物聯(lián)網(wǎng)醫(yī)療設(shè)備：網(wǎng)絡(luò)安全的挑戰(zhàn)及未來(lái)發(fā)展方向

物聯(lián)網(wǎng)今天無(wú)處不在，并且普及程度很高的一個(gè)領(lǐng)域是醫(yī)療行業(yè)。醫(yī)療物聯(lián)網(wǎng)（簡(jiǎn)稱IoMT）是需要解決安全性的一個(gè)關(guān)鍵領(lǐng)域。

IoMT的演變 智能技術(shù)為醫(yī)療行業(yè)帶來(lái)許多好處。考慮到這一點(diǎn)，毫無(wú)疑問(wèn)，醫(yī)院越來(lái)越多地使用智能設(shè)備。這種設(shè)備使醫(yī)生能夠快速連續(xù)地監(jiān)視患者及其醫(yī)療狀況。此外，智能技術(shù)還可以進(jìn)行更多需求分析并更早地識(shí)別醫(yī)療問(wèn)題。 自然，智能設(shè)備可以帶來(lái)與患者健康無(wú)關(guān)的其他好處。醫(yī)院和其他醫(yī)療中心依靠智能設(shè)備來(lái)更快、更輕松地進(jìn)行監(jiān)視和信息流。 此外，制造商可以快速改進(jìn)智能設(shè)備，而不必在醫(yī)院中實(shí)際使用它們。這提高了醫(yī)療機(jī)器的效率，并確保在不適當(dāng)?shù)臅r(shí)刻沒(méi)有任何損壞。IoMT最終降低了醫(yī)療行業(yè)的成本。根據(jù)目前的估算，IoMT將為美國(guó)健康產(chǎn)業(yè)節(jié)省約3億美元。

目前，德勤（Deloitte）的研究表明，美國(guó)的醫(yī)院平均每張床擁有15臺(tái)智能醫(yī)療設(shè)備。到2022年，IoMT的整個(gè)市場(chǎng)預(yù)計(jì)將達(dá)到520億美元。此外，IoMT市場(chǎng)是整個(gè)IoT市場(chǎng)的最大組成部分之一，這表明智能設(shè)備對(duì)醫(yī)療行業(yè)的益處。 IoMT中的安全風(fēng)險(xiǎn) 隨著IoMT的普及，我們也注意到安全威脅的增加。黑客越來(lái)越多地將目標(biāo)對(duì)準(zhǔn)美國(guó)的公共機(jī)構(gòu)，而主要目標(biāo)通常是醫(yī)院。 在過(guò)去的幾年中，對(duì)醫(yī)療機(jī)構(gòu)的網(wǎng)絡(luò)攻擊造成了一些問(wèn)題。他們中斷了許多重要服務(wù)，造成了財(cái)務(wù)損失，并降低了患者對(duì)整個(gè)醫(yī)療系統(tǒng)的信心。它們也給患者的健康帶來(lái)了風(fēng)險(xiǎn)。 對(duì)于IoMT，我們需要考慮兩個(gè)重要方面：物理威脅和隱私風(fēng)險(xiǎn)。

具有較弱網(wǎng)絡(luò)安全系統(tǒng)的大型醫(yī)院已經(jīng)在面臨隱私風(fēng)險(xiǎn)。但是，隨著IoMT的使用越來(lái)越多，患者的信息比以往任何時(shí)候都面臨更大的風(fēng)險(xiǎn)。 另一方面，由于受到破壞的智能設(shè)備可能導(dǎo)致嚴(yán)重的健康問(wèn)題，甚至可能導(dǎo)致死亡，因此物理威脅的問(wèn)題更加嚴(yán)重。起搏器是這里最明顯的問(wèn)題，因?yàn)樗鼈兛赡芙o用戶造成最嚴(yán)重的問(wèn)題，包括死亡。 總之，黑客不會(huì)停止利用醫(yī)療機(jī)構(gòu)和IoMT設(shè)備缺乏安全性的情況。因此，重點(diǎn)在于提高醫(yī)療行業(yè)中IoT安全的有效性。 IoMT設(shè)備的開(kāi)發(fā)人員和制造商需要更加專注于提高其設(shè)備的安全性。黑客社區(qū)將繼續(xù)以他們?yōu)槟繕?biāo)，并將繼續(xù)發(fā)展和改進(jìn)他們的方法。物聯(lián)網(wǎng)安全性需要遵循，如果不能超越這一改進(jìn)。

