211service.com
Wirusy komputerowe „szerzą się” na urządzeniach medycznych w szpitalach
Według uczestników ostatniego panelu rządowego skomputeryzowany sprzęt szpitalny jest coraz bardziej podatny na infekcje złośliwym oprogramowaniem. Infekcje te mogą zatkać sprzęt do monitorowania pacjenta i inne systemy oprogramowania, czasami uniemożliwiając im działanie.
Chociaż nie zgłoszono żadnych obrażeń, problem złośliwego oprogramowania w szpitalach wyraźnie rośnie w całym kraju, mówi Kevin Fu , czołowy ekspert w dziedzinie bezpieczeństwa urządzeń medycznych oraz informatyk z University of Michigan i University of Massachusetts, Amherst, który wziął udział w panelu dyskusyjnym.
Sprzęt medyczny sterowany programowo stał się w ostatnich latach coraz bardziej połączony, a wiele systemów działa na różnych wariantach systemu Windows, co jest częstym celem hakerów w innych krajach. Urządzenia są zwykle podłączone do sieci wewnętrznej, która sama jest podłączona do Internetu, a także są podatne na infekcje z laptopów lub innych urządzeń przywożonych do szpitali. Problem pogłębia fakt, że producenci często nie pozwalają na modyfikację swojego sprzętu, nawet w celu dodania zabezpieczeń.
W typowym przykładzie, w Beth Israel Deaconess Medical Center w Bostonie, 664 sztuk sprzętu medycznego działa w starszych systemach operacyjnych Windows, których producenci nie będą modyfikować ani nie pozwalają szpitalowi na zmiany — nawet na dodanie oprogramowania antywirusowego — z powodu sporów dotyczących modyfikacji Fu mówi, że może być sprzeczny z przepisami amerykańskiej Agencji ds. Żywności i Leków.
W rezultacie komputery te są często zainfekowane złośliwym oprogramowaniem, a jeden lub dwa muszą być odłączane co tydzień w celu oczyszczenia, mówi Mark Olson, dyrektor ds. bezpieczeństwa informacji w Beth Israel.
Uważam, że to zadziwiające, mówi Fu. Konwencjonalne złośliwe oprogramowanie szerzy się w szpitalach z powodu urządzeń medycznych korzystających z niezałatanych systemów operacyjnych. Szpitale mają niewiele możliwości skorzystania z tego, że producent nie zezwala na aktualizacje systemu operacyjnego lub poprawki bezpieczeństwa.
Obawy o możliwe konsekwencje dla pacjentów zostały opisane w miniony czwartek na spotkaniu panelu ds. urządzeń medycznych w Narodowym Instytucie Standardów i Technologii Rada Doradcza ds. Bezpieczeństwa Informacji i Prywatności , której członkiem jest Fu, w Waszyngtonie. Na spotkaniu Olson opisał, w jaki sposób złośliwe oprogramowanie w pewnym momencie spowolniło monitory płodu stosowane na kobietach z ciążami wysokiego ryzyka leczonymi na oddziałach intensywnej terapii.
Nie jest niczym niezwykłym, że te urządzenia, z powodów, których w pełni nie rozumiemy, zostają naruszone do punktu, w którym nie mogą rejestrować i śledzić danych, powiedział Olson podczas spotkania, odnosząc się do monitorów ciążowych wysokiego ryzyka. Na szczęście mamy model awaryjny, ponieważ są to [pacjenci] wysokiego ryzyka. Są w jednostce IC — jest tam ktoś fizycznie do oglądania. Ale jeśli odchodzą do innego pacjenta, jest czas, w którym sprawy potoczą się w złym kierunku.
Uszkodzone systemy komputerowe w monitorach zostały kilka miesięcy temu wymienione przez producenta, firmę Philips; nowe systemy, oparte na Windows XP, mają lepsze zabezpieczenia i problem został rozwiązany, powiedział Olson w kolejnym wywiadzie.
Podczas spotkania Olson powiedział również, że podobne problemy zagrażają szerokiej gamie urządzeń, od producentów mieszanek, które przygotowują leki dożylne i odżywianie dożylne, po systemy archiwizacji obrazów związane ze sprzętem diagnostycznym, w tym masywne urządzenia do rezonansu magnetycznego warte 500 000 USD.
Olson powiedział panelowi, że infekcje dotknęły wiele rodzajów sprzętu, budząc obawy, że pewnego dnia pacjent może zostać skrzywdzony. Martwimy się również sytuacjami, w których analizatory gazometrii, mieszarki, sprzęt radiologiczny, systemy medycyny nuklearnej mogą zostać naruszone do takiego stopnia, w którym nie będą mogły być używane, lub zostaną naruszone do punktu, w którym ich wartości zostaną skorygowane bez wiedzy oprogramowania, powiedział. Wyjaśnił, że gdy maszyna zostanie zatkana złośliwym oprogramowaniem, teoretycznie może przeoczyć kilka odczytów czujnika [i] błędnie zgłosić wartość, która teraz może wyrządzić szkody.
Często złośliwe oprogramowanie jest powiązane z botnetami, powiedział Olson, a po umieszczeniu w komputerze próbuje skontaktować się z serwerami dowodzenia i kontroli w celu uzyskania instrukcji. Botnety lub kolekcje zhakowanych komputerów często wysyłają spam, ale mogą również przeprowadzać ataki na inne systemy komputerowe lub wykonywać inne zadania przydzielone przez organizacje, które je kontrolują (zobacz Wyjęci spod prawa Moore'a).
