医疗保健物联网安全风险及应对措施
医疗保健管理员必须了解保护医疗保健物联网设备和数据的不断变化的挑战，以保持患者安全。
医疗组织必须练习仔细的平衡行动，以获得连接设备的优势，而不会为患者安全增加太多风险。
医疗保健提供者和患者越来越多地将设备介绍到医疗保健网络中。在过去的五年中，物联网技术有改善病人护理和医疗保健设施但它的增长也导致了网络威胁的增加。这些设备用于住院和门诊监控、资产跟踪，以帮助医护人员更容易地找到设备和自动化的HVAC系统或照明，以减少感染的传播并降低成本。每个连接医疗设备实例都可以简化工作流程，从而改善患者和医疗保健专业人员的生活，但它们也提供了更大的攻击面。
“攻击变得越来越复杂。标普全球市场情报公司451 Research物联网研究总监克里斯蒂安·雷诺(Christian Renaud)表示:“在2019冠状病毒病期间，[451 Research]肯定看到医疗设备受到的攻击急剧上升。”“总的来说，我们看到物联网设备受到的攻击有所增加，但在医疗保健领域尤其如此。”
重大事件影响医疗保健行为
多年来的重大入侵描述了日益增长的医疗网络威胁的严重性，并迫使制造商、监管机构和医疗保健组织更加重视医疗物联网安全。
2016年，安全研究机构MedSec和投资公司浑水研究公司发现了圣犹达医疗心脏设备的一个漏洞在这里，攻击者可以向该设备发送重复信息，直到电池耗尽。研究人员声称，它会损坏圣裘德医院(St. Jude)的心脏起搏器和除颤器。圣裘德医院现在由雅培公司(Abbott)所有。对这些漏洞的处理备受争议，导致美国食品和药物管理局(FDA)发布了网络安全指南和更通用的医疗设备指南。
在2018年黑帽大会上，许多研究人员揭示了医疗物联网设备存在的严重不安全感。其中，研究员比利·里奥斯，WhiteScope安全公司的创始人，和乔纳森·布茨，QED安全解决方案的首席执行官，证明了攻击者如何进入Medtronic Spemaker远程和管理或扣留对患者的冲击。
Wannacry赎金软件是自2017年开始针对医疗系统的最著名的网络攻击之一。黑客利用“想哭”攻击Windows操作系统的漏洞，阻止医疗专业人士访问受影响的设备。
网络攻击并不是迫使制造商和安全专业人士提高医疗物联网安全性的唯一因素。在2016年和2018年，FDA发布了上市后和上市前的网络安全建议制造商设计和维护医疗物联网安全。为医疗保健机构购买医疗设备的组织，如HealthTrust和Mayo Clinic，也为医疗设备制造商制定了自己的采购要求。这些要求促使制造商在其设计中加入安全性。
迈克·纳尔逊“健康状况，[与他们的采购指南]引入了制造商的潜在痛苦，”Digicert副总裁Mike Nelson表示，位于犹他州的Lehi的安全认证公司。“制造商花钱在存在重大痛苦的地方或者有重大机会赚钱。从损害中恢复的成本将远远超过阻止损害。”
确保患者安全是首要任务
医疗保健物联网安全漏洞代表了比消费者设备中的漏洞更为重要的威胁，因为它们可能会导致身体伤害。医疗保健专业人员和患者依靠准确的数据来进行治疗决策和管理治疗。
卡尔西“如果设备被利用作为进入以进入和改变与影响护理交付的设备相关的信息，那么我们最受关注的是患者安全问题，”Intermountain Healthcare（Intermountain Healthcare）的首席信息安全官员盐湖城。
尽管韦斯特说他还没有亲眼看到病人的安全受到袭击的影响，但他说这一直是一个值得关注的问题。攻击者还可以在物联网设备上植入病毒，并将其作为进入医疗网络其他部分的入口点，作为勒索软件或分布式拒绝服务攻击的一部分。
