Перед производителями медицинского оборудования, поставщиками медицинских услуг и компаниями, специализирующимися на безопасности, стоит важная новая проблема противодействия кибератакам, направленным на Интернет медицинских вещей (IoMT).

По-видимому, пройдет еще немалый срок, прежде чем мы перестанем слышать про компании, ставшие жертвами хакеров, однако важно понимать, что возможности компрометации медицинских устройств могут быть гораздо шире стандартных инфекций вредоносного ПО и краж персонально идентифицируемой информации (PII).

Орудием атак против медицинских устройств могут быть социальная инженерия и проникновение в сети, а также уязвимости в оборудовании и ПО. К числу распространенных угроз сегодня относятся программы-вымогатели, атаки типа «человек посередине» (MiTM), фишинг и, в ряде случаев, физическая компрометация устройств.

Хорошо защищенные сети могут создавать барьер между злоумышленниками и медицинскими системами, однако медицинские устройства могут страдать от тех же уязвимостей, эксплойтов, устаревших прошивок и дефектов безопасности, которые создают неприятности и беды для традиционных компьютерных систем.

Безопасность медицинских устройств стала предметом пристального внимания в 2012 г., когда исследователь из фирмы IOActive Барнаби Джек обнаружил дефекты безопасности во взаимодействии передатчика с кардиостимулятором, которые в принципе можно использовать для летального воздействия на человека. Производитель медицинского оборудования St. Jude Medical недавно был вынужден устранить дыры в безопасности своих устройств, регулирующих работу сердца.

Медицинская аппаратура может стать объектом атак не только для причинения вреда отдельным пациентам, но и с целью шантажа, чаще всего ради денежной наживы.

В марте 2016 г. после успешной вирусной атаки в США была выведена из строя ИТ-инфраструктура сети больниц MedStar, а Голливудский пресвитерианский медицинский центр в Калифорнии в том же году заплатил злоумышленникам тысячи долларов после заражения программой-вымогателем, нарушившим работу критических сервисов.

Джейсон Олауэй, вице-президент компании RES UK and Ireland, заявил ZDNet, что главную угрозу для больниц несут программы-вымогатели из-за «разрушительной эффективности» таких атак, а также из-за того, что «последствия потери данных выходят далеко за рамки финансовых потерь».

«В отличие от данных, которыми оперируют другие организации, например, в финансовом секторе, цена медицинских данных измеряется жизнью и смертью. При недостаточной полноте данных медицинские организации даже не вправе выдавать самые элементарные болеутоляющие. Если у больницы нет твердой политики резервного копирования, то ради того, чтобы ее персонал мог продолжать оказывать медицинскую помощь, у нее практически нет иного выбора, кроме оплаты выкупа», — говорит он.

Однако, отмечает Олауэй, существует еще и тенденция к распространению doxware. В отличие от обычных вымогателей (ransomware), которые запирают данные, doxware угрожают открыто их опубликовать, что чревато значительным ущербом для больниц и их пациентов.

Олауэй считает, что главной причиной успеха атак против организаций здравоохранения является недостаток образования, так как во многих больницах простодушно полагают, что их персонал в состоянии распознать фишинговую электронную почту или зловредную ссылку.

Недостаток образования и необходимой бдительности в отношении кибератак являются реальной проблемой, но эта проблема не единственна. «Люди также исходят из предпосылки, что их не будут атаковать, и пренебрегают проверенными технологическими подходами, такими как использование белых списков, доступ на базе полномочий, защита информации атрибутом „только для чтения“ и аннулирование доступа», — говорит Олауэй.

Остается вопрос, почему киберпреступники выбирают мишенью для атак медицинские учреждения? Казалось бы, столь важные в смысле гуманности сервисы должны быть в стороне от подобных угроз, однако прибыльный бизнес ставится выше морали, а медицинские данные и персональная информация очень ценны.

Злоумышленников вряд ли интересуют личные устройства типа кардиостимуляторов или инсулиновых помп, однако, как отмечает Рик Валенсиа, президент компании Qualcomm Life, «те же самые векторы преступных замыслов, только с более высокими ставками, направлены на IoMT».

«Как правило, хакеры работают за деньги, нарушая работу систем или высаживая семена (боты) для будущих атак. Но в здравоохранении кража данных или захват контроля над медицинскими устройствами могут осуществляться с еще более подлыми намерениями, — говорит он. — При отсутствии надлежащих мер защиты жизненно важных медицинских устройств и приватной информации возможны опасные последствия, смерти и даже террористические акты».

Интернет вещей (IoT), охватывающий разнообразные устройства от личных смартфонов до «умных» систем освещения и модемов, впервые нам продемонстрировал, что может неожиданно произойти, когда плохо защищенные устройства массово подключены к Интернету. Попав в чужое подчинение, они могут стать разрушительным орудием бот-атак, как в случае ботнета Mirai, и использование в таких целях подключенных медицинских устройств может еще больше ухудшить ситуацию.

Однако, как считает Майк Питтенджер, вице-президент по стратегии безопасности Black Duck Software, использование медицинских устройств в ботнетах не вызывает такого же беспокойства, как в случае IoT, просто из соображений масштабируемости. «Доступ к медицинским устройствам и их компрометация, по-видимому, труднее и не обеспечивают того огромного количества устройств, которое необходимо для эффективной DDoS-атаки», — отмечает он.

Создание ботнета может мало интересовать хакера, атакующего медицинские устройства, однако успешная атака создает риск для безопасности пациентов. При этом наносится ущерб для личных карьер и репутации медицинского персонала, как и для бренда самого поставщика услуг здравоохранения. Кроме того, если сети или устройства, подключаемые к пациентам, компрометируют персонально идентифицируемую информацию, то перед производителями и сервисами здравоохранения встает риск ответственности перед законом.

