Internet (medycznych) rzeczy Niebezpieczeństwa, zagrożenia i problemy z bezpieczeństwem

Być może słyszałeś to zdanie “twoje zdrowie jest twoim bogactwem.” Jest to jeden z powodów, dla których USA wydały ponad 3,2 biliona dolarów na opiekę zdrowotną w samym 2015 roku.

Przy tak dużej ilości pieniędzy to naturalne, że wiele firm weszło na rynek opieki zdrowotnej, w tym firmy technologiczne.

Technologia medyczna czasami wydaje się przestarzała, ale firmy zamierzają przeciągnąć te urządzenia w XXI wiek. I chociaż łączność internetowa może wydawać się świetną funkcją, istnieje kilka prawdziwych niebezpieczeństw i problemów, które mogą Cię zaskoczyć.

Jakie są urządzenia medyczne?

Światowa Organizacja Zdrowia (WHO) określa urządzenie medyczne jako “wszelkie przyrządy, aparaty, narzędzia, maszyny, urządzenia, implanty, odczynniki do użytku in vitro, oprogramowanie, materiały […] przeznaczone przez producenta do wykorzystania […] dla ludzi, do jednego lub więcej […] określonych celów medycznych”.

Chociaż brzmi to dość skomplikowanie, oznacza to po prostu każde urządzenie lub oprogramowanie, które może być użyte do celów medycznych.

Amerykańska Agencja ds. Żywności i Leków (FDA) odpowiada za nadzór regulacyjny nad wyrobami medycznymi i dzieli je na trzy kategorie: klasa I, klasa II i klasa III. Urządzenia klasy 1 są lekko regulowane, a większość elementów sterujących umieszcza się tylko na tym, jak są produkowane i sprzedawane. Klasa II wprowadza bardziej szczegółowe regulacje, a klasa III jest zarezerwowana dla urządzeń, które wspierają lub podtrzymują ludzkie życie.

Jednak, jak to jest typowe na całym świecie, FDA starała się nadążyć za tempem innowacji. Niewiele jest odniesień do regulacji nowoczesnych urządzeń podłączonych do Internetu.

Jakie kroki powinni podjąć producenci, aby zapewnić bezpieczeństwo takich urządzeń? W grudniu 2016 r. FDA opublikowała wytyczne dotyczące bezpieczeństwa urządzeń medycznych, ale nie są one prawnie wykonalne. To pozostawiło producentom decyzję, czy zastosować się do porady, czy nie.

Internet rzeczy (medycznych)

To stawia urządzenia medyczne podłączone do Internetu na tej samej łodzi, co urządzenia z szerszej kategorii Internetu rzeczy (IoT). Urządzenia medyczne IoT mają wiele zalet. 5 sposobów, w jaki Internet przedmiotów rewolucjonizuje opiekę zdrowotną 5 sposobów, w jaki Internet przedmiotów rewolucjonizuje opiekę zdrowotną Oto niektóre z najfajniejszych (i najważniejszych) sposobów, w jakie łączona technologia rewolucjonizuje świat medyczny. , ale brak możliwych do wyegzekwowania przepisów oznacza, że ​​producenci prawdopodobnie nie zainwestują wielu środków w ich zabezpieczenie.

To tylko jeden z wielu powodów, dla których Internet przedmiotów jest koszmarem bezpieczeństwa. Dlaczego Internet przedmiotów jest największym koszmarem bezpieczeństwa. Dlaczego Internet przedmiotów jest największym koszmarem bezpieczeństwa. Pewnego dnia wracasz do domu z pracy i odkrywasz, że Twoja chmura… włączony system bezpieczeństwa w domu został naruszony. Jak to mogło się stać? Dzięki Internetowi rzeczy (IoT) możesz dowiedzieć się na własnej skórze. . Ponadto dosłownie oddajemy nasze życie w ręce medycznych urządzeń IoT. W związku z tym stawki są jeszcze wyższe niż w przypadku zwykłych urządzeń IoT.

Opieka zdrowotna jest drogim biznesem, nie tylko dla pacjentów, ale dla samych dostawców. Firmy pobierają ogromne sumy pieniędzy za nowe urządzenia i wsparcie techniczne. Oznacza to, że szpitale i inne praktyki medyczne są zbiorem narzędzi - niektóre nowe, niektóre stare z szeregiem różnych wymagań operacyjnych. Stary sprzęt, starsze oprogramowanie i zastrzeżone interfejsy - wszystko to sprawia, że ​​odpowiednie zabezpieczenie systemu jest koszmarem dla działu IT dostawcy.

Przykład: podsłuchiwanie pompy medycznej

Interfejs między oprogramowaniem i sprzętem często ujawnia podatne na wykorzystanie luki, jak pokazał Saurabh Harit na Black Hat Europe 2017. Otrzymał pompę infuzyjną IV, która wstrzykuje leki do krwi pacjenta, którą można programować i obsługiwać zdalnie.

Po uzyskaniu dostępu do trybu administratora pompy z domyślnym hasłem znalezionym online, był w stanie użyć podczerwieni urządzenia i starego urządzenia PDA zakupionego w serwisie eBay, aby zaimportować swoje poświadczenia Wi-Fi do ustawień sieciowych pompy.

