Standardul medical DICOM leaky expune milioane de înregistrări ale pacienților

Republicat de Platon

Urmaritori: 0

Standardul medical DICOM leaky expune milioane de înregistrări ale pacienților PlatoBlockchain Data Intelligence. Căutare verticală. Ai.

Aproximativ 60 de milioane de dosare personale și medicale ar fi putut fi expuse în ultimele decenii din