物聯(lián)網(wǎng)醫(yī)療設(shè)備：網(wǎng)絡(luò)安全的挑戰(zhàn)及未來(lái)發(fā)展方向

網(wǎng)絡(luò)攻擊可能會(huì)對(duì)患者的安全造成災(zāi)難性的影響，這取決于醫(yī)務(wù)人員的反應(yīng)能力。像心臟病發(fā)作這樣的健康緊急情況是輸贏的情況，在這種情況下，幾分鐘決定著一個(gè)人的生死存亡。因此，了解并緩解此類攻擊的最壞情況變得至關(guān)重要。

當(dāng)涉及到醫(yī)院網(wǎng)絡(luò)安全時(shí)，最關(guān)鍵的端點(diǎn)是什么？

醫(yī)療保健組織是攻擊者實(shí)施以物聯(lián)網(wǎng)（IoT）為重點(diǎn)的網(wǎng)絡(luò)攻擊的新焦點(diǎn)。從醫(yī)院安全的角度來(lái)看，最關(guān)鍵的終點(diǎn)是病人監(jiān)護(hù)、通氣、麻醉、輸液泵等。

防線上的下一個(gè)關(guān)鍵設(shè)備是診斷機(jī)，如實(shí)驗(yàn)室和放射設(shè)備，這些設(shè)備在面臨網(wǎng)絡(luò)攻擊時(shí)可能會(huì)產(chǎn)生嚴(yán)重影響。即使是無(wú)線標(biāo)簽、聯(lián)網(wǎng)墊圈、門禁和其他在醫(yī)療流量中作用不大的設(shè)備也會(huì)影響醫(yī)務(wù)人員的響應(yīng)時(shí)間。

復(fù)雜的醫(yī)療設(shè)備價(jià)值鏈與相連設(shè)備的安全性之間有什么關(guān)系？

復(fù)雜的醫(yī)療器械供應(yīng)鏈允許供應(yīng)商和醫(yī)院管理者在關(guān)鍵的安全最佳實(shí)踐中推卸責(zé)任。醫(yī)院管理人員認(rèn)為設(shè)備制造商應(yīng)對(duì)此負(fù)責(zé)，而設(shè)備制造商認(rèn)為安全是醫(yī)院工作人員的職責(zé)。來(lái)自其他人的巨大期望使醫(yī)療器械的安全性變得困難。

因此，在醫(yī)院設(shè)備開(kāi)發(fā)的最初階段就對(duì)設(shè)備安全問(wèn)題進(jìn)行深入的研究是非常重要的。

醫(yī)療器械易損性研究面臨哪些挑戰(zhàn)？

與獲取有關(guān)的挑戰(zhàn)：

●設(shè)備采購(gòu)成本過(guò)高。

●政府法律和政策阻止供應(yīng)商將其出售給非醫(yī)院。

●安裝，校準(zhǔn)和配置的復(fù)雜性。

與供應(yīng)商和研究人員之間的關(guān)系相關(guān)的挑戰(zhàn)：

●如果關(guān)系不合適，雙方合作提高安全性將變得具有挑戰(zhàn)性。

●如果醫(yī)院繼續(xù)使用易受攻擊的設(shè)備而不打補(bǔ)丁，那么良好的合作關(guān)系也不會(huì)取得成果。

因此，所有利益相關(guān)者聯(lián)合起來(lái)降低現(xiàn)實(shí)世界的風(fēng)險(xiǎn)就變得至關(guān)重要了。

負(fù)責(zé)任的信息披露——機(jī)構(gòu)是否在發(fā)揮作用？

網(wǎng)絡(luò)安全仍然是醫(yī)療機(jī)構(gòu)開(kāi)始進(jìn)入的新領(lǐng)域。不僅行業(yè)、政府和其他國(guó)家監(jiān)督機(jī)構(gòu)仍未完全標(biāo)準(zhǔn)化。由于這個(gè)事實(shí)，組織不知道什么報(bào)告程序，哪個(gè)控制適用于誰(shuí)，在災(zāi)難情況下由誰(shuí)負(fù)責(zé)。

同樣，人們經(jīng)?？吹剑刂婆稌r(shí)間軸的因素是不透明的，從制度的角度來(lái)看，指導(dǎo)邏輯還不清楚。負(fù)責(zé)監(jiān)督諸如CISA之類的信息披露的機(jī)構(gòu)通常無(wú)法在披露補(bǔ)丁之前就拒絕披露信息。因此，CISA有必要與FDA等機(jī)構(gòu)密切合作。他們可以讓負(fù)責(zé)任的信息披露對(duì)健康產(chǎn)業(yè)的長(zhǎng)期安全至關(guān)重要。

向CISO提供建議，CISO負(fù)責(zé)組織內(nèi)連接設(shè)備的安全性

自動(dòng)化是當(dāng)今世界安全衛(wèi)生組織的關(guān)鍵。使用單獨(dú)的權(quán)限和規(guī)則集來(lái)保護(hù)連接的設(shè)備、它們的眾多模型和部署的手工工作可能會(huì)給組織的勞動(dòng)力和貨幣資源造成嚴(yán)重負(fù)擔(dān)。在醫(yī)療行業(yè)，自動(dòng)化變得至關(guān)重要，因?yàn)獒t(yī)院內(nèi)外的環(huán)境不斷變化。

最好的選擇是為健康行業(yè)量身定做一種解決方案。它將熟悉醫(yī)療設(shè)備的獨(dú)特協(xié)議，并將24小時(shí)工作，以幫助檢測(cè)和消除漏洞。

物聯(lián)網(wǎng)是連接日常設(shè)備的線程，比以往任何時(shí)候都快。從安全角度來(lái)看，未來(lái)這些設(shè)備（尤其是在醫(yī)療領(lǐng)域）將成為最重要的負(fù)債。對(duì)于制造商來(lái)說(shuō)，成為網(wǎng)絡(luò)安全方面的專家將是一件很麻煩的事，他們一直把網(wǎng)絡(luò)安全放在次要位置。此外，基于代理的安全解決方案需要頻繁更新，這在物聯(lián)網(wǎng)設(shè)備中變得具有挑戰(zhàn)性。因此，第三方集中解決方案是醫(yī)療行業(yè)在物聯(lián)網(wǎng)設(shè)備安全方面的首選。

為什么醫(yī)療機(jī)構(gòu)必須采取措施消除網(wǎng)絡(luò)安全風(fēng)險(xiǎn)？

2020年新冠疫情大流行驅(qū)使醫(yī)療保健組織迅速轉(zhuǎn)向數(shù)字技術(shù)。這導(dǎo)致遠(yuǎn)程醫(yī)療和連接技術(shù)應(yīng)用的激增。此外，由于非必需員工在遠(yuǎn)程工作，這擴(kuò)大了威脅范圍，網(wǎng)絡(luò)犯罪分子正在利用新常態(tài)。

與大流行相關(guān)的網(wǎng)絡(luò)安全攻擊短期內(nèi)出現(xiàn)了激增。根據(jù)國(guó)際刑警組織的報(bào)告，自大流行以來(lái)，惡意域名的數(shù)量增加了22％。惡意軟件和勒索軟件增加了36％；網(wǎng)絡(luò)釣魚、詐騙和欺詐行為增加了9％；假新聞增加了14％。 在醫(yī)療保健領(lǐng)域，數(shù)據(jù)泄露的數(shù)量在加速增長(zhǎng)，截至2020年已有105起事件，影響了250萬(wàn)用戶。在Fortified的2020年中期展望報(bào)告中，研究人員發(fā)現(xiàn)，從2020年上半年開(kāi)始，醫(yī)療保健漏洞中有60％是由惡意攻擊或IT事件引起的。 據(jù)報(bào)道，9月10日，德國(guó)杜塞爾多夫大學(xué)醫(yī)院遭到網(wǎng)絡(luò)攻擊，系統(tǒng)崩潰，一名患者因此錯(cuò)過(guò)治療時(shí)間，最后死亡。

