Das Internet of Medical Things (IoMT) steht wohl allein da, wenn es um die Schwelle umfassender IoT-Sicherheit geht, die Organisationen im Gesundheitswesen ständig erreichen müssen. Krankenhäuser, Arztpraxen und integrierte Liefersysteme müssen nicht nur die mit dem Internet verbundenen Geräte und Ausrüstungen ihrer eigenen Organisationen immer konform und sicher halten, sondern auch sicherstellen, dass die Patientensicherheit nicht gefährdet wird (und den damit verbundenen erheblichen Reputationsschaden vermeiden). von einem öffentlichen Verstoß).
Hinzu kommt, dass Gesundheitsorganisationen dazu neigen, einzigartig heterogene Flotten von IoMT-Geräten einzusetzen, die größere Mengen besonders anfälliger Legacy-Geräte enthalten. Keine andere Branche, die sich IoT-Fähigkeiten zunutze macht, hat so hohe Einsätze wie das Gesundheitswesen und auch keine so herausfordernden Hindernisse. Infolgedessen müssen Sicherheitsteams im Gesundheitswesen sorgfältig Ansätze entwickeln, um bestimmte Risiken anzugehen und zu mindern, die in anderen modernen IoT-Implementierungen einfach nicht vorhanden sind.
Beim Aufbau einer effektiven IoMT-Schwachstellenmanagement- und Sicherheitsstrategie sind drei wichtige Punkte zu verstehen. Erstens müssen IoMT-Sicherheitsteams ihre Schlachten wählen, da sie jeden Monat mit Tausenden neuer Schwachstellen konfrontiert sind. Zweitens bedeutet die Bewältigung einer hohen Geräteabwanderung die Einführung von Sicherheit ab dem Moment der Einführung. Und drittens müssen Sicherheitsverantwortliche kollaborative Expertenteams bilden, um unzählige hochriskante Geräte zu verwalten.
1. Wählen Sie Ihre Schlachten
Im Durchschnitt veröffentlichen IoMT-Gerätehersteller 2,000 bis 3,000 Schwachstellen jeden Monat. Allerdings veröffentlichen sie Patches bestenfalls nur für etwa einen von 100. Organisationen im Gesundheitswesen können IoMT-Geräte nicht einfach auf Schwachstellen scannen, da dies zum Absturz vieler älterer Geräte führen würde. Sicherheitsteams versuchen möglicherweise, jedes Gerät zur Behebung und Minderung von Schwachstellen einfach zu segmentieren, aber dies für jedes Gerät zu tun, ist komplex – und die Aufrechterhaltung einer solchen Segmentierung für IoT und IoMT ist es noch mehr. Teams können sich nicht auf Scans verlassen, habe nicht annähernd genug Patches, und ständig kommen neue Geräte hinzu. Schon bald erodiert die Segmentierung und die Sicherheitsteams haben am Ende ein flaches Netzwerk.
Hier ist die gute Nachricht: Nur 1 % bis 2 % von IoMT-Schwachstellen tatsächlich ein hohes Risiko in ihrem jeweiligen Umfeld darstellen. Das tatsächliche Risiko eines IoMT-Geräts hängt stark von den Umgebungsbedingungen ab – den Verbindungen eines Geräts, Geräten in der Nähe, seinem speziellen Anwendungsfall und so weiter. Durch die Durchführung einer umgebungsspezifisch Exploit-Analyse können Sicherheitsteams die wahren Risiken eines Geräts identifizieren und ihre begrenzten Ressourcen entsprechend konzentrieren. Segmentierung und andere Techniken können sich dann darauf konzentrieren, die obersten 1 % bis 2 % der Geräte und Schwachstellen mit hohem Risiko zu beheben.
