3 podstawy budowania skutecznej strategii bezpieczeństwa IoMT

Internet of Medical Things (IoMT) jest prawdopodobnie jedynym, jeśli chodzi o próg kompleksowego bezpieczeństwa IoT, z którym organizacje świadczące opiekę zdrowotną muszą stale się spotykać. Szpitale, przychodnie lekarskie i zintegrowane systemy dostarczania muszą nie tylko zapewniać zgodność i bezpieczeństwo urządzeń i sprzętu podłączonego do Internetu swoich organizacji, ale także zapewnić, aby bezpieczeństwo pacjentów nie było zagrożone (i unikać znaczącego uszczerbku na reputacji z publicznego naruszenia).

Dodatkowym wyzwaniem jest to, że organizacje opieki zdrowotnej mają tendencję do wdrażania wyjątkowo heterogenicznych flot urządzeń IoMT, które zawierają większe ilości szczególnie wrażliwych starszych urządzeń. Żadna inna branża wykorzystująca możliwości IoT nie ma tak wysokich stawek jak opieka zdrowotna, ani tak trudnych przeszkód. W rezultacie zespoły ds. bezpieczeństwa opieki zdrowotnej muszą starannie opracowywać podejścia do rozwiązywania i łagodzenia pewnych zagrożeń, które po prostu nie występują w innych nowoczesnych implementacjach IoT.

Tworząc skuteczną strategię zarządzania lukami w zabezpieczeniach IoMT i strategii bezpieczeństwa, należy zrozumieć trzy kluczowe kwestie. Po pierwsze, ponieważ każdego miesiąca napotykają tysiące nowych luk w zabezpieczeniach, zespoły ds. bezpieczeństwa IoMT muszą wybrać swoje bitwy. Po drugie, zarządzanie wysokim churnem urządzeń oznacza wprowadzenie bezpieczeństwa od momentu przyjęcia. Po trzecie, liderzy ds. bezpieczeństwa muszą tworzyć współpracujące ze sobą zespoły ekspertów, aby zarządzać niezliczonymi urządzeniami wysokiego ryzyka.

1. Wybierz swoje bitwy

Producenci urządzeń IoMT publikują średnio od 2,000 do 3,000 luk w zabezpieczeniach każdego miesiąca. Jednak publikują łatki w najlepszym przypadku tylko dla około jednego na 100. Organizacje świadczące usługi medyczne nie mogą po prostu skanować urządzeń IoMT pod kątem luk w zabezpieczeniach, ponieważ spowoduje to awarię wielu starszych urządzeń. Zespoły ds. bezpieczeństwa mogą próbować po prostu segmentować każde urządzenie w celu naprawienia i złagodzenia luk w zabezpieczeniach, ale robienie tego dla każdego urządzenia jest skomplikowane — a utrzymanie takiej segmentacji dla IoT i IoMT jest jeszcze bardziej skomplikowane. Zespoły nie mogą polegać na skanach, za mało łateki stale dodawane są nowe urządzenia. Wkrótce segmentacja ulega erozji, a zespoły ds. bezpieczeństwa kończą z płaską siecią.

Oto dobra wiadomość: tylko od 1% do 2% Luki IoMT faktycznie stanowią wysokie ryzyko w swoim środowisku. Rzeczywiste ryzyko związane z urządzeniem IoMT jest w dużej mierze funkcją specyfiki środowiska — połączeń urządzenia, urządzeń znajdujących się w pobliżu, konkretnego przypadku użycia i tak dalej. Przeprowadzając specyficzne dla środowiska analizy wykorzystania, zespoły ds. bezpieczeństwa mogą zidentyfikować prawdziwe zagrożenia związane z urządzeniem i odpowiednio skoncentrować swoje ograniczone zasoby. Segmentacja i inne techniki mogą wówczas skoncentrować się na naprawieniu od 1% do 2% urządzeń wysokiego ryzyka i luk w zabezpieczeniach.

