Mnogi su se nedavno iznenadili kada su pročitali da su izuzetno sofisticirani, složeni i skupi medicinski uređaji, poput rendgena i analizatora plinova u krvi, bili korišteni kao točke iz kojih je koordiniran širi napad na IT sustave u tri bolnice.

Iako se već podosta zna o općenitoj ranjivosti umreženih medicinskih uređaja, ovo su bili prvi dokumentirani slučajevi u kojima su takvi uređaji korišteni kao glavne točke napada za kasnije šire, lateralne napade na ostatak infrastrukture u bolnici.

Kako je do toga došlo, zašto je trebalo dugo vremena za popravak? Začudo, odgovor nema nikakve veze s tehnologijom, tvrdi Brian Witten, viši direktor za sigurnost interneta stvari u Symantecu.

Mnogi od ovih sustava koriste poznate varijante softvera, poput različitih verzija Windowsa i Linuxa. Na žalost, ti izuzetno važni uređaji gotovo nikada ne dobivaju posljednje, najnovije sigurnosne nadogradnje.

Rizici nisu tajna

Ovakvi rizici nisu nova stvar niti su neka posebna tajna u bolnicama. Zdravstvena industrija već dugo se suočava s takvim rizicima jer su medicinski uređaji već bili zaraženi zloćudnim programima poput Zeusa, Citadela, Confickera i mnogih drugih.

Štoviše, neke infekcije računalnim virusima znale su zatvarati i cijele odjele u bolnicama u svijetu, hitni pacijenti bi bili preusmjeravani u druge bolnice ili su se pak događali drugi slični problemi u radu zdravstvenog sustava.

Naravno, bilo koji PC u bolnici, baš poput vašeg prijenosnog računala, ima bezbrojne zaštite od takvog zloćudnog softvera. Računala i medicinski uređaji koji imaju najnovije sigurnosne zakrpe i antivirusne programe koji su nadograđeni na zadnje verzije dobro su zaštićeni od takvih zloćudnih programa i hakerskih napada.

Na žalost, međutim, zbog razloga koji imaju veze s regulatornim okvirima i općim politikama poslovanja u tom sektoru, bolnicama nije dopušteno stavljati sigurnosne zakrpe na ove uređaje, čak niti na one koji u svojoj osnovi koriste Windows ili drugi komercijalni softver. Slično tome, bolnice ne smiju instalirati nikakav dodatni softver na ove medicinske uređaje, čak niti sigurnosni softver koji je jednostavno nužan za zaštitu.

U ishodištu ovakvog stava dobri su razlozi. Medicinska oprema, uključujući softver koji sama koristi, mora proći postupke službenog testiranja i mora dobiti odobrenje da je sigurna za primjenu na pacijentima. Bilo kakva promjena softvera - uključujući i sigurnosne popravke ili dodavanje softvera bez izričitog odobrenja proizvođača opreme - može utjecati na ponašanje i rad tog uređaja na način da se ugroze pacijenti.

Zbog tih razloga, regulatorni okvir zabranjuje bilo kakve preinake na medicinskim uređajima, čak i ukoliko bi cilj takvog postupka bio da zaštiti opremu te u konačnici i same pacijente.

Medicinske uređaje lako je srušiti

Koliko su veliki ovi rizici? Posve očito, ne postoji rizik da će 'bankarske informacije' biti ukradene s uređaja za magnetnu rezonancu. Međutim, neki od tih uređaja toliko su ranjivi da se jednostavno mogu 'srušiti' kada se susretnu s neočekivanim ponašanjem.

Chris Eng, potpredsjednik razvoja u tvrtki Veracode, nedavno je na Twitteru napisao kako se MRI stroj 'srušio' tijekom jednostavnog skeniranja i potrage za ranjivostima, dok su drugi stručnjaci za računalnu sigurnost prijavljivali i kako običan, jednostavan SNMP (Simple Network Management Protocol) upit može 'srušiti' medicinske uređaje.

Naravno, nisu svi medicinski uređaji toliko osjetljivi, ali niti jedan od ovih uređaja ne bi uopće smio biti toliko ranjiv, kaže Witten. Kada se uređaj zarazi, bio kao ulazna točka zaraze, točka iz koje se koordinira napad ili u sklopu neke šire infekcije, moramo biti svjesni mogućih posljedica te stoga moramo biti i zabrinuti.

Ključni i kritični elementi upravljačkog i nadzornog sustava tih uređaja mogu biti promijenjeni tijekom ovakvih napada pa bi se, primjerice, moglo dogoditi da uređaj primijeni pretjeranu dozu zračenja u slučaju CT skenera. Za sigurnosne ranjivosti koje su pronađene u inzulinskim pumpama dokazano je da mogu biti smrtonosne.

Čeka nas stroža regulativa

Drugi zabrinjavajući scenarij bio bi, primjerice, kada bi ciljani napad na medicinski uređaj bio proveden s ciljem da se našteti pojedinom pacijentu ili općenitom ugledu bolnice.

Iako takvi slučajevi do danas nisu zabilježeni, sigurnosni istraživači i analitičari pokazali su rizike koji postoje u slučaju pacemakera (Kevin Fu), inzulinskih pumpi (Jerome Radcliffe) i infuzijskih pumpi (Billy Rios), pri čemu je zbog ovog posljednjeg slučaja u Sjedinjenim Američkim Državama došlo i do posebne reakcije: uputa ICS-CERT-a koji djeluje u sklopu Ministarstva domovinske sigurnosti, a i američka nacionalna Administracija za hranu i lijekove (FDA) izdala je svoje upute.

Što se danas čini kako bi se umanjio ovaj problem? Spomenuta FDA 2014. godine izdala je naputak vezan uz medicinsku opremu koji je bio upućen prema svim proizvođačima medicinske opreme i onima koji je prodaju. Witten je siguran sam da ćemo vidjeti i daljnje slične upute - pa možda čak i strožu regulativu - u godinama koje slijede.

Proizvođači ovih uređaja moraju razmišljati o problemu informatičke sigurnosti te moraju predvidjeti načine nadogradnje ovih uređaja u trenucima kada su oni već instalirani u bolnicama. Također, ove će tvrtke morati surađivati s regulatorima s ciljem definiranja procesa koji bi korisnicima – bolnicama – olakšao instalaciju sigurnosnih nadogradnji.

Istovremeno će i bolnice morati razmotriti svoje interne procese i procedure kako bi svoju infrastrukturu koju čine medicinski uređaji učinile mnogo sigurnijom.