Sicherheitsteams sollten sich auch darüber im Klaren sein, dass Angreifer dasselbe Spiel spielen – sie suchen nach Schwachstellen in Umgebungen, die als Sprungbrett für ihre Angriffsketten dienen können. Ein einfaches IoMT-Überwachungsgerät ohne Daten oder signifikante Auswirkungen auf die Patientenergebnisse kann immer noch werden der erste Dominostein bei einem großen Sicherheitsereignis.
2. Sicherheit bei der Adoption einführen
Sicherheitsteams müssen sich nicht nur mit fest verwurzelten IoMT-Legacy-Geräten auseinandersetzen, sondern auch mit sich ständig ändernden Gerätebeständen, die jährlich um 15 % schwanken. Um dieser Schwierigkeit entgegenzuwirken, müssen Sicherheitsverantwortliche einen Sitz am Entscheidungstisch fordern, wenn neue Geräte eingeführt werden – oder zumindest eine Vorwarnung, um Schwachstellen richtig zu analysieren und zu beheben, bevor Geräte aktiv genutzt werden. Dieses Maß an Berücksichtigung ist in anderen Branchen Standard und muss die Grundlage für eine effektive IoMT-Sicherheitsstrategie bilden.
Tatsächlich könnte in den meisten anderen Branchen eine IT-Abteilung die Einführung von Lösungen ablehnen, die ein Sicherheitsrisiko für das Unternehmen darstellen. Innerhalb von Organisationen im Gesundheitswesen können IoMT-Geräte mit Sicherheitsproblemen jedoch für das übergeordnete Ziel, eine außergewöhnliche Patientenversorgung und Patientenerfahrung zu bieten, unerlässlich sein. Das heißt, Gesundheitsorganisationen, die Sicherheit in ihr IoMT-Gerät integrieren Erwerb Prozesse ermöglichen bessere laufende Sicherheits- und Risikobeseitigungsergebnisse.
3. Bilden Sie kollaborative Expertenteams
Anders als in Branchen, in denen CSOs möglicherweise homogene Arrays kostengünstiger IoT-Sensoren verwalten und einen Freibrief haben, Geräte abzulehnen, die ein Risiko darstellen, das sie nicht mögen, erfordert das Gesundheitswesen einen völlig anderen und ganzheitlichen Entscheidungsprozess. Kliniker haben enormes Gewicht, wenn es um Technologieentscheidungen geht, da ein IoMT-Gerät mit hohem Risiko aus Sicht der IT-Sicherheit die Risiken für einen Patienten aus gesundheitlicher Sicht erheblich reduzieren kann. IoMT-Geräte, die das Patientenerlebnis verbessern, wie z. B. anfällige Kameras auf der Neugeborenen-Intensivstation, die es Eltern dennoch ermöglichen, ihre Neugeborenen zu sehen, können es auch rechtfertigen, Sicherheitsteams in eine schwierige Lage zu bringen.
Während es verständlich ist, sich für die Unterstützung von Gesundheitsergebnissen zu entscheiden, müssen Sicherheitsverantwortliche bereit sein, Schutzmaßnahmen einzuführen, die diese Entscheidungen erleichtern. Um die Effektivität der IoMT-Sicherheit unter diesen herausfordernden Umständen zu maximieren, müssen Sicherheitsleiter ein Expertenteam mit umfangreichem gesammeltem Wissen über aktuelle Bedrohungen und einer kooperativen Denkweise aufbauen, die die Vorbereitung optimaler Gegenmaßnahmen ermöglicht.
Machen Sie die IoMT-Sicherheit zu einer organisatorischen Priorität
Sicherheitsverantwortliche im Gesundheitswesen müssen ihren Organisationen helfen, die enorme Bedeutung und den Wert der IoMT-Sicherheit zu erkennen, auch wenn die Ergebnisse und Erfahrungen der Patienten an erster Stelle stehen. Gleichzeitig sollten sich Sicherheitsverantwortliche nicht von der Schwierigkeit des IoMT-Risikomanagements einschüchtern lassen. Jeder kleine Schritt, der das Risiko reduziert, ebnet den Weg zu einer starken Sicherheitslage.