該醫(yī)院遭受的是勒索軟件攻擊，通過(guò)醫(yī)院使用的商業(yè)軟件漏洞，病毒感染了其網(wǎng)絡(luò)上的30臺(tái)服務(wù)器。被攻擊后，該醫(yī)院的系統(tǒng)逐漸崩潰，醫(yī)院的手術(shù)系統(tǒng)癱瘓，緊急手術(shù)也被推遲。 醫(yī)療保健提供者必須意識(shí)到導(dǎo)致與安全相關(guān)的漏洞和違規(guī)激增的風(fēng)險(xiǎn)。隨著醫(yī)療保健組織現(xiàn)在越來(lái)越依賴于諸如移動(dòng)應(yīng)用程序之類的技術(shù)，這些應(yīng)用程序擁有更多的個(gè)人健康信息，再次凸顯了增強(qiáng)安全漏洞以防止違反HIPAA的重要性。

那么醫(yī)療保健提供者可以做什么？ 身份認(rèn)證對(duì)于確保只有授權(quán)人員才能訪問(wèn)系統(tǒng)至關(guān)重要。這有助于防止數(shù)據(jù)受到勒索軟件、犯罪黑客、網(wǎng)絡(luò)釣魚和密碼攻擊等日益嚴(yán)重的威脅。身份和訪問(wèn)管理是網(wǎng)絡(luò)安全的核心組成部分。如果使用了泄露的密碼，則它可能成為整個(gè)網(wǎng)絡(luò)的訪問(wèn)點(diǎn)。 醫(yī)療保健組織可以部署以下步驟來(lái)幫助解決密碼問(wèn)題。 強(qiáng)制多重身份驗(yàn)證。采用諸如自適應(yīng)身份驗(yàn)證和生物識(shí)別之類的其他身份驗(yàn)證措施可增加保護(hù)層，從而降低密碼攻擊的風(fēng)險(xiǎn)。 部署威脅情報(bào)工具。這些工具可以自動(dòng)檢測(cè)并防止使用受破壞的憑據(jù)。它們是自動(dòng)化的，從而減輕了IT團(tuán)隊(duì)的壓力，同時(shí)提高了安全性。通過(guò)在激活外露密碼之前對(duì)其進(jìn)行檢查并進(jìn)行連續(xù)不斷的監(jiān)控，可以消除使用外露密碼的風(fēng)險(xiǎn)。這種方法阻止了系統(tǒng)成為基于密碼的攻擊的容易目標(biāo)。 教育員工。

醫(yī)療保健提供者必須不斷培訓(xùn)員工有關(guān)密碼最佳做法的知識(shí)。這可以幫助灌輸更好的安全衛(wèi)生狀況，并阻止使用弱密碼、密碼重用和密碼共享。緩解密碼問(wèn)題的另一個(gè)簡(jiǎn)單步驟是讓每個(gè)員工在訪問(wèn)任何系統(tǒng)之前都使用密碼管理器。 前進(jìn)的道路 在急于提供聯(lián)網(wǎng)的醫(yī)療服務(wù)時(shí)，提供商必須優(yōu)先考慮安全性，以緩解不斷增長(zhǎng)的威脅向量。由于對(duì)互聯(lián)醫(yī)療系統(tǒng)的依賴只會(huì)增加，因此組織必須繼續(xù)加強(qiáng)其網(wǎng)絡(luò)安全策略，并且不能忽視基礎(chǔ)知識(shí)，包括身份訪問(wèn)管理和保護(hù)密碼層。如果大流行證明了一切，那就是采取預(yù)防措施而不是希望問(wèn)題會(huì)消失的重要性。

原文標(biāo)題：淺析醫(yī)療物聯(lián)網(wǎng)（IoMT）行業(yè)的安全問(wèn)題

文章出處：【微信公眾號(hào)：物聯(lián)網(wǎng)技術(shù)】歡迎添加關(guān)注！文章轉(zhuǎn)載請(qǐng)注明出處。

責(zé)任編輯：haq