改善对医疗设备漏洞的响应

 
您可能会以某种方式在您的个人计算机中遭受破坏，但是让您的医疗设备遭到黑客入侵会更糟。这些设备造成了如此多的生命，制造商决不能不惜一切代价忽略这些漏洞。这是改善对医疗设备漏洞的响应。
十年前，对医疗设备网络安全的关注成为人们关注的焦点。
仅在启用IoT的医疗设备变得突出之后，这些医疗设备的漏洞才暴露出来。道德黑客多次证明了现代IV泵，胰岛素泵，起搏器和其他医疗设备中的漏洞。
十年前，很少有制造商会承认这种容易被利用的东西。
这些制造商会质疑黑客的意图–“为什么有人会入侵起搏器?”还有许多其他医疗设备漏洞也可能被人意外利用。
医疗设备的网络安全风险有多大?
当医疗设备与集成网络，软件解决方案和操作系统保持一致时，它们将离开隔离点，进入网络安全领域。设备变得复杂，它们的管理变成了进一步的挑战。
在过去的几年中，医学科学经历了许多创新，从而改变了医疗保健的运作方式。我们已经通过互连的医疗设备提高了患者护理的能力，这只是更复杂的临床系统的一小部分。
在存在互连的地方，存在漏洞，这会导致漏洞;黑客进入互连的计算机系统，服务器，数据库和其他设备的方式完全相同。
与传统的计算机网络不同，互连的医疗设备会导致生死攸关，而破坏同样意味着对整体临床护理和患者护理基础设施的直接影响。
考虑到患者数据和患者本身的机密性，开发人员可以利用医疗设备的原因有很多。
我们的医疗设备非常需要安全性。
典型医疗设备的使用寿命可能在15到20年之间。在此期间，患者可能无法使用最新的补丁程序和标准使设备保持最新状态。
此类设备通常成为黑客最容易攻击的目标。一旦黑客进入弱小的设备，他或她就可以找到许多方法从那里进入大型机和同一网络中的其他设备。
黑客不需要任何非常复杂的东西就可以入侵最好的临床系统。
黑客可以简单地亲自使用其中一种设备，并跟踪制造漏洞和错误消息。一旦黑客发现足够的弱点，软件漏洞，敏感的硬件信息，他们便可以对脆弱点发起密集的攻击。
黑客进入中央系统的意图更大。
为什么医疗设备需要网络安全?
我们已经看到，黑客可以利用单个设备进入更大的临床系统网络。有趣的是，已经发生了许多袭击卫生保健部门的案件。根据Ponemon研究所的说法，近年来，黑客通过网络攻击成功利用了至少94%的医疗组织。
不幸的是，医疗保健中使用的安全措施和网络安全措施不足以跟上不断增长的风险。 2014年的SANS端点安全调查表明，攻击者甚至没有使用隐身技术。他们不必这样做-骇客可以轻松绕过临床系统的弱外围保护。
通过弱节点进入外围之后，攻击者可以快速发起网络钓鱼和DDoS攻击。
攻击者瞄准了整个医疗行业。
各个设备只是入口点。攻击者正在使用这些设备拥有的敏感数据来瞄准整个医疗保健业务。诸如健身追踪器带之类的易于使用的设备也可以用于瞄准医疗或保险系统。
黑客可以操纵诸如数据之类的东西，以欺诈保险公司。黑客可以使用类似的方法对集成到此类网络中的任何医疗保健业务发起攻击。
对使用者和患者的生命危险。
许多心脏设备依靠无线系统来工作。破坏系统可能会导致黑客未经授权访问这些设备。黑客现在可以操纵设备并破坏其设置以故意杀死患者。
黑客可以操纵设备的电池或修改心跳，从而对患者造成伤害。
如何改善对医疗器械风险的应对?
不仅医院，而且许多实体一起工作以管理连接的设备。医院可以拥有成千上万个活动设备。每个设备都是通往网络的网关，因此，这是攻击者和黑客的潜在目标。网络中的每个设备都是唯一的，我们无法使用相同的策略来缓解所有威胁。我们需要灵活的安全解决方案。
共同致力于信息安全流程
由于市场上有多家制造商，因此在所有制造商之间实施一致的安全流程是一项复杂的任务。当涉及制造时，它们都具有不同的过程，设备，标准和逻辑临床工作流程。尽管制造商可以通过标准做法在设备中实现某种一致性，但这并不意味着安全措施也具有一致性。制造商需要通过连续的协调来实施公共网络的安全配置，以管理在其设备上运行的软件解决方案。
用户-医疗保健-制造之间的无缝通道。
医疗服务提供商和制造商之间应该有无缝的反馈和实时跟踪系统。利用实时报告，制造商将有足够的时间来减轻潜在威胁甚至运营问题。
尽管网络中已经存在这样的实时跟踪和通知系统，但它们更多地集中在设备的操作报告上。而不是网络安全威胁。
无论是内部管理还是咨询IoMT安全解决方案公司都没有关系，后者专门研究和缓解此类威胁，制造商和医院必须实施额外的安全保护。
风险管理和标准制定。
一旦医疗保健服务连贯起来，并且设备制造商不同，就可以更轻松地管理风险。借助标准的制造流程，强大的治理能力以及对威胁的实时跟踪，可以更轻松地识别风险并快速做出响应。
以下做法将有助于此方向：
增加制造商的法规遵从性。
数据流的强制性标准文档。
对生物医学技术人员进行关键IT实践的培训。
先进的弹性和保护措施可减轻损失。
总结一下
在复杂的网络中保护医疗设备确实是一项艰巨的任务。市场上有如此众多的企业，因此技术堆栈，操作系统，开发环境，软件体系结构，内部代码和必要的第三方集成之间存在巨大差异。
在市场上保持显着一致性之前，企业必须实施针对最终需求量身定制的专业解决方案。医疗设备危及人类生命;没有错误的余地。医疗设备的网络安全对所有参与人员而言都是不可转让的投资。