醫療裝置應如何抵禦駭客攻擊？

雷鋒網按：本文譯自HIT Consultant，作者Leon Lerman執行長Cynerio

自2020年以來，網路攻擊規模相比於去年，激增了300％。

而像醫院、藥房、醫療裝置供應商等關乎到每個人生命健康的機構，比以往任何時候，都要面臨更大的安全隱患。 

即使這系列的攻擊，有時候不是直接針對某個醫療物聯網裝置（IoMT），但它也可以透過醫院的內部網路，感染用於診斷和治療患者的裝置，如靜脈泵、患者監控器、呼吸機和x光機。

正如美國醫院協會(AHA)網路安全和風險高階顧問約翰·裡吉(John Riggi)所說：“最壞的情況是，這些用於挽救生命的醫療裝置，可能在被感染後直接無法使用。”

對醫院而言，防止網路攻擊和保護IoMT裝置不受感染的最佳方法，是將最脆弱和最關鍵的裝置，彼此隔離或保持虛擬距離，也就是所謂的網路分段。

醫院可以採取以下實際步驟，來分段臨床網路，減少攻擊面，並保護患者免受網路攻擊：

傳統意義上，醫療裝置安全一直是生物醫學工程裝置專家的責任。

然而，隨著IoMT裝置的日益普及和針對醫療保健的網路攻擊的增加，醫院資訊科室的IT團隊不得不在醫療裝置安全方面投入更多的精力。因此，資訊科室和生物醫學工程研究團隊之間需要緊密合作，為臨床網路設計和實施安全有效的安全政策。

為確保醫療裝置的安全，並將IT和生物醫學團隊進行跨部門整合，這時候就需要一個單獨的、最終的IoMT網路安全政策決策者。

一些大型機構，甚至增設醫療裝置安全員（MDSO）的角色，直接負責整個醫院整個臨床網路中的醫療裝置安全。

如果沒有對醫院連線的醫療裝置、裝置上的配置檔案、通訊模式，有足夠深入瞭解，就無法設定網路分割策略。

自動化庫存工具，還必須能夠在瞭解IoMT裝置行為、臨界性、脆弱性的情況下，對裝置進行持續分析。

風險評分，應根據裝置可能造成的危急程度和醫療影響來計算。風險評估應持續進行，並持續監控網路異常行為。為了評估風險，必須考慮以下因素：

與正常裝置功能所需的外部伺服器通訊(即供應商通訊)

裝置需要儲存和傳送ePHI，以及用於什麼目的?

裝置使用模式

裝置是否執行不支援的作業系統或有任何已知的漏洞？如果是，是用補丁，還是用網路分割方法來保護裝置？

如果醫院不遵守聯邦和州監管標準，將面臨數百萬美元的罰款。拋開金錢損失不談，不遵守網路安全準則會使醫療裝置面臨風險，並可能危及患者的安全、商業誠信和醫院的聲譽。

涉及醫療保健和醫療裝置的準則和條例定期更新。為了保持合規，醫院必須密切關注州聯邦機構釋出的監管標準和更新，包括：

-美國食品和藥物管理局(FDA)

-醫療裝置資訊共享和分析(MDISS)倡議

-《健康保險可攜性和問責法》(HIPAA)

分段策略用以減少攻擊面，並阻止潛在威脅。網路分段還可以透過將流量限制到指定區域和減少網路負載，來幫助網路更順暢地執行。

然而，在臨床網路上執行任何分段策略之前，應測試其安全性和有效性。醫院安全團隊應始終驗證分段策略，然後在網路上執行，以確保醫療服務和臨床操作的連續性。

雷鋒網雷鋒網