William Charles
0 
3069
877
Es posible que hayas escuchado la frase “Tu salud es tu riqueza.” Es una de las razones por las que Estados Unidos gastó más de $ 3.2 billones en atención médica solo en 2015.
Con tanto dinero flotando, es natural que muchas empresas hayan ingresado al mercado de la salud, incluidas las empresas de tecnología..
La tecnología médica a veces se siente anticuada, pero las compañías intentan arrastrar esos dispositivos al siglo XXI. Y aunque la conectividad a Internet puede parecer una gran característica, existen algunos peligros y problemas reales que podrían sorprenderlo.
¿Qué son los dispositivos médicos??
La Organización Mundial de la Salud (OMS) define un dispositivo médico como “cualquier instrumento, aparato, implemento, máquina, aparato, implante, reactivo para uso in vitro, software, material [...] destinado por el fabricante a ser utilizado [...] para seres humanos, para uno o más [...] fines médicos específicos”.
Aunque eso suena bastante complicado, solo significa cualquier dispositivo o software que pueda usarse con fines médicos.
La Administración de Drogas y Alimentos de los Estados Unidos (FDA) es responsable de la supervisión reglamentaria de los dispositivos médicos y los divide en tres categorías: Clase I, Clase II y Clase III. Los dispositivos de Clase 1 están ligeramente regulados, y la mayoría de los controles solo se colocan sobre cómo se fabrican y comercializan. La Clase II agrega una regulación más específica, y la Clase III está reservada para dispositivos que apoyan o sostienen la vida humana..
Sin embargo, como es típico en todo el mundo, la FDA ha luchado por mantenerse al día con el ritmo de la innovación. Existen pocas referencias sobre cómo deben regularse los dispositivos modernos conectados a Internet..
¿Qué pasos deberían poner en práctica los fabricantes para garantizar la seguridad de dichos dispositivos? En diciembre de 2016, la FDA publicó directrices sobre la seguridad de los dispositivos médicos, pero no son exigibles legalmente. Esto dejó a los fabricantes decidir si seguir el consejo o no.
El Internet de las cosas (médicas)
Esto coloca a los dispositivos médicos conectados a Internet en el mismo barco que los de la categoría más amplia de Internet de las cosas (IoT). Hay muchos beneficios para los dispositivos médicos de IoT. 5 formas en que Internet de las cosas está revolucionando la atención médica. 5 formas en que Internet de las cosas está revolucionando la atención médica. , pero la falta de regulación exigible significa que no es probable que los fabricantes pongan muchos recursos para asegurarlos.
Esa es solo una de las muchas razones por las cuales Internet de las cosas es una pesadilla de seguridad. Por qué Internet de las cosas es la mayor pesadilla de seguridad. ¿Por qué Internet de las cosas es la mayor pesadilla de seguridad? Un día, llegas a casa del trabajo y descubres que tu nube- Se ha violado el sistema de seguridad para el hogar habilitado. ¿Cómo pudo pasar esto? Con Internet de las cosas (IoT), puede descubrirlo de la manera difícil. . Además, literalmente ponemos nuestras vidas en manos de dispositivos médicos de IoT. Como tal, las apuestas son aún mayores que con los dispositivos IoT normales.
La atención médica es un negocio costoso, no solo para los pacientes, sino también para los propios proveedores. Las empresas cobran grandes sumas de dinero por nuevos dispositivos y soporte técnico. Esto significa que los hospitales y otras prácticas médicas son una mezcla de herramientas, algunas nuevas, otras antiguas con una gama de requisitos operativos diferentes. El hardware antiguo, el software heredado y las interfaces propietarias se unen para hacer que la seguridad del sistema sea una pesadilla para el departamento de TI del proveedor..
Ejemplo: espiar una bomba médica
La interfaz entre el software y el hardware a menudo expone vulnerabilidades explotables, como lo mostró Saurabh Harit en Black Hat Europe 2017. Obtuvo una bomba de infusión IV, que inyecta medicamentos en la sangre de un paciente, que podrían programarse y operarse de forma remota..
Después de acceder al modo de administración de la bomba con una contraseña predeterminada que se encuentra en línea, pudo usar el infrarrojo de la unidad y un PDA antiguo comprado en eBay para importar sus credenciales de Wi-Fi a la configuración de red de la bomba.