Korzystanie z Wireshark (jedno z wielu narzędzi bezpieczeństwa sieci typu open source) Jak przetestować bezpieczeństwo sieci domowej za pomocą bezpłatnych narzędzi hakerskich Jak przetestować bezpieczeństwo sieci domowej za pomocą bezpłatnych narzędzi hakerskich Żaden system nie może być całkowicie „odporny na włamanie”, ale testy zabezpieczeń przeglądarki i zabezpieczenia sieci mogą uczyń swoją konfigurację bardziej niezawodną. Użyj tych bezpłatnych narzędzi do identyfikacji „słabych punktów” w sieci domowej.) Aby sprawdzić pakiety, Harit przeglądał dane pacjenta, takie jak dawka leku, opiekun, nazwa, lokalizacja i trasa. O dziwo udało mu się nawet uzyskać dostęp do głównej listy leków, która ustala i utrzymuje przepisane dawkowanie.

Lista przykładów trwa…

Gdyby takie podatności były ograniczone do tej jednej pompy, byłoby to wystarczająco szokujące, ale naukowcy regularnie odkrywają nowe. Jeden zespół był w stanie uzyskać dostęp do skanera CT, urządzenia, które daje niewielką dawkę promieniowania do tworzenia modeli 3D wewnątrz ciała.

W sierpniu 2017 r. FDA przypomniała 465,000 rozruszników serca opracowanych przez Abbott z powodu obaw o hakowanie. Zamiast zmuszać prawie pół miliona ludzi do poddania się inwazyjnej operacji, Abbott wydał łatkę oprogramowania układowego, którą personel medyczny mógł zastosować do rozrusznika serca.

W 2014 roku Departament Bezpieczeństwa Wewnętrznego (DHS) rozpoczął dochodzenie w sprawie 24 urządzeń pod kątem podejrzeń o krytyczne wady. Urządzenia obejmowały pompę infuzyjną firmy Hospira Inc oraz wszczepialne urządzenia serca firmy Medtronic i St Jude Medical.

Starsze urządzenia medyczne i słabe bezpieczeństwo

Jeśli kiedykolwiek pracowałeś w biurze, będziesz wiedział, że wiele firm polega na starszym oprogramowaniu. Niezmiennie wymaga to starszych systemów operacyjnych, sterowników i urządzeń peryferyjnych, co czyni je bardzo niepewnymi. Koszt jest zwykle decydującym czynnikiem przy aktualizacji, a wielu decyduje, że nie mogą uzasadnić kosztu. Jeśli nie jest zepsuty, nie naprawiaj go, prawda?

Firmy często walczą o priorytetowe traktowanie bezpieczeństwa cybernetycznego, z dominującą postawą, że jeśli atak jeszcze nie nastąpił, to nie będzie. Niestety, dostawcy opieki zdrowotnej również nie są odporni na ten sposób myślenia. W maju 2017 r. Atak ransomware, nazwany WannaCry The Global Ransomware Attack i jak chronić twoje dane Global Ransomware Attack i jak chronić twoje dane Ogromny cyberatak nawiedził komputery na całym świecie. Czy dotknęło Cię wysoce zjadliwe samoreplikujące się oprogramowanie ransomware? Jeśli nie, w jaki sposób możesz chronić swoje dane bez płacenia okupu? , prawie jednocześnie zainfekowało 300 000 komputerów, z których wiele należy do brytyjskiej National Health Service (NHS).

Oprogramowanie ransomware wpłynęło na ponad 40 trustów NHS w całym kraju, zmniejszając opiekę nad pacjentami, zamykając operacje, a nawet zamykając szpitale. Skutki ataku narażają pacjentów na ryzyko i potencjalnie podważają bezpieczeństwo ich danych. Niestety, Microsoft opublikował łatkę na miesiąc przed atakiem, która uniemożliwiłaby WannaCry uchwycenie się. Aktualizacja nie tylko nie została wdrożona, ale jak się okazało, na wielu komputerach nadal działał system Windows XP.

Dzieje się tak pomimo przedłużonego wsparcia dla 15-letniego systemu operacyjnego, który zakończył się dwa lata przed atakiem.

Przyszłość urządzeń medycznych mnie przeraża

Technologia w dalszym ciągu zapewnia znaczące postępy w leczeniu 8 Przełomów w technice medycznej, których możesz potrzebować jednego dnia 8 Przełomów w technice medycznej, których możesz potrzebować w jeden dzień Wierz lub nie, szybkość postępów technologicznych wciąż rośnie - i wiele jest przełomów dzieje się w dziedzinie medycyny. Sprawdź te niesamowite nowe rzeczy! , ale nie jest to oszczędzanie sektora medycznego, jak odkrył brytyjski NHS. Według Jeremy Hunt, Sekretarza Zdrowia Rządu, po 270 może umrzeć nawet 270 kobiet “błąd algorytmu komputerowego” nie zaprosił 450 000 kobiet na regularne badania przesiewowe w kierunku raka piersi.

W przeciwieństwie do wielu innych obszarów dotkniętych postępem technologii, urządzenia medyczne mogą być kwestią życia lub śmierci. Ponieważ prawo Moore'a umożliwia dostęp do większej liczby urządzeń w nadchodzących latach, producenci muszą priorytetowo traktować bezpieczeństwo. W końcu nie jest dobre projektowanie “funkcja zabójcy” jeśli okaże się to bardzo trafnym opisem.