Digitalno zdravstvo: O cyber rizicima za bolnice i medicinske proizvode

Otvorena bežična mreža u njemačkoj bolnici omogućila je neovlašten pristup kritičnoj infrastrukturi, uključujući vrata koja vode u operacijske sobe i odjeljenja za hitne slučajeve. Informator je upozorio medijsku agenciju Heise online na ranjivost, koja je naknadno potvrđena na licu mjesta. Sustav se oslanjao na podrazumijevane poverljive podatke, s korisničkim imenom i lozinkom postavljenim na admin, konfiguracija izričito dokumentirana u priručniku uređaja. Iako je bolnica ranije bila obaviještena o toj propusti, osoblje je u početku ignoriralo upozorenje. Akcija je poduzeta tek nakon medijske istrage, iako je raspored praznika odgodio odmah zatvaranje sigurnosne rupe.

Izjavu iz bolnice u vezi incidenta još nije objavljena. Martin Tettke, bivši šef certifikacije za medicinske proizvode u Berlin Cert GmbH koji trenutno radi u odjelu za mrežu i sigurnost Federalnog instituta za procjenu rizika, razgovarao je o slučaju u digitalnom podcastu o zdravlju. Opisao je situaciju kao neuspjeh na više razina odgovornosti. Pružatelji usluga nikada ne bi trebali predati sustave s netaknutim standardnim pristupnim podacima. Bolnice, zauzvrat, moraju provjeriti jesu li ispunjeni osnovni sigurnosni zahtjevi tijekom prijemnog ispitivanja. Tettke je označio ovaj konkretni slučaj kao jasan organizacijski neuspjeh.

Napomenuo je da mreže za administraciju, medicinsku tehnologiju i kontrolu pristupa zahtijevaju strogu razdvajanje. Vodstvo bolnice snosi odgovornost u takvim slučajevima. Dodatni rizici proizlaze iz IT-a u sjeni, gdje zaposlenici povezuju osobne bežične pristupne točke s institucionalnim mrežama. Predstavnici Udruženja bolničkih informatičara u proljeće su se žalili da mnogim klinikama nedostaju sredstva i osoblje potrebno za učinkovito određivanje prioriteta za ove rizike. Kliničke ustanove trebaju razumjeti koji operativni procesi ovise o određenim sustavima. Na primjer, kvar e-mail poslužitelja nosi različite posljedice od prekida priključenog uređaja za srce i pluća.

Proizvođači i pružatelji usluga moraju uzeti u obzir potrebe operatora, potencijalno koristeći softverske liste materijala sličnih onima koji se koriste u razvoju medicinskih proizvoda. Izvješća ukazuju na to da se kompleksnost usklađenosti s IT-om za bolnice povećava. Informacijske tehnologije trebale bi biti uključene vrlo rano u proces nabave novih uređaja. Prema Tettkeu, krajobraz prijetnji se značajno promijenio. Prethodno je postojalo dovoljno vremena za popravak ranjivosti nakon objavljivanja. Danas organizacije moraju odmah procijeniti jesu li već ugrožene. Zalijepljenje dva ili tri dana kasnije je vjerojatno prekasno.

Iako modeli umjetne inteligencije pomažu napadačima, oni se također mogu koristiti za provjeru unutarnjih mreža. Nedavna simulacija krize koju su napravili istraživači iz Fraunhofera pokazala je nepredvidljivu dinamiku kibernetičkih napada na bolnice. Brzo reagiranje zahtijeva obučeno osoblje. Tettke je tvrdio da su visoki troškovi i nestašica kvalificiranih radnika slaba opravdanja za zanemarivanje sigurnosti, napominjući da jedan sigurnosni incident košta višestruko više od zapošljavanja jednog do tri nova zaposlenika. On je podsjetio na iskustvo u kojem su radiološke službe bile nedjelju dana u bolnici zbog tehničkog problema.