Защита IoMT: лучшие практики обеспечения безопасности интернет-медицинских устройств

Львы, тигры и медведи — о боже мой!

При прибытии в незнакомый ландшафт в «Чародее Оз», Дороти заметила: «Тото, у меня ощущение, что мы больше не в Канзасе». Встречи с летающими обезьянами, компаньонами с недостающими органами, веселыми малышами и боящейся воды ведьмой скоро стали ее новой нормой.

Для нас новая норма включает ускоряющееся принятие интернет-медицинских устройств и моделей виртуального ухода — «интернет медицинских вещей» или IoMT, который Deloitte определяет как «подключенную инфраструктуру медицинских устройств, программных приложений, систем здравоохранения и услуг».

Глобальный спрос на медицинские устройства — как от отдельных потребителей, так и от поставщиков здравоохранения — огромен. В США этот рынок оценивался в 160,8 млрд долларов в 2019 году и прогнозируется достижение 176 млрд долларов в 2020 году. В то же время отчет исследовательской фирмы Fior Markets ожидает рост глобального рынка подключенности медицинских устройств с 1,63 млрд долларов в 2019 году до 8,76 млрд долларов в 2027 году.

Оно живо!

В другой известной истории барон Виктор Франкенштейн, безумный доктор Мэри Шелли, использовал простые швейные техники, чтобы соединить различные части тела своего создания, которое он затем активировал 19-вековой версией электрошоковой терапии. Технологии 21-го века еще не достигли этой способности, хотя пересадки, репринотации, протезы и импланты — многие из которых «умные» (то есть подключенные) или произведенные с помощью аддитивного производства и инструментов 3D-печати — не редки.

Из-за этого IoMT представляет более личный аспект кибер-физического схождения, чем то, что видно в других IoT-приложениях — они входят в нашу интимную физическую «зону доверия». Безопасность пациента и приватность могут быть поражены, если устройство или производственный процесс устройства скомпрометированы. Такая потенциальность породила опасения об этическом использовании и технической способности защитить приватность, кибербезопасность и основную производительность устройства.

Эффективное управление инфраструктурой IoMT требует рассмотрения множества движущихся, часто автономных частей, включая:

• Контроль качества в производственном процессе.
• Интероперабельность медицинской информации, хранящейся на множестве устройств.
• Зависимость от облачного хранения и программной платформы.
• Мониторинг сетевых коммуникаций.
• Соответствие ожиданиям медицинских профессионалов.

IoMT все более становится частью ткани нашей жизни. Встроение приватности данных, целостности устройств и киберустойчивости в проектирование и производство медицинских устройств и оборудования — необходимо.

Кто вы зовете?

Эксцентричные ученые в «Охотниках за привидениями» использовали парапсихологические трюки, чтобы выследить нежелательных привидений. Стандарты и руководства¹ для производителей медицинских устройств адресуют сотрудничество, вопросы качества, управление рисками и безопасностью, сценарии использования и описывают практики для выявления и искоренения любых неожиданных «призрачных» поведений в медицинских устройствах. Это помогает усилить контроль над производительностью устройства «как спроектировано» и «как построено» (даже если контроль над устройствами «как используются» более неуловим).

Международный форум регуляторов медицинских устройств (IMDRF), добровольная организация, собрал Рабочую группу по кибербезопасности медицинских устройств, которая выпустила свои «Принципы и практики кибербезопасности медицинских устройств» в марте 2020 года.

Этот документ не адресует кибербезопасность внутри самого предприятия, но обсуждает ответственность производителей медицинских устройств за усиление киберустойчивости продукта, устранение уязвимостей и смягчение рисков через этапы проектирования/разработки, производства, тестирования и поддержки/пост-рыночного мониторинга общего жизненного цикла продукта (TPLC). Его рекомендации для производителей включают разработку плана управления кибербезопасностью TPLC для адресации следующего:

• Ситуационная осведомленность.
• Раскрытие уязвимостей.
• Обновления и исправления.
• Восстановление.
• Доказательства того, что производитель остается в курсе раскрытых уязвимостей и делится теми, что он выявил.

Одна техника управления рисками в частности, которая может быть полезна — это моделирование угроз. Проект Open Web Application Security Project (OWASP) рекомендует производителям задавать следующие четыре вопроса во время проектирования и разработки:

1. Что мы строим?
2. Что может пойти не так (например, как это может быть атаковано)?
3. Что мы собираемся сделать с этим?
4. Сделали ли мы достаточно хорошую работу?

Планирование и строительство киберустойчивости в медицинские устройства на протяжении TPLC от определения требований к производительности через доставку в — и вывод из — эксплуатации приведет к продуктам, заслуживающим нашего доверия.

Они здееееесь!

Полтергейст исследует сбои, создаваемые когда коммерческие, прибыль-ориентированные деятельности пренебрегают этическими, гуманистическими заботами и идут по сокращенным путям, ведущим к непредвиденным последствиям и сопутственному ущербу. Сообщество стейкхолдеров сотрудничало над инициативой для предотвращения таких сбоев в секторе производства медицинских устройств, который попадает под две из 16 критических инфраструктурных секторов, идентифицированных в Директиве президента 21 (PPD-21): здравоохранение и общественное здоровье, и критическое производство. Плюс, в 2015 году Конгресс США принял Закон о кибербезопасности 2015 года (CSA), который включает требования для выравнивания подходов безопасности индустрии здравоохранения.

Общая рабочая группа по кибербезопасности здравоохранения и общественного сектора координирующего совета, публично-частное партнерство с Министерством здравоохранения и социальных услуг США, перечисляет технические лучшие практики для производителей медицинских устройств, включая:

• Минимизация поверхностей атаки.
• Установка безопасных значений по умолчанию и конфигурации.
• Поддержание аудита и подотчетности.
• Следование принципам наименьших привилегий, разделения обязанностей и защиты в глубине.
• Безопасный отказ.
• Простота безопасности и правильное исправление проблем безопасности.

Любой, кто работал через требования контроля безопасности NIST SP 800-171, распознает элементы ее 14 семей контроля, запечатленные в вышеприведенном резюме лучших практик. Они проверены временем — и фундаментальны для осознанного, а не слепого доверия.

Будь то предотвращение катастрофических сокращений путей, сдерживание злых фантомов (или белок), или сшивание мульти-узлового решения для устройств, касательно медицинских устройств мы в новой норме. К счастью, мы можем перейти к более безопасным, более глубоко осознанным отношениям с технологией. Нам просто нужно погрузиться глубже в киносценарий IoMT, чтобы понять составные части, как они взаимодействуют и как предотвратить несчастные случаи.

Этот блог является частью серии, опубликованной для Месяца осведомленности о кибербезопасности (NCSAM). Другие блоги в серии включают Creating a Culture of Security Селии Полсен, If You Connect It, Protect It Зейна Паталиве, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked Пэт Тот и The Future of Connected Devices Эрика Фогельмана и Джефф Орзак.

^{1 Примеры: Association for Advancement of Medical Information (AAMI) - https://www.aami.org/medical-device-manufacturer; Food and Drug Administration - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance; International Electrotechnical Commission (IEC) - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm; International Organization for Standardization (ISO) - https://www.iso.org/iso-13485-medical-devices.html; Underwriters Laboratories (UL) - https://www.ul.com/resources/healthcare-standards-directory}