尼尔森说，他首先知道医疗物联网漏洞的潜在风险。他使用连续的葡萄糖监测器和胰岛素泵用于他的糖尿病治疗。葡萄糖监测器收集血液样本以确定纳尔逊的葡萄糖水平是什么，并通过蓝牙提醒他。黑客可以执行中间人攻击并操纵通过手机报告的价值。这可能导致他注入危险量的胰岛素。如果在设备上泄露一段代码，则攻击者可以更改设备的行为，禁用它或访问其他设备。
IT/OT融合和传统设备带来了额外的挑战
通过IOT技术，新设备每天都在线上市，IT管理员可能会发现保留更新的库存挑战。设备可以作为业务计划的一部分进入网络，而无需参与其中，使设备发现对IOT安全性至关重要。操作技术（OT）专业人员并不总是优先考虑安全最佳实践，而IT专业人员并不总是知道安全实践如何阻碍运营。
基督徒谴责451的Renaud说:“我们认为，传统的IT方法只是将所有东西都隔离起来，这可能会破坏工作流程，从而加速病人以非常快的方式完成护理过程。”“让It人员和非It人员共同创建这些用例或工作负载是至关重要的。”
风险延伸到任何连接到网络上的设备，甚至是连接到客户网络的患者可穿戴设备或智能设备。
韦斯特说:“即使我们已经建立了所有的控制——所有围绕客户网络的保护——如果你不注意的话，仍然有很多非法活动在进行。”“(病人设备)一进来，(病毒或恶意软件)就可能蔓延到医疗网络。”
遗留设备也提出了一个连接时的安全挑战到网络中。雷诺说，在医疗保健机构中，许多投资数百万美元的机器直到完全贬值才会被替换。连接这些遗留设备会产生漏洞。遗留设备可能不遵循一致的协议，根据供应商的不同而有所不同，并且可能无法接收无线更新以维护其安全性。
保护医疗保健物联网设备的方法
网络安全专家可能需要很多行动来支持医疗保健物联网安全，包括以下五个步骤:
1.库存设备。Renaud说，制定所有资产的详尽良好的所有资产地图，因为医疗组织无法确保他们看不到的东西。由于它们提供价值，因此在没有风险评估的情况下提出了许多IOT设备。例如，患者可能会带来Google Home或Alexa虚拟助手的音乐或娱乐。一些制造商提供有助于您可以在不中断其功能的情况下检测网络上的IOT设备的工具，即使它们没有完整的ISS，也可以在不中断其功能。IOT工具还可以识别设备上运行的操作系统。
2.遵循标准最佳实践。专家必须遵循医疗物联网设备的一般安全最佳实践，如消除硬编码密码、防火墙和加密。在部署设备之前，他们必须进行风险评估，以了解存在哪些漏洞，并监控网络流量使用行为分析分析中的任何规范。设备和软件应该定期更新。
3.实施有效的身份验证。部署公钥基础设施和数字证书可以验证与网络、其他设备和电子健康记录系统的连接，并确保数据包在中间人攻击的传输过程中不受操纵。
4.部分网络。管理员必须隔离没有内置控件的设备。如果一个设备必须用于病人护理，管理员可以关闭其连接互联网的功能。如果设备必须连接，医疗保健组织可以与供应商合作，确定设备需要连接到哪里，并只允许这些连接，从而创建一个allowlist。医疗机构还可以拒绝任何已知的有害网站连接设备。Renaud说，系统管理员必须将公共网络与网络的其余部分分开，限制对虚拟局域网上的资产和事件的访问，或者按部门隔离流量。遗留设备可以包装网关至保护与设备的物理连接。
5.使用正确的工具。医疗保健组织可以使用简化物联网安全性的工具。一些平台可以自动管理大量的数据和设备，并且可以控制身份验证证书。Intermountain的West说，制造商还开发出了医疗设备工具，可以识别设备是什么，从设备中收集到什么数据，以及设备连接到互联网的位置。物联网分析平台可以帮助管理员监控网络流量，批准或拒绝连接。
