医疗行业是网络攻击的主要目标，因为它拥有丰富的数据资源，而且窃取医疗信息获利颇丰。根据美国司法部的报告，仅去年一年，美国医院就因超过400起事件向俄罗斯勒索软件黑客支付了1亿美元。由于病患生命安全受到威胁，保护医疗环境免受这些漏洞的侵害至关重要。
解决方案触手可及，但离不开医疗器械开发公司和一线医疗服务机构的支持。该方法应以提供明确指导和充足资金的监管框架为基础。Qt采访了业内专家，规划未来的发展步骤。
联网医疗器械的网络安全：超越防火墙
“应该像对待自然灾害一样对待网络安全攻击的影响。美国的研究表明，超过五分之一的网络攻击会导致死亡率上升 —— 并不是因为攻击者试图杀人，而是因为他们破坏了人们依赖的系统，”Cynerio网络安全专家Chad Holmes解释说。
在过去二十年里，静脉输液泵等医疗器械已经联网，引入了大量软件漏洞。如果安全防护不当，这些器械就会成为恶意软件或勒索软件的攻击目标。遗憾的是，仅仅加密数据并不足以确保安全。
图片存档和通信系统 (PACS) 由于默认管理凭据或可利用的URL而容易受到攻击，而心血管信息系统则面临着网络钓鱼威胁。显示病患数据的医院智能白板具有移动界面，可能会因广泛的访问假设而泄漏信息。此外，新生儿手环虽然不属于医疗器械，但也可能被利用来访问服务器数据。这种漏洞可允许他人操纵手环数据，从而通过未经授权的访问导致婴儿被绑架。
尽管医疗器械可以挽救生命，但大多采用的技术极易受到攻击。Holmes指出，许多网络攻击利用基本的方法，如网络钓鱼，当有人点击恶意链接时便会入侵。“我们的网络非常扁平，所有这些系统都相互连接。例如，静脉输液泵与护士站通信，这没有问题，但同一个静脉输液泵不应连接到电梯。”
在网络层面采用一种称为分段或微分段的方法可以避免这种情况。“通过大幅减少不必要的连接，可以有效地只在需要的地方进行通信，而不会给病患带来风险。这些项目可能令人生畏，但却是正确的长期解决方案，”Holmes指出，“领先的医疗机构目前正集中精力采用这种方法。”
另一项前景广阔的发展是网络检测和响应（NDR）技术。NDR可以检测到异常通信模式，例如微生物检测装置联系国外服务器，或者压力测试跑步机试图连接网络上的多个设备。Holmes指出：“NDR使我们能够识别并快速处理这些异常情况，从而将可能造成重大攻击的事件降至最低，成为雷达上的昙花一现。”
增强医疗器械抵御防范网络威胁的能力
黑客受经济利益驱动，加密系统并索要赎金，通常收到赎金后才迅速恢复系统功能。他们还会窃取并在黑市上出售数据，其中电子受保护的健康信息(ePHI) 极具价值。Holmes断言：“黑客永远存在。我们的目标是确保我们环境不再是一个容易、有利可图的目标。”
投资安全可以阻止攻击，高盛或巴克莱等金融巨头就是在安全方面投入大量资金，因此很少受到勒索软件的影响。然而，在医疗领域，网络安全往往被置于次要位置，因为没有直接用于病患治疗的资金会被视为浪费。
内窥镜和手术器械制造商Karl Storz（卡尔史托斯）的产品安全负责人Jan Rueppell也认为，医疗行业的安全性比其他行业落后15到20年。他强调，制造商和医院之间需要合作，以保障医疗产品的网络安全。“制造商有义务在售后维护和更新产品。医院应考虑签订软件维护合同来支持这些工作，从长远来看，这比支付赎金更划算。”
其中一个关键领域是软件物料清单（SBOM），该文件列出了产品中所有软件组件，如Qt、OpenSSL或Linux操作系统。“制造商在开发过程中用它来扫描CVE（通用漏洞披露）。但是，由于可能会出现新的CVE，上市后的监控也必不可少。一些客户现在也要求提供SBOM进行上市后监控，以帮助进行风险评估。
选择正确的软件测试工具对于降低医疗领域的网络安全风险也至关重要。软件开发成功的关键是在早期阶段发现问题，甚至更好的是完全避免问题。架构验证确保软件设计能够通过遵循最低权限等安全原则来抵御攻击。静态代码分析可以在不执行程序的情况下，检测到缓冲区溢出和SQL注入等漏洞。代码覆盖率确保在测试期间对整个代码进行测试，这是QA的一部分，以便及早发现潜在的安全缺陷。
医疗网络安全的前进之路
2014年，美国食品药品监督管理局（FDA）发布了医疗器械网络安全指南，医院可免受攻击的信念发生了重大转变。其他国家也制定了各自的框架，到2017 年，随着《医疗器械法规（MDR）》的出台，安全性成为欧盟的一项监管要求。
由于缺乏统一的ISO标准，Karl Storz采用了NIST网络安全框架（NIST SP 800-53）来协调各种法规。“当出台新法规时，我们会检查它们是否与我们的框架一致，并在必要时进行调整。幸运的是，大多数医疗器械法规在不同地区都非常相似，”Rueppell说。
通过协调努力，医疗环境的安全是可以实现的。Holmes强调了医疗器械制造商、医疗服务提供商和监管机构之间必须合作。“通过提供必要的指导和资金，我们可以显著提升这些系统的安全性。如果这三个群体齐心协力，我们就能取得实质性进展。”
增强医疗网络弹性需要认识到网络安全的关键性，采用先进的检测技术，促进合作，保持稳健的监管框架，并不断更新安全措施。通过这些步骤，医疗行业可以保护病患数据，确保救生服务的连续性。
