„Zdravotnické přístroje a zařízení provádějící léčbu nebo diagnostiku zdravotního stavu, kladou vysoké požadavky na spolehlivý provoz, monitorování své činnosti a zdraví pacientů. Jsou vyvíjeny s použitím časem prověřených technologií a postupů, které ze zkušenosti minimalizují vznik poruchy či chybu měření i výpočtu. Zároveň však nejsou odolné vůči aktuálním hrozbám v informačním světě. Jelikož bývají připojeny do informační sítě nemocnice, může na ně útočník pohlížet jako na přístupový bod k napadení informační sítě anebo na prvek, jenž může vzdáleně zneužít k ohrožení zdraví pacienta,“ říká Filip Štěpánek, odborník na kyberbezpečnost ze společnosti Accenture. S tím bychom měli v pozicích finančních ředitelů a CIO počítat, protože všechno něco stojí – a ve zdravotnictví navíc jde o životy pacientů.
Jak na tom vůbec je zabezpečení zdravotních přístrojů
Výrobci zdravotnických přístrojů si jsou obecně vědomi možných problémů v oblasti bezpečnosti svých produktů a věnují značné úsilí k jejich nápravě. To však do jisté míry komplikuje situace s nedostatkem odborníků na trhu práce, kteří by rozuměli specifikům zdravotního sektoru, a zároveň byli odborníky na informační bezpečnost. Jedním z hlavních problémů je, že implementace informační bezpečnosti není přímo součástí vývojového procesu, tzv. „security-by-design“, ale je přidávána až po skončení vývoje nebo až v produkčním prostředí.
Dalším problémem je, že tradiční zdravotnická zařízení byla navržena na fyzickou obsluhu a vzdálenou správu si v době vývoje málokdo dokázal představit. Vzdálené případy užití (distribuce aktualizací, vzdálená správa) tak byly následně přidávány často až v rámci produkčního životního cyklu. Aby byl zařízením umožněn přístup do sítě, je mnohdy zapotřebí použít síťové prvky třetích stran, které nemusí být plně kompatibilní se zdravotnickým hardwarem, a to třeba z důvodu konfigurace zabezpečené komunikace. Tento příklad ukazuje jednu ze situací, která přináší komplikace pro výrobce, a zároveň může představovat možnost přístupu pro útočníka.
„Situaci v zabezpečení systémů ve zdravotnických zařízeních komplikuje fakt, že jsou používány různorodé komponenty a zařízení různého stáří. Je pak těžké zajistit už jen jejich vzájemnou komunikaci a kompatibilitu – natož zabezpečení. Z praxe víme, že nemocnice a výrobci mají na zabezpečení takových zařízení limitované finanční prostředky, což se bohužel odráží ve výsledném produktu. Pro útočníky je to ideální situace, kterou mohou využít k vydírání. Nezapomínejme, že se bavíme o zdravotnických zařízeních s přímým vlivem na zdraví a život člověka, kde zabezpečení bezporuchového provozu musí být jednou z hlavních priorit,“ konstatuje Michal Merta, ředitel Cyber Fusion centra společnosti Accenture.
Možný dopad na pacienty
Zdravotnické přístroje a systémy vyžadují vysokou přesnost měření, a – jak bylo zmíněno –, je tu kladen vysoký důraz na spolehlivý provoz – tedy je potřeba zachovat striktní integritu programového vybavení a zpracovávaných dat. Z toho důvodu může být jeden z cílů útočníků vyvolání špatného nastavení léčby, ať už přímo či nepřímo.
„Při přímém útoku může útočník provést změny nastavení daného úkonu pro specifického pacienta pomocí získaného přístupu k datům anebo přístroji. Naproti tomu nepřímý útok znamená, že změny v nastavení úkonu či přístroje provede obsluha na základě pozměněných dat, která jí byla podsunuta útočníkem. Asi není třeba zdůrazňovat, že tato činnost může mít za následek neúčinnost léčby, trvalé zdravotní následky nebo smrt pacienta,“ upřesňuje Filip Štěpánek.
Útok však může mít i další negativní dopady, a to na důvěryhodnost zdravotní instituce poskytující zdravotní úkon, což následně vede ke snížení ochoty pacientů takový úkon podstupovat. V neposlední řadě může být útočníkovým úmyslem poškození dobrého jména organizace vedoucí k vyvolání paniky mezi širokou veřejností, což může vést ke ztrátě důvěry v instituci.
Bude se situace zlepšovat?
I když se může jevit stávající úroveň bezpečnosti zdravotních zařízení jako méně ideální, je třeba říct, že zdravotnická zařízení a bezpečnostní experti vynakládají nemalé úsilí – a tím i financí – na její zlepšení. Tato činnost není triviální a vyžaduje spolupráci s odborníky napříč obory. Jakékoliv technické řešení v oblasti nemůže dostatečně fungovat v případě, kdy nejsou nastaveny podpůrné procesy a kdy není dostatečně proškolen veškerý personál. „Jinými slovy se nesmí zapomínat ani na lidský faktor a na primární funkci přístrojů, kde informační bezpečnost má za úkol chránit jejich provoz, zároveň však nesmí omezovat funkčnost,“ zakončuje Štěpánek.