Uso de Wireshark (una de las muchas herramientas de seguridad de red de código abierto Cómo probar la seguridad de su red doméstica con herramientas de piratería gratuitas Cómo probar la seguridad de su red doméstica con herramientas de piratería gratuitas) Ningún sistema puede ser completamente "a prueba de piratería", pero las pruebas de seguridad del navegador y las salvaguardas de la red pueden haga su configuración más robusta. Use estas herramientas gratuitas para identificar "puntos débiles" en su red doméstica.) para inspeccionar los paquetes, Harit vio los datos del paciente como la dosis de medicamentos, el cuidador, el nombre, la ubicación y la ruta. Sorprendentemente, incluso pudo acceder a la Lista maestra de medicamentos que establece y mantiene la dosis prescrita.
La lista de ejemplos continúa ...
Si tales vulnerabilidades se limitaran a esta bomba, sería lo suficientemente impactante, pero los investigadores descubren regularmente otras nuevas. Un equipo pudo acceder a un escáner CT, un dispositivo que le da una pequeña dosis de radiación para crear modelos 3D del interior de su cuerpo.
En agosto de 2017, la FDA retiró 465,000 marcapasos fabricados por Abbott por problemas de piratería. En lugar de obligar a casi medio millón de personas a someterse a una cirugía invasiva, Abbott emitió un parche de firmware, que el personal médico pudo aplicar al marcapasos..
En 2014, el Departamento de Seguridad Nacional (DHS) comenzó a investigar 24 dispositivos por sospechas de fallas críticas. Los dispositivos incluyeron una bomba de infusión de Hospira Inc y dispositivos cardíacos implantables de Medtronic y St Jude Medical.
Dispositivos médicos heredados y mala seguridad
Si alguna vez trabajó en una oficina, sabrá que muchas empresas confían en el software heredado. Esto requiere invariablemente sistemas operativos, controladores y periféricos más antiguos, lo que los hace muy inseguros. El costo suele ser un factor decisivo para actualizar, y muchos deciden que no pueden justificar el gasto. Si no está roto, no lo arregles, ¿verdad??
Las empresas a menudo luchan por priorizar la ciberseguridad, con una actitud predominante de que si un ataque aún no ha sucedido, entonces no lo hará. Desafortunadamente, los proveedores de atención médica tampoco son inmunes a esta línea de pensamiento. En mayo de 2017, un ataque de ransomware, denominado WannaCry El ataque global de ransomware y cómo proteger sus datos El ataque global de ransomware y cómo proteger sus datos Un ataque cibernético masivo ha golpeado computadoras en todo el mundo. ¿Te ha afectado el altamente virulento ransomware autorreplicante? Si no, ¿cómo puede proteger sus datos sin pagar el rescate? , casi simultáneamente infectaron 300,000 computadoras, muchas de las cuales pertenecen al Servicio Nacional de Salud (NHS) del Reino Unido.
El ransomware afectó a más de 40 Fideicomisos del NHS en todo el país, reduciendo la atención al paciente, cerrando cirugías e incluso cerrando hospitales. Los efectos del ataque ponen en riesgo a los pacientes y también pueden socavar la seguridad de sus datos. Lamentablemente, Microsoft lanzó un parche un mes antes del ataque, que habría evitado que WannaCry se apoderara. No solo no se implementó la actualización, sino que resultó que muchas computadoras aún ejecutaban Windows XP.
Esto a pesar del soporte extendido para el sistema operativo de 15 años que terminó dos años antes del ataque.
El futuro de los dispositivos médicos me asusta
La tecnología continúa brindando avances significativos en el tratamiento médico 8 avances tecnológicos médicos que puede necesitar un día 8 avances tecnológicos médicos que puede necesitar un día Créalo o no, la velocidad de los avances tecnológicos sigue aumentando, y hay muchos avances importantes sucediendo en el campo de la medicina. ¡Mira estas nuevas cosas increíbles! , pero no es la gracia salvadora del sector médico como descubrió el NHS del Reino Unido. Según el Secretario de Salud del Gobierno, Jeremy Hunt, hasta 270 mujeres pueden haber muerto después de un “error de algoritmo de computadora” no invitó a 450,000 mujeres a exámenes de detección de cáncer de seno.
A diferencia de muchas otras áreas afectadas por el avance de la tecnología, los dispositivos médicos pueden ser una cuestión de vida o muerte. Como la ley de Moore permite que más dispositivos se conecten en línea en los próximos años, los fabricantes deben priorizar la seguridad. Después de todo, no es bueno diseñar un “característica asesina” si eso resulta ser una descripción devastadoramente precisa.