We wrześniu Rządowe Biuro Odpowiedzialności wydało raport ostrzeżenie, że skomputeryzowane urządzenia medyczne mogą być podatne na włamania, stwarzając zagrożenie dla bezpieczeństwa, i zwrócił się do FDA o rozwiązanie problemu. Raport GAO skupiał się głównie na zagrożeniu dla dwóch rodzajów wszczepionych urządzeń bezprzewodowych: wszczepionych defibrylatorów i pomp insulinowych. Luka w zabezpieczeniach tych urządzeń wzbudziła szerokie zainteresowanie prasy (patrz Bezpieczeństwo osobiste i ochrona stymulatorów przed hakerami ), ale nie zgłoszono żadnych rzeczywistych ataków na nie.
Fu, który jest liderem w badaniach zagrożeń opisanych w raporcie GAO, powiedział, że te dwie klasy urządzeń to kropla w morzu potrzeb: tysiące innych urządzeń podłączonych do sieci wykorzystywanych do opieki nad pacjentem są również podatne na infekcje. To są urządzenia ratujące życie. Pacjenci są z nimi zdecydowanie bezpieczniejsi niż bez nich. Ale widać pęknięcia, powiedział. (Fu był Przegląd technologii Innowator Roku 2009.)
Zarówno Olson, jak i Fu powiedzieli, że problemy ze złośliwym oprogramowaniem w urządzeniach szpitalnych są rzadko zgłaszane władzom stanowym lub federalnym. Dzieje się tak częściowo dlatego, że szpitale uważają, że mają niewielkie możliwości. Pomimo FDA wytyczne wydane w 2009 roku szpitalom i producentom — zachęcając ich do współpracy i podkreślając, że eliminowanie zagrożeń bezpieczeństwa nie zawsze wymaga przeglądu regulacyjnego — wielu producentów interpretuje drobny druk na inne sposoby i nie oferuje aktualizacji, mówi Fu. A takie zgłoszenie nie jest wymagane, chyba że pacjent jest poszkodowany. Może to błąd z naszej strony, że nie staramy się zwiększać widoczności zagrożenia, powiedział Olson. Ale myślę, że wszyscy czujemy, że zagrożenie staje się coraz większe.
Przemawiając na spotkaniu, Brian Fitzgerald, zastępca dyrektora FDA, powiedział, że odwiedzając szpitale w całym kraju, odkrył, że problemy Beth Israel są szeroko rozpowszechnione. To bardzo powszechny profil, powiedział. Fitzgerald powiedział panelowi, że FDA dokonuje obecnie przeglądu swojego stanowiska regulacyjnego w sprawie oprogramowania. Będzie to musiał być proces stopniowy, ponieważ obejmuje zmianę kultury, zmianę technologii, wprowadzenie nowych pracowników i systematyczne podejście do tego, powiedział.
W poniedziałkowym wywiadzie Tam Woodrum, dyrektor ds. oprogramowania w firmie produkującej urządzenia GE Healthcare, powiedział, że producenci są w trudnej sytuacji, a problemy nasilają się, ponieważ szpitale oczekują coraz większej liczby wzajemnych połączeń. Dodał, że pomimo wytycznych FDA z 2009 r. przepisy utrudniają wprowadzenie zmian w systemie: powrót i aktualizacja systemu operacyjnego ze zaktualizowanym oprogramowaniem do uruchomienia w następnej wersji jest uciążliwym procesem regulacyjnym.
Olson powiedział, że z jego doświadczenia wynika, że GE Healthcare oferuje poprawki oprogramowania i wskazówki dotyczące zabezpieczania urządzeń, ale nie wszyscy producenci mają taką samą postawę. Dodał, że najmniej chronione urządzenia zostały umieszczone za zaporami ogniowymi. Ale aby to zrobić z całym szpitalnym sprzętem kontrolowanym przez oprogramowanie, wymagałoby ponad 200 zapór ogniowych – perspektywa niewykonalna, powiedział.
Jan Halamka , CIO Beth Israel i profesor Harvard Medical School, powiedział, że zaczął prosić producentów o pomoc w odizolowaniu ich urządzeń od sieci po kłopotach, które pojawiły się w 2009 roku: robak Conficker powodował problemy ze stacją roboczą położniczą firmy Philips, stacją roboczą radiologiczną firmy GE oraz aplikacje medyczne, których nie można było załatać z powodu ograniczeń [przepisowych]. Powiedział: „Nikt nie został poszkodowany, ale musieliśmy zamknąć systemy, wyczyścić je, a następnie odizolować je od Internetu/sieci lokalnej.
Dodał: Wielu CTO nie wie, jak chronić własne produkty za pomocą restrykcyjnych zapór ogniowych. Wszyscy powiedzieli, że pracują nad poprawą bezpieczeństwa, ale nie stworzyli jeszcze niezbędnych ulepszeń.
Fu mówi, że urządzenia medyczne muszą przestać używać niezabezpieczonych, nieobsługiwanych systemów operacyjnych. Więcej szpitali i producentów musi mówić o znaczeniu bezpieczeństwa urządzeń medycznych, powiedział po spotkaniu. Kierownictwo kilku wiodących producentów zaczyna angażować zasoby inżynieryjne, aby zapewnić odpowiednie zabezpieczenia, ale istnieją tysiące urządzeń medycznych opartych na oprogramowaniu.