Hvor bekymrede skal vi være over stigningen i ransomware-angreb på hospitaler?

Amerikanske hospitaler var vidne til et angreb af sikkerhedsbrud i hele 2021, med mere end 40 millioner patientjournaler kompromitteret i hændelser rapporteret til den føderale regering. Nogle angreb truede endda levering af sundhedsydelser, slog kommunikationssystemer offline i ugevis eller forårsagede afbrydelser i strålebehandling.

Kevin Fu, lektor ved University of Michigan og fungerende direktør, Medical Device Cybersecurity ved US FDA Center for Devices and Radiological Health, mødtes med os og diskuterede den alarmerende tendens, og hvilke foranstaltninger der er mulige for at imødegå den.

Fortæl os om omfanget af dette problem

2021 var et ret betydeligt år for ransomware-angreb på levering af sundhedsydelser. Det er meget forstyrrende, og det skærer ind i hjertet af svage punkter i sikkerheden – det menneskelige element, der sniger sig ind.

I april hos FDA så vi det første tilfælde, hvor ransomware gik længere end at forstyrre elektroniske sundhedsjournaler, hvilket til dato var et ret almindeligt og ubelejligt problem. Dette angreb påvirkede sikkerheden og effektiviteten af ​​strålebehandling til cancerstrålingsonkologi.

Dette angreb var rettet mod en producent, der invaderede en privat sky, som de brugte til dosimetri af strålingsonkologi med ransomware og forårsagede et betydeligt udfald for hospitaler, der brugte deres teknologi. Det interessante er, at det ikke var selve ransomwaren, men afhjælpningsprocessen, der forårsagede udfaldet. Producenten fulgte deres it-sikkerhedshåndbog ved at tage deres sky offline, når den var inficeret.

Desværre betød det, at skyen ikke var tilgængelig for en bestemt produktlinje inden for strålingsonkologi, og derfor var hospitaler, der brugte produktet, ikke i stand til at levere strålebehandlingen.

Når vi tænker på ransomware til hospitaler, er vi tilbøjelige til at tænke på selve bygningen og de enheder, der er begrænset til disse vægge, men i virkeligheden lyder det som om, at fejlpunkterne i fare strækker sig langt ud i forsyningskæden

Ja, og jeg tror, ​​at en reel udfordring er en ændring i tankegangen. Der er it-systemer – e-mail, klasseværelsesforelæsninger, ting som dette – og de har deres eget sæt risici. Men på den anden side har du operationsteknologi, det vi kalder OT, inklusive ting som medicinsk udstyr, autonome køretøjer eller satellitaktiver i rummet. De har et andet sæt krav og har en tendens til at være fokuseret på sikkerhed først.

Så mens du måske tolererer at tage e-mail-systemet ned for en virksomhed på grund af en sikkerhedshændelse, er det ikke rigtig noget på bordet for et kinetisk system, hvor folks liv afhænger af det.

Hvorfor nu? Er der nogen særlig grund til, at dette er et stigende problem?

Jeg vil foreslå flere faktorer. Disse problemer har været bagt i computeren siden begyndelsen, og denne type angreb kunne meget vel være blevet udført i 1960'erne.

Men jeg tror, ​​at grunden til, at det sker i 2022, er, at vi har nået et vendepunkt, hvor graden af ​​forbindelse mellem enheder og tjenester i alle sektorer er eksploderet. Vi er nu afhængige af distribueret computing. For fem eller ti år siden kunne vi have brugt cloud computing for nemheds skyld eller måske til backup eller sekundær lagring. Men nu bevæger det sig ind på den kritiske vej, det er en del af de væsentlige komponenter i et medicinsk udstyr. Og hvis det går ned, mister det medicinske udstyr sin terapeutiske kernefunktionalitet.

Det er en hård epoke. Der er ikke noget iboende galt med cloud computing, men du skal kontrollere for risiciene i henhold til din trusselsmodel. Og min observation er, at trusselsmodellen for et medicinsk udstyr er meget forskellig fra virksomhedens e-mail.

Er der nogle primære svagheder, der er lavthængende frugter at tackle?

Den lavthængende frugt med hensyn til nem reparation ville være det, der er blevet kendt som trusselsmodellering. Dette er noget, vi faktisk underviser i på computersikkerhedskurser. Det indebærer at spille rollen som modstanderen og prøve at tænke på, hvordan systemet kunne modstå ikke blot nutidens trusler, men fremtidige trusler.

Dette er noget, som jeg tror kan være meget nyttigt, fordi selv med en ældre enhed kan producenter bedre forstå, hvad der er i fare. De starter med at erkende, at enheden er modtagelig for moderne malware, fordi den blev designet for 20 år siden.

Er patientjournalangreb oftere rettet mod isolerede hospitaler, eller er de rettet mod delte servere?

Jeg er endnu ikke klar over, at en cloud-udbyder er målrettet specifikt, fordi den betjener en lang række producenter af medicinsk udstyr. Jeg ville ikke blive overrasket, hvis dette sker ved et uheld på et tidspunkt.

Vi håber bestemt, at de cloud-tjenesteudbydere, der betjener sundhedssektoren, er opmærksomme på nogle af standardudviklingen for at sikre, at hospitalernes enheder forbliver sikre og effektive, selvom de bruger skyen.

Dette er muligt at opnå fra et ingeniørmæssigt perspektiv, men kræver bevidste, bevidste skridt, hvis du ønsker rimelig sikkerhed. Du vil ikke have sikkerhed ved held, du vil have sikkerhed ved design.

Hvad er budskabet til interessenter og offentligheden?

Dette er ikke et løb for bakkerne, det er mere en langsom kogning.

Offentligheden kan have en vis grad af tilfredshed med, at de forskellige reguleringsorganer på tværs af forskellige lande faktisk arbejder sammen på forhånd om disse spørgsmål. De arbejder på at hjælpe med at holde hospitaler informeret om sikkerhedsrisici ved hver enhed, så de kan implementere dem på en sikker måde.

Der sker en masse ting i baggrunden, både teknisk og politisk, som vil forbedre enheder.

FDA arbejder strategisk på udvikling af standarder for at udforme en masse sikkerhedsrisici, men en udfordring er, at der er en del ældre software ude på markedet - meget af det årtier gammelt. At forsøge at holde disse enheder sikre er utroligt udfordrende, når hesten er ude af lågen.

Til det formål er der også en masse midlertidige foranstaltninger i gang for at imødegå de forældede, ældre enheder. Det er udfordrende, men ikke umuligt, at holde disse enheder sikre og effektive, indtil en mere ideel enhed, med sikkerhed indbygget fra starten, bliver tilgængelig.