập rộng vào dữ liệu bệnh nhân hoặc các điều khiển thiết bị thường dễ hơn, rồi dùng quyền truy cập đó để di chuyển ngang sang mạng lưới lớn hơn.
Tống tiền là rủi ro cụ thể được nhấn mạnh trong báo cáo, và nó khớp với một mô thức đã thấy ở các ngành khác. Một khi kẻ tấn công giành được quyền truy cập thông qua hệ thống của nhà cung cấp, chúng có thể đánh cắp dữ liệu nhạy cảm, bao gồm hồ sơ bệnh nhân gắn với các thiết bị cụ thể, rồi đòi tiền để ngăn chặn việc công bố hoặc để khôi phục quyền truy cập vào các hệ thống bị gián đoạn. Trong y tế, mức độ nghiêm trọng cao hơn ở hầu hết các lĩnh vực vì việc gián đoạn truy cập có thể ảnh hưởng đến theo dõi và chăm sóc bệnh nhân, chứ không chỉ các hoạt động tài chính.
Điểm mù về nhà cung cấp trong chuỗi cung ứng y tế
Cuộc thảo luận về an ninh mạng trong ngành medtech trước nay thường xoay quanh chính thiết bị: Liệu ai đó có thể hack một máy khử rung tim hay lập trình lại một bơm insulin không? Những kịch bản đó là có thật, nhưng chúng không phải là điểm xâm nhập phổ biến nhất mà kẻ tấn công thực sự sử dụng. Một bài viết liên quan từ Yesil Science về cửa sau dễ bị tổn thương của chuỗi cung ứng y tế mô tả cách truy cập qua cửa hông thông qua các đối tác chuỗi cung ứng đã cho kẻ tấn công xâm nhập vào các hệ thống dựa trên đám mây và cơ sở dữ liệu bệnh nhân nội bộ, chuyển mục tiêu thực sự ra khỏi thiết bị và hướng tới dữ liệu bao quanh nó.
Điều này phản ánh một xu hướng rộng hơn across các lĩnh vực, nơi các nhà cung cấp bên thứ ba, chứ không phải tổ chức chính, trở thành điểm thất bại. Ví dụ, sự giám sát của Quốc hội đối với vụ xâm phạm ShinyHunters Canvas cho thấy một mối quan hệ nhà cung cấp bị xâm phạm duy nhất có thể leo thang thành vấn đề trách nhiệm liên bang một khi dữ liệu sinh viên hoặc bệnh nhân bị phơi bày ở quy mô lớn, như được trình bày chi tiết trong bài đưa tin về hậu quả tại Quốc hội của vụ xâm phạm Canvas. Sự tương đồng đối với y tế là rõ ràng: các cơ quan quản lý và nhà lập pháp ngày càng sẵn sàng buộc toàn bộ ngành phải chịu trách nhiệm khi việc giám sát nhà cung cấp thất bại, chứ không chỉ riêng nhà cung cấp đó.
Điều này có ý nghĩa gì với bạn
Nếu bạn phụ thuộc vào một thiết bị y tế được kết nối, dù với tư cách bệnh nhân, người chăm sóc hay nhà cung cấp dịch vụ chăm sóc sức khỏe, rủi ro từ nhà cung cấp này phần lớn là vô hình với bạn. Bạn không thể kiểm toán chuỗi cung ứng phần mềm của một nhà sản xuất thiết bị, và bản thân các nhà sản xuất cũng có thể không có đầy đủ khả năng nhìn thấy tình trạng bảo mật của mọi nhà cung cấp. Điều bạn có thể làm là cập nhật thông tin về cách dữ liệu của bạn được lưu trữ và chia sẻ, hỏi nhà cung cấp dịch vụ chăm sóc sức khỏe xem cổng thông tin bệnh nhân và nền tảng thiết bị có trải qua các đánh giá bảo mật bên thứ ba định kỳ hay không, và chú ý đến các thông báo vi phạm gắn với bất kỳ công nghệ y tế nào bạn sử dụng. Các nỗ lực tống tiền nhắm vào nhà cung cấp thường xuất hiện công khai một khi dữ liệu bị đe dọa công bố, vì vậy các thông báo từ nhà cung cấp dịch vụ hoặc nhà sản xuất thiết bị của bạn không nên bị bỏ qua.
Đối với các tổ chức chăm sóc sức khỏe và nhà sản xuất thiết bị, bài học còn trực tiếp hơn: bảo mật phần cứng là cần thiết nhưng chưa đủ. Quản lý rủi ro nhà cung cấp, bao gồm các yêu cầu bảo mật trong hợp đồng, kiểm toán định kỳ và phối hợp ứng phó sự cố với bên thứ ba, cần cùng mức đầu tư như các biện pháp bảo vệ ở cấp thiết bị.
Đóng cửa sau
Những tiến bộ về bảo mật phần cứng của ngành medtech là có thật, nhưng chúng không khép lại khoảng trống mà các nhà cung cấp phần mềm bên thứ ba để ngỏ. Khi kẻ tấn công ngày càng ưa chuộng con đường ít kháng cự nhất, bảo mật phần mềm bên thứ ba trong medtech nhiều khả năng sẽ trở thành tâm điểm chú ý lớn hơn đối với các cơ quan quản lý, bệnh viện và nhà sản xuất.
Bệnh nhân và nhà cung cấp dịch vụ có thể thúc đẩy tiến trình này bằng cách đặt những câu hỏi trực tiếp về việc giám sát nhà cung cấp và coi bất kỳ thông báo vi phạm nào gắn với công nghệ y tế là đáng đọc kỹ thay vì bỏ qua như thủ tục giấy tờ thông thường. Cập nhật thông tin vẫn là công cụ đơn giản nhất hiện có trong khi ngành công nghiệp nỗ lực đóng lại cửa sau của mình.
