今天:
 
您现在的位置:主页 > 财经报道 >

医疗器械网络的安全隐患越发严峻,这堵防火墙将如何筑造?

作者:商务   来源:互联网  点击:  更新时间:2019-03-19 09:06

  随着网络时代的到来,医疗设备越来越多地连接到互联网。医院通过网络可以改善医疗服务,但是相应地也会面对网络安全风险。

  和其他的计算机系统一样,医疗设备也很容易受到安全漏洞的影响,医疗器械网络安全出现问题不仅可能会侵犯患者隐私,而且可能会产生医疗器械非预期运行的风险,导致患者或使用者受到伤害或死亡。

  因此,医疗器械网络安全是医疗器械安全性和有效性的重要组成部分之一。

  威胁和漏洞无法消除,如何降低风险显得尤为重要。国内外的医疗设备网络安全问题处于什么样的环境中?这个赛道又哪些创业公司以全新的方法论和技术可以构筑防火墙

  医疗器械将成为网络攻击下一个目标

  动脉网曾持续关注过医疗网络安全问题,据2017年的数据显示,美国2010-2015年医疗信息泄露事件次数每年发生200多起。而今,形势甚至变得更为严峻,2018就发生503起医疗保健数据泄露事件。(数据来源:美国卫生与公民服务部)

  FortiGuard的实验室报告称,2017年医疗保健平均每个组织平均每天有近32,000次入侵攻击,而在其他行业这个数字是超过14,300次。显然,医疗行业受到了更多的攻击。

  在国内,情况也不容乐观,2017年,《法制日报》发布了一篇名为《7亿条个人信息遭泄露 浙江判决特大侵犯公民信息案》的报道,曝出黑客入侵了某部委的医疗服务信息系统,大量孕检信息遭到泄露和买卖。

  然而有一个值得关注的趋势,黑客们不再满足于提取医疗记录和患者数据。他们把手伸向了医疗设备,威胁患者的安全。

  多年来,医疗机构一直在保护患者的个人健康信息(PHI)。随着物联网时代的到来,医疗行业将面临新的挑战。医疗物联网涵盖输液泵、核磁共振成像仪、x光机、心脏监护仪等医疗设备,它们都可能成为被攻击勒索的对象。

  尽管医疗物联网可以提高医疗保健的效率,但是如果没有安全保护的医疗物联网设备,它也会导致更大风险暴露。随着5G技术的飞速发展,物联网的到来正在加速,而还没有设置网络安全保护的医疗设备宛如在网络攻击面前“裸奔”。

  一个例子就是2017年5月WannaCry勒索病毒攻击英国国家医疗服务体系(NHS)。

  在2018年2月,《The Naked Security 》报道了WannaCry是如何影响英国国家医疗服务体系(NHS)的。报道中阐述勒索软件针对的是运行在Windows XP工作站的MRI和CT扫描仪。虽然这次攻击的影响仅仅是勒索钱财以释放设备,但更大的担忧是,恶意软件可能会影响设备的操作,干扰设备的移动方式,干扰扫描信号,甚至改变结果。

  2017年,《福布斯》也报道了美国一家医院的拜耳Medrad设备被感染。拜耳的一位发言人证实,该公司已收到两份来自美国客户的报告,报告显示设备受到了勒索软件的攻击,但没有透露具体是哪些产品受到了影响。两个站点也在24小时候恢复了运作。

  黑客可以直接攻击医疗设备,进行勒索,除此之外,医疗设备还可能成为他们的帮凶,成为窃听的工具。

  在2017年8月,FDA召回了近50万个心脏起搏器,原因是担心无线窃听。就连美国前副总统迪克切尼(Dick Cheney)也对他的心脏起搏器进行了修改,以确保它不受攻击。

  史密斯医疗公司的Medfusion 4000无线注射器输液泵也是一个例子。这种输液泵在全球范围内使用,用于在疾病护理环境中从注射器中输送小剂量药物。据ICS-CERT在2017年9月报道,这些设备包含8个可以远程利用的漏洞。

  据Gartner Research称,到2020年,25%的医疗保健攻击将来自物联网设备。SANS报告称,医院中大约17%的网络攻击来自医疗终端,报告中77%的医院表示医疗设备的安全风险是他们最关心的问题。

  动脉网也就医疗器械的网络安全问题采访了广州市妇女儿童医疗中心数据中心副主任曹晓均,广州市妇女儿童医疗中心在2017年就通过HIMSS住院和门诊EMRAM 双7级评审。

  曹晓均也表示:“医疗器械与终端设备不同,可能是定制化的系统与软件,并部署在专有的网络环境中。不能按照普通终端的防护方式去执行自我保护,但是又因为系统版本老旧,部署不规范等环境的限制极易遭受攻击。”

  曹晓均也指出目前在网络安全和终端安全方面薄弱的问题,他认为在终端安全上容易忽视的问题如下:

  1、内网终端主机自从分发后就没有打过系统补丁,漏洞百出,恶意代码入侵长驱直入;

  2、为了便于操作,终端往往使用弱口令,病毒使用暴力破解得到密码后,直接使用管理员身份登陆系统,绕开一切防护手段,在系统中为所欲为;

  3、为了便于作业与办公,滥用移动存储设备,导致恶意代码有很好的传播途径;

  4、因为安全意识宣贯不到位,人员安全意识缺乏,为了图方便使用热点非法外联,导致内外网互通,引入了未知风险。

  而网络安全上也存在一些容易忽视的问题,包括:

  1、 基础网建设杂乱,没有分区分域。当安全事件爆发后,在网络中传播速度较快,没法办做到及时封堵;

  2、 网络安全设备的策略规范化,很多网络设备上线后从未更改过策略,或者都是默认放通,起不到理想的防御作用,形同虚设;

  3、 没有人去定期分析总结网络中的安全日志,常常错失处理安全事件最佳的处理时间,导致事态发展到不受控制,工作一直处于被动防御状态。

  关于如何防护,他给出了两点建议:

  1、主机上通过限制软件最小权限的方式执行保护,只允许特定的程序与接口工作,其他操作一概阻止,这样做相当于给可信的软件做了一个保护罩,直接杜绝了恶意代码的生存与传播途径;

  2、网络环境允许的情况下,把仪器设备归类到同一网段下,在该网段前部署安全网关,从网络传播途径上进行清理恶意代码,做到区域的保护。

  医疗器械网络安全需要合作搭起安全网

  为什么医疗组织会受到攻击。因为医疗数据价值高而保护薄弱,其次受够攻击最多的行业就是金融行业。对于医院来说,因为HIPAA法案,有关患者信息的泄露或者设备遭到攻击,医院将遭到更严重的惩罚。

  在国内也不例外,2018年发布的《网络安全等级保护条例(征求意见稿)》中把信息系统的安全等级分为了5级,其中提出将“会造成特别严重损害”的情况下,信息系统应采取的保护等级提高到第三级。

  如果医院发生网络安全事故将有谁负责呢?依据2011年卫生部发布的《卫生行业信息安全等级保护工作的指导意见》,其中明确了网络安全负责的责任主体是“谁主管、谁负责,谁运营、谁负责”。

  医疗器械生产厂商同样有负有保证医疗器械网络安全的责任。在2017 《医疗器械网络安全注册技术审查指导原则》就明确写道:

商务中国网免责声明:
本文转自网络,仅代表作者个人观点,与商务中国网无关。其原创性以及文中陈述文字和内容未经本站证实,对本文以及其中全部或者部分内容、文字的真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
更多精彩热图