При таком букете потенциальных угроз медицинские организации и производители медицинского оборудования стоят перед серьезным вызовом. По словам Валенсиа, решения медицинского класса и IoMT могут требовать повышенной планки безопасности, хотя это не значит, что эти решения безопасности будут безупречны.

Так, Qualcomm рассматривает IoMT под тем же углом, что и IoT, но с прибавлением нескольких «ключевых требований». Последние включают юридическое понятие защищенной информации о здоровье (PHI) и предписания HIPAA (закон США об ответственности и переносе данных о страховании здоровья), а также стандарты FDA (Администрация США по пищевым продуктам и медикаментам) в отношении шкалы классов устройств. «Для регулируемых законом ситуаций в подключенных решениях принято использовать шифрование данных при их обработке на месте или перемещении, что часто не применяется в бытовых IoT-устройствах», — говорит Валенсиа. «Шифрование данных частично решает вопросы приватности, когда необходимо строго следовать требованиям HIPAA и PHI, однако это не исключает возможностей для атак», — отметил он.

Валенсиа называет шифрование «фундаментом надежной программы безопасности» и «абсолютной необходимостью» для PHI и медицинской информации. Поскольку медицинские приложения и системы становятся все сложнее, и данные пациентов собираются, сохраняются и передаются посредством IoMT-устройств, шифрование является важным фактором их защиты.

Еще одной темой для дискуссий является использование в медицинских устройствах и их системах решений и компонентов с открытым исходным кодом (Open Source). СПО по определению выпускается открытым и не защищенным авторским правом. Многие из нынешних устройств, приложений и популярных программных пакетов имеют по крайней мере некоторые элементы — будь то скрипты или протоколы — которые относятся к категории Open Source, их преимущество в том, что над их проектами трудится много разработчиков. Чем больше глаз, тем лучше, но не создает ли отсутствие централизованного контроля над Open Source-компонентами риск для безопасности медицинских устройств?

Один из тревожащих вопросов состоит, например, в том, что, пользуясь открытостью кода, преступники могут внедрять в СПО бэкдоры и зловредные процессы, либо эксплуатировать слабые места, оставшиеся вне поля внимания в системах с открытым исходным кодом. Однако эксперты по безопасности, с которыми по данной теме беседовали представители ZDNet, считают, что преимущества Open Source перевешивают подобные риски.

Валенсиа из Qualcomm Life отмечает, что Open Source-протоколы позволяют осуществлять публичную экспертизу кода — это помогает гарантировать, что такие компоненты, как алгоритмы шифрования, строго удовлетворяют требованиям защиты данных пациентов. «ПО с закрытым кодом с большей вероятностью имеет незамеченные слабые места и уязвимости, которые могут эксплуатироваться злоумышленниками, — говорит он. — При соответствующем контроле и правильных процедурах Open Source может быть ценным инструментом в решениях для здравоохранения».

С этим согласен Аарон Хигби, сооснователь и технологический директор PhishMe, который также заметил, что при той скорости, с которой нынешние вендоры выносят на рынок новую медицинскую аппаратуру, средства и библиотеки Open Source имеют ключевое значение для сохранения темпов. Поскольку многие производители не имеют собственных групп по безопасности, умеющих осуществлять реинжиниринг продуктов и выискивать в них все уязвимости, он считает, что «чем больше глаз обращают внимание на ПО или элемент аппаратуры, тем они будут безопаснее».

«Использование Open Source не является проблемой. Вопрос в том, чтобы разработчики медицинского оборудования следили за безопасностью и управляли используемым ими открытым исходным кодом, — добавляет Майк Питтенджер. — Но если вы плохо понимаете, что за Open Source-компоненты вы используете или в каком месте кодовой базы вашего приложения они работают, вы вряд ли сможете усилить безопасность этих компонентов при обнаружении в них уязвимостей».

Если перейти к управлению и бюджетам, то инвестируют ли больницы и производители медицинского оборудования достаточно времени и денег в безопасность? По словам Хигби, который проработал в ИТ почти 20 лет, он часто видел, что на такие вещи медицинское сообщество «тратится по минимуму». Он отмечает, что обычно это связано с тем, что в ИТ-затраты крупным блоком вписывается покупка оборудования и средств диагностики, а затем некоторая часть денег, если вообще что-то остается, выделяется на безопасность.

Однако еще одним барьером для сильной безопасности является тот факт, что при покупках оборудования поддержка и договоры по техобслуживанию становятся частью пакета, и если устройства подвергаются непредусмотренным воздействиям, гарантия уже не действует. «Поэтому, если больницу беспокоит очень дорогая часть оборудования, работающая на устаревшей версии Windows XP, ее руководство сознает суть проблемы, но ничего не может поделать, так как не хочет, чтобы контракт перестал действовать», — добавляет Хигби.

Индустрия IoMT находится еще во младенчестве, но, к счастью, в той же поре пребывают и угрозы против этих устройств. Однако если производители и поставщики медицинских услуг намерены следить за проблемами безопасности и удерживать максимально возможный контроль над данными пациентов, потребуются не только дополнительные инвестиции, но и обучение персонала и постоянное внимание.

Нас многому научил рынок IoT и «умных» устройств. И теперь мы должны подумать о применении усвоенных уроков к IoMT, не только повышая безопасность медицинской аппаратуры, но и соблюдая максимальную безопасность в нашей повседневной жизнедеятельности.