Интернет (медицинских) вещей: опасности, риски и проблемы безопасности

Рекламное объявление

Возможно, вы слышали фразу «ваше здоровье - ваше богатство». Это одна из причин, по которой только в 2015 году США потратили на здравоохранение более 3,2 триллиона долларов.

Когда вокруг так много денег, вполне естественно, что многие компании вышли на рынок здравоохранения, в том числе технологические компании.

Медицинские технологии иногда кажутся устаревшими, но компании намерены перенести эти устройства в 21 век. И хотя подключение к Интернету может показаться отличной функцией, есть некоторые реальные опасности и проблемы, которые могут вас удивить.

Что такое медицинские устройства?

Всемирная организация здравоохранения (ВОЗ) определяет медицинское устройство как «любой инструмент, устройство, приспособление, машину, приспособление, имплантат, реагент для использование in vitro, программное обеспечение, материал […], предназначенный производителем для использования […] людьми, для одного или нескольких […] конкретных медицинских цель".

Хотя это звучит довольно сложно, это означает любое устройство или программное обеспечение, которые могут использоваться в медицинских целях.

Управление по санитарному надзору за качеством пищевых продуктов и медикаментов США (FDA) отвечает за нормативный надзор за медицинскими устройствами и делит их на три категории: класс I, класс II и класс III. Устройства класса 1 слабо регулируются, при этом большинство элементов управления сосредоточено только на том, как они производятся и продаются. Класс II добавляет более конкретные правила, а класс III зарезервирован для устройств, которые поддерживают или поддерживают жизнь человека.

Однако, как это обычно бывает во всем мире, FDA изо всех сил пытается идти в ногу с темпами инноваций. Есть несколько ссылок на то, как следует регулировать современные устройства, подключенные к Интернету.

Какие шаги должны предпринимать производители для обеспечения безопасности таких устройств? В декабре 2016 года FDA выпустило руководство по безопасность медицинского оборудования, но они не имеют юридической силы. Это оставило производителям решать, следовать ли совету или нет.

Интернет (медицинских) вещей

Это ставит подключенные к Интернету медицинские устройства в одну лодку с устройствами из более широкой категории Интернета вещей (IoT). Здесь очень много преимущества для медицинских устройств IoT 5 способов, которыми Интернет вещей революционизирует здравоохранениеВот некоторые из самых крутых (и наиболее важных) способов, с помощью которых подключенные технологии революционизируют мир медицины. Подробнее , но отсутствие обязательного регулирования означает, что производители вряд ли будут вкладывать много ресурсов в их защиту.

Это всего лишь один из множество причин, по которым Интернет вещей - это кошмар безопасности Почему Интернет вещей - самый большой кошмар безопасностиОднажды вы приходите домой с работы и обнаруживаете, что ваша облачная система домашней безопасности взломана. Как такое могло произойти? С Интернетом вещей (IoT) вы можете выяснить это на собственном горьком опыте. Подробнее . Кроме того, мы буквально доверяем свою жизнь медицинским устройствам Интернета вещей. Таким образом, ставки даже выше, чем с обычными устройствами Интернета вещей.

Здравоохранение - дорогое дело не только для пациентов, но и для самих поставщиков. Компании берут огромные деньги за новые устройства и техническую поддержку. Это означает, что больницы и другие медицинские учреждения представляют собой беспорядочную смесь инструментов - некоторые новые, некоторые старые с целым рядом различных операционных требований. Старое оборудование, устаревшее программное обеспечение и проприетарные интерфейсы - все вместе делает надлежащую защиту системы кошмаром для ИТ-отдела поставщика.

Пример: подслушивание медицинской помпы

Интерфейс между программным обеспечением и оборудованием часто обнаруживает уязвимости, которые можно использовать, например: Саураб Харит продемонстрировал на Black Hat Europe 2017. Он получил инфузионный насос, который вводит лекарства в кровь пациента, который можно программировать и управлять им дистанционно.

После входа в режим администратора помпы с паролем по умолчанию, найденным в Интернете, он смог использовать инфракрасный порт и старый КПК, купленный на eBay, для импорта их учетных данных Wi-Fi в сеть помпы настройки.

