The Internet of Medical Things (IoMT) står uten tvil alene når det kommer til terskelen for omfattende IoT-sikkerhet som organisasjoner for levering av helsetjenester kontinuerlig må møte. Sykehus, legepraksis og integrerte leveringssystemer må ikke bare holde sine egne organisasjoners netttilkoblede enheter og utstyr alltid kompatible og sikre, men de må også sørge for at pasientsikkerheten ikke er i fare (og unngå den betydelige omdømmeskaden som kommer fra et offentlig brudd).
I tillegg til denne utfordringen er at helseorganisasjoner har en tendens til å distribuere unike heterogene flåter av IoMT-enheter som inneholder større volumer av spesielt sårbare eldre enheter. Ingen annen industri som utnytter IoT-evner har så høye innsatser som helsetjenester, og heller ikke slike utfordrende hindringer. Som et resultat må helsevesenets sikkerhetsteam nøye lage tilnærminger for å håndtere og redusere visse risikoer som rett og slett ikke eksisterer i andre moderne IoT-implementeringer.
Det er tre viktige punkter å forstå når man bygger en effektiv IoMT-sårbarhetsadministrasjon og sikkerhetsstrategi. For det første, fordi de møter tusenvis av nye sårbarheter hver måned, må IoMT-sikkerhetsteam velge sine kamper. For det andre betyr å administrere høy enhetsavgang å introdusere sikkerhet fra øyeblikket av adopsjon. Og for det tredje må sikkerhetsledere danne samarbeidende team av eksperter for å administrere utallige høyrisikoenheter.
1. Velg kampene dine
I gjennomsnitt publiserer produsenter av IoMT-enheter 2,000 til 3,000 sårbarheter hver måned. Imidlertid publiserer de oppdateringer for bare en av 100 i beste fall. Organisasjoner for levering av helsetjenester kan ikke bare skanne IoMT-enheter for sårbarheter fordi dette vil føre til at mange eldre enheter krasjer. Sikkerhetsteam kan forsøke å bare segmentere hver enhet for sårbarhetsutbedring og -redusering, men å gjøre dette for hver enhet er komplekst – og å opprettholde en slik segmentering for IoT og IoMT er enda mer. Lag kan ikke stole på skanninger, har ikke på langt nær nok patcher, og nye enheter legges til kontinuerlig. Snart nok eroderer segmenteringen og sikkerhetsteam ender opp med et flatt nettverk.
Her er de gode nyhetene: Bare 1% til 2% av IoMT-sårbarheter faktisk utgjøre en høy risiko i deres gitte miljø. En IoMT-enhets faktiske risiko er i stor grad en funksjon av miljøspesifikasjoner - en enhets tilkoblinger, enheter i nærheten, dens spesielle brukstilfelle, og så videre. Ved å gjennomføre en miljøspesifikke utnytte analyse, kan sikkerhetsteam identifisere en enhets sanne risiko og konsentrere sine begrensede ressurser deretter. Segmentering og andre teknikker kan deretter fokusere på å fikse de øverste 1 % til 2 % av høyrisikoenheter og sårbarheter.
Sikkerhetsteam bør også være klar over at angripere spiller det samme spillet – de leter etter sårbarheter i miljøer som kan tjene som springbrett for deres angrepskjeder. En enkel IoMT-overvåkingsenhet uten data eller signifikant effekt på pasientresultater kan fortsatt bli den første dominoen i en større sikkerhetshendelse.
2. Introduser sikkerhet ved adopsjon
Sikkerhetsteam må ikke bare kjempe med forskansede eldre IoMT-enheter, men stadig skiftende enhetsbeholdninger som samler seg med en hastighet på 15 % per år. For å motvirke denne vanskeligheten, må sikkerhetsledere kreve en plass ved beslutningsbordet når nye enheter tas i bruk – eller i det minste en heads-up for å analysere og adressere sårbarheter før enhetene tas i bruk. Dette vurderingsnivået er standard i andre bransjer og må være grunnleggende for en effektiv IoMT-sikkerhetsstrategi.
Faktisk, i de fleste andre bransjer kan en IT-avdeling nedlegge veto mot å ta i bruk løsninger som utgjør et sikkerhetsansvar for organisasjonen. Innenfor organisasjoner for levering av helsetjenester kan imidlertid IoMT-enheter med sikkerhetsproblemer være avgjørende for det høyere prioriterte målet om å gi eksepsjonell pasientbehandling og pasientopplevelser. Når det er sagt, helseorganisasjoner som innlemmer sikkerhet i sin IoMT-enhet oppkjøp prosesser muliggjør bedre løpende sikkerhet og risikoutbedringsresultater.
3. Danne samarbeidsteam av eksperter
I motsetning til i bransjer der CSOer kan administrere homogene rekker av rimelige IoT-sensorer og har carte blanche for å avvise enheter som utgjør enhver risiko de ikke liker, krever helsevesenet en helt annen og helhetlig beslutningsprosess. Klinikere har enorm vekt når det kommer til teknologibeslutninger fordi en IoMT-enhet med høy risiko fra et IT-sikkerhetsperspektiv kan redusere risikoen for en pasient betydelig fra et helseperspektiv. IoMT-enheter som forbedrer pasientopplevelsen, for eksempel sårbare NICU-kameraer som likevel lar foreldre se sine nyfødte, kan også rettferdiggjøre å sette sikkerhetsteam i en tøff posisjon.
Selv om det er forståelig å bestemme seg for å støtte helseresultater, må sikkerhetsledere være forberedt på å innføre beskyttelse som letter disse beslutningene. Maksimering av IoMT-sikkerhetseffektiviteten i disse utfordrende omstendighetene krever at sikkerhetsledere bygger et ekspertteam med betydelig innsamlet kunnskap om aktuelle trusler og en samarbeidende tankegang som muliggjør forberedelse av optimale mottiltak.
Gjør IoMT-sikkerhet til en organisasjonsprioritet
Sikkerhetsledere i helsevesenet må hjelpe organisasjonene sine til å anerkjenne den enorme viktigheten og verdien av IoMT-sikkerhet, selv om pasientresultater og opplevelser kommer først. Samtidig bør sikkerhetsledere ikke la seg skremme av vanskeligheten med IoMT risikostyring. Hvert lite skritt som reduserer risiko baner veien til en sterk sikkerhetsstilling.