Zespoły ds. bezpieczeństwa powinny również zdawać sobie sprawę z tego, że atakujący grają w tę samą grę — szukają luk w środowiskach, które mogą służyć jako trampoliny dla ich łańcuchów ataków. Proste urządzenie monitorujące IoMT bez danych lub bez znaczącego wpływu na wyniki pacjentów może nadal stać się pierwsze domino w ważnym wydarzeniu związanym z bezpieczeństwem.

2. Wprowadź zabezpieczenia przy adopcji

Zespoły ds. bezpieczeństwa muszą zmagać się nie tylko z ugruntowanymi starszymi urządzeniami IoMT, ale także z ciągle zmieniającymi się zasobami urządzeń, które rotują w tempie 15% rocznie. Aby przeciwdziałać tej trudności, liderzy ds. bezpieczeństwa muszą domagać się miejsca przy stole decyzyjnym, gdy wprowadzane są nowe urządzenia – lub przynajmniej heads-up, aby właściwie analizować i usuwać luki w zabezpieczeniach, zanim urządzenia wejdą w aktywne użytkowanie. Ten poziom uwzględniania jest standardem w innych branżach i musi być podstawą skutecznej strategii bezpieczeństwa IoMT.

W rzeczywistości w większości innych branż dział IT może zawetować przyjęcie rozwiązań, które stanowią zagrożenie dla bezpieczeństwa organizacji. Jednak w organizacjach świadczących opiekę zdrowotną urządzenia IoMT z problemami z bezpieczeństwem mogą mimo wszystko mieć zasadnicze znaczenie dla nadrzędnego celu, jakim jest zapewnienie wyjątkowej opieki i doświadczeń pacjentów. To powiedziawszy, organizacje opieki zdrowotnej, które włączają zabezpieczenia do swoich urządzeń IoMT nabycie procesy zapewniają lepsze wyniki w zakresie bezpieczeństwa i usuwania ryzyka.

3. Tworzenie współpracujących zespołów ekspertów

W przeciwieństwie do branż, w których CSO mogą zarządzać jednorodnymi macierzami niedrogich czujników IoT i mieć możliwość odrzucenia urządzeń, które stwarzają jakiekolwiek ryzyko, które im się nie podobają, opieka zdrowotna wymaga zupełnie innego i holistycznego procesu podejmowania decyzji. Lekarze mają ogromną wagę, jeśli chodzi o decyzje dotyczące technologii, ponieważ urządzenie IoMT o wysokim ryzyku z punktu widzenia bezpieczeństwa IT może znacznie zmniejszyć ryzyko dla pacjenta z punktu widzenia zdrowia. Urządzenia IoMT, które poprawiają komfort pacjenta, takie jak wrażliwe kamery na OIOM-ie, które mimo to pozwalają rodzicom oglądać ich noworodki, mogą również uzasadniać postawienie zespołów ochrony w trudnej sytuacji.

Chociaż zrozumiałe jest decydowanie o wspieraniu wyników zdrowotnych, liderzy bezpieczeństwa muszą być przygotowani do wprowadzenia zabezpieczeń, które ułatwiają podejmowanie tych decyzji. Maksymalizacja skuteczności zabezpieczeń IoMT w tych trudnych okolicznościach wymaga od liderów bezpieczeństwa zbudowania zespołu ekspertów z obszerną zgromadzoną wiedzą na temat bieżących zagrożeń i nastawienia na współpracę, umożliwiającego przygotowanie optymalnych środków zaradczych.

Uczyń bezpieczeństwo IoMT priorytetem organizacji

Liderzy ds. bezpieczeństwa opieki zdrowotnej muszą pomóc swoim organizacjom w rozpoznaniu ogromnego znaczenia i wartości bezpieczeństwa IoMT, nawet jeśli wyniki i doświadczenia pacjentów są najważniejsze. Jednocześnie liderzy bezpieczeństwa nie powinni być zniechęceni trudnościami w zarządzaniu ryzykiem IoMT. Każdy mały krok, który zmniejsza ryzyko, toruje drogę do silnej postawy bezpieczeństwa.