Использование Wireshark (один из многих инструментов сетевой безопасности с открытым исходным кодом Как проверить безопасность домашней сети с помощью бесплатных инструментов для взломаНи одна система не может быть полностью «защищенной от взлома», но тесты безопасности браузера и сетевые средства защиты могут сделать вашу установку более надежной. Используйте эти бесплатные инструменты для определения «слабых мест» в вашей домашней сети. Подробнее ), чтобы проверить пакеты, Харит просмотрел данные пациента, такие как доза лекарства, лицо, осуществляющее уход, имя, местоположение и маршрут. Удивительно, но он даже смог получить доступ к Основному списку лекарств, который устанавливает и поддерживает предписанную дозировку.

Список примеров продолжается ...

Если бы такие уязвимости ограничились только этим насосом, это было бы достаточно шокирующим, но исследователи регулярно обнаруживают новые. Одна команда смогла получить доступ к компьютерному томографу, устройство, которое дает небольшую дозу радиации для создания трехмерных моделей вашего тела.

В августе 2017 г. FDA отозвало 465 000 кардиостимуляторов сделано Abbott из-за опасений по поводу взлома. Вместо того, чтобы заставлять почти полмиллиона человек подвергнуться инвазивной хирургии, Abbott выпустила исправление прошивки, которое медицинский персонал смог применить к кардиостимулятору.

Еще в 2014 году Министерство внутренней безопасности (DHS) начало расследование 24 устройств с подозрением на критические недостатки. Среди устройств были инфузионный насос от Hospira Inc и имплантируемые сердечные устройства от Medtronic и St Jude Medical.

Устаревшие медицинские устройства и низкая безопасность

Если вы когда-нибудь работали в офисе, то знаете, что многие компании полагаются на устаревшее программное обеспечение. Это неизменно требует более старых операционных систем, драйверов и периферийных устройств, что делает их очень небезопасными. Стоимость обычно является решающим фактором при обновлении, и многие решают, что они не могут оправдать затраты. Если не сломалось, не чинить, верно?

Компании часто не могут уделять первоочередное внимание кибербезопасности, считая, что если атака еще не произошла, то и не случится. К сожалению, медицинские работники тоже не застрахованы от такого образа мыслей. В мае 2017 г. произошла атака программы-вымогателя, получил название WannaCry Глобальная атака программ-вымогателей и способы защиты ваших данныхМассовая кибератака поразила компьютеры по всему миру. Пострадали ли вы от очень опасного самовоспроизводящегося вымогателя? Если нет, как вы можете защитить свои данные, не заплатив выкуп? Подробнее , почти одновременно заразили 300 000 компьютеров, многие из которых принадлежат Национальной службе здравоохранения Великобритании (NHS).

Программа-вымогатель затронула более 40 трастов NHS по всей стране, сократив уход за пациентами, закрывая операции и даже больницы. Последствия атаки подвергают пациентов риску и потенциально могут подорвать безопасность их данных. К сожалению, за месяц до атаки Microsoft выпустила патч, который предотвратил бы распространение WannaCry. Мало того, что обновление не было выпущено, но, как оказалось, на многих компьютерах все еще использовалась Windows XP.

Это несмотря на прекращение расширенной поддержки 15-летней операционной системы за два года до нападения.

Будущее медицинских устройств меня пугает

Технологии продолжают добиться значительных успехов в лечении 8 достижений в области медицины, которые могут вам понадобиться в один прекрасный деньХотите верьте, хотите нет, но скорость технологических достижений все еще увеличивается - и в области медицины происходит множество прорывов. Ознакомьтесь с этими удивительными новинками! Подробнее , но это не спасительная благодать медицинского сектора, как обнаружила Национальная служба здравоохранения Великобритании. По словам министра здравоохранения правительства Джереми Ханта, до 270 женщин могли умереть после того, как «ошибка компьютерного алгоритма» не смогла пригласить 450 000 женщин на регулярный скрининг рака груди.

В отличие от многих других областей, затронутых развитием технологий, медицинские устройства могут быть вопросом жизни или смерти. Поскольку закон Мура позволяет большему количеству устройств подключаться к сети в ближайшие годы, производители должны уделять приоритетное внимание безопасности. В конце концов, не стоит придумывать «убойную фичу», если такое описание окажется невероятно точным.