Met internet verbonden medische apparaten beveiligen

Leeuwen en tijgers en beren — Oh my!

Bij aankomst in een onbekend landschap in The Wizard of Oz , merkte Dorothy op:"Toto, ik heb het gevoel dat we niet meer in Kansas zijn." Ontmoetingen met vliegende apen, orgaanarme metgezellen, vrolijke munchkins en een watermijdende heks werden al snel haar nieuwe normaal.

Voor ons houdt het nieuwe normaal in de versnelde acceptatie van met internet verbonden medische apparaten en virtuele zorgmodellen - het "internet of medical things" of IoMT, dat door Deloitte wordt gedefinieerd als een "verbonden infrastructuur van medische apparaten, softwaretoepassingen en gezondheid systemen en diensten.”

De wereldwijde vraag naar medische hulpmiddelen - van zowel individuele consumenten als zorgverleners - is enorm. In de VS werd die markt geschat op $ 160,8 miljard in 2019 en zal naar verwachting $ 176 miljard bereiken in 2020. Ondertussen verwachtte een rapport van onderzoeksbureau Fior Markets een groei in de wereldwijde markt voor connectiviteit voor medische apparatuur van $ 1,63 miljard in 2019 tot $ 8,76 B in 2027.

Het leeft!

In een ander beroemd verhaal gebruikte baron Victor Frankenstein, de gekke dokter van Mary Shelley, eenvoudige naaitechnieken om de verschillende lichaamsdelen van zijn wezen samen te voegen, die hij vervolgens activeerde met de 19e-eeuwse versie van elektroconvulsietherapie. Technologie in de 21e eeuw heeft dit vermogen nog niet bereikt, hoewel transplantaties, herbevestigingen, protheses en implantaten - waarvan er vele 'slim' (dwz verbonden) of vervaardigd met behulp van additive manufacturing en 3D-printtools - niet ongewoon zijn.

Daarom vertegenwoordigt IoMT een meer persoonlijk aspect van cyber-fysieke convergentie dan dat gezien wordt in andere IoT-toepassingen - ze komen onze intieme fysieke "vertrouwenszone" binnen. De veiligheid en privacy van de patiënt kunnen worden geschaad als een apparaat of het fabricageproces van een apparaat in gevaar komt. Een dergelijk potentieel heeft geleid tot bezorgdheid over ethisch gebruik en technische capaciteit om privacy, cyberbeveiliging en essentiële apparaatprestaties te beschermen.

Om de IoMT-infrastructuur effectief te beheren, moet rekening worden gehouden met veel bewegende, vaak autonome onderdelen, waaronder:

• Kwaliteitscontrole in het productieproces.
• Interoperabiliteit van medische informatie die op meerdere apparaten is opgeslagen.
• Vertrouwen op cloudopslag en softwareplatform.
• Bewaking van netwerkcommunicatie.
• Voldoen aan de verwachtingen van medische professionals.

IoMT maakt steeds meer deel uit van ons levensweefsel. Het is essentieel om gegevensprivacy, apparaatintegriteit en cyberbestendigheid in te bouwen in het ontwerp en de productie van medische apparaten en apparatuur.

Wie ga je bellen?

De excentrieke wetenschappers in Ghostbusters gebruikte parapsychologische trucs om ongewenste geesten op te sporen. Normen en richtlijnen ¹ voor fabrikanten van medische hulpmiddelen behandelen samenwerking, kwaliteitsproblemen, risico- en beveiligingsbeheer, use-casescenario's en schetsen van praktijken om onverwacht "spookachtig" gedrag in medische hulpmiddelen te identificeren en uit te roeien. Dit helpt om de controle over de apparaatprestaties "zoals ontworpen" en "zoals gebouwd" te verbeteren (zelfs als controle over apparaten "zoals gebruikt" ongrijpbaarder is).

Het International Medical Device Regulators Forum (IMDRF), een vrijwilligersorganisatie, heeft een Medical Device Cybersecurity Working Group samengesteld, die in maart 2020 zijn "Principles and Practices for Medical Device Cybersecurity" heeft gepubliceerd.

Dit document gaat niet in op cyberbeveiliging binnen de onderneming zelf, maar bespreekt wel de verantwoordelijkheid van fabrikanten van medische hulpmiddelen om de weerbaarheid van producten op het gebied van cyberbeveiliging te verbeteren, kwetsbaarheden te verhelpen en risico's te verminderen door middel van de fasen van ontwerp/ontwikkeling, productie, testen en ondersteuning/post-market monitoring van de totale productlevenscyclus (TPLC). De aanbevelingen voor fabrikanten omvatten de ontwikkeling van een TPLC-beheerplan voor cyberbeveiliging om het volgende aan te pakken:

• Situationeel bewustzijn.
• Kwetsbaarheid bekendmaken.
• Updates en herstel.
• Herstel.
• Bewijs dat de fabrikant op de hoogte blijft van bekendgemaakte kwetsbaarheden en deze deelt die hij heeft geïdentificeerd.

Een techniek voor risicobeheer die in het bijzonder nuttig kan zijn, is dreigingsmodellering. Het Open Web Application Security Project (OWASP) raadt fabrikanten aan om tijdens het ontwerp en de ontwikkeling de volgende vier vragen te stellen:

1. Wat zijn we aan het bouwen?
2. Wat kan er mis gaan (bijvoorbeeld hoe kan het worden aangevallen)?
3. Wat gaan we daaraan doen?
4. Hebben we het goed genoeg gedaan?

Het plannen van en het inbouwen van veerkracht op het gebied van cyberbeveiliging in medische apparaten in de hele TPLC, van het definiëren van prestatie-eisen tot levering aan - en pensionering van - service zal resulteren in producten die ons vertrouwen verdienen.

Ze zijn Heeeeeere!

Poltergeist onderzoekt de verstoringen die ontstaan ​​wanneer commerciële, op winst gebaseerde activiteiten ethische, humanistische zorgen negeren en snelkoppelingen nemen die leiden tot onbedoelde gevolgen en bijkomende schade. De gemeenschap van belanghebbenden heeft meegewerkt aan een initiatief om dergelijke verstoringen te voorkomen in de sector van de productie van medische hulpmiddelen, die valt onder twee van de 16 kritieke infrastructuursectoren die zijn geïdentificeerd in Presidential Policy Directive 21 (PPD-21):gezondheidszorg en volksgezondheid, en kritieke productie . Bovendien heeft het Amerikaanse Congres in 2015 de Cybersecurity Act van 2015 (CSA) aangenomen, die vereisten bevat om de beveiligingsbenaderingen van de gezondheidszorg op elkaar af te stemmen.

De Joint Cybersecurity Working Group van de Healthcare and Public Sector Coordinating Council, een publiek-private samenwerking met het Amerikaanse ministerie van Volksgezondheid en Human Services, somt technische best practices op voor fabrikanten van medische hulpmiddelen, waaronder:

• Minimaliseer aanvalsoppervlakken.
• Beveiligde standaardinstellingen en configuratie instellen.
• Behoud controle en verantwoordelijkheid.
• Volg de principes van de minste privileges, scheiding van taken en verdediging in de diepte.
• Veilig mislukken.
• Houd de beveiliging eenvoudig en los beveiligingsproblemen op de juiste manier op.

Iedereen die de NIST SP 800-171 beveiligingscontrolevereisten heeft doorlopen, zal elementen van de 14 controlefamilies herkennen die zijn vastgelegd in de bovenstaande samenvatting van best practices. Ze zijn beproefd en waar - en fundamenteel voor geïnformeerd in plaats van blind vertrouwen.

Of het nu gaat om het voorkomen van rampzalige snelkoppelingen, het bevatten van kwaadaardige fantomen (of eekhoorns), of het samenvoegen van een multi-node apparaatoplossing, met betrekking tot medische apparaten bevinden we ons in een nieuwe norm. Gelukkig kunnen we overstappen naar een veiligere, dieper bewuste relatie met technologie. We hoeven alleen maar verder in het IoMT-filmscript te duiken om de samenstellende delen te begrijpen, hoe ze op elkaar inwerken en hoe ongelukken te voorkomen.

Deze blog maakt deel uit van een serie die is gepubliceerd voor de National Cybersecurity Awareness Month (NCSAM). Andere blogs in de serie zijn onder meer Creating a Culture of Security van Celia Paulsen, If You Connect It, Protect It van Zane Patalive, Suspicious Minds:Non-Technical Signs Your Business Might Have Been Hacked door Pat Toth en The Future of Connected Devices van Erik Fogleman en Jeff Orszak.

^{1 Voorbeelden:Association for Advancement of Medical Information (AAMI) - https://www.aami.org/medical-device-manufacturer; Food and Drug Administration - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance; Internationale Elektrotechnische Commissie (IEC) - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm; Internationale Organisatie voor Standaardisatie (ISO) - https://www.iso.org/iso-13485-medical-devices.html; Underwriters Laboratories (UL) - https://www.ul.com/resources/healthcare-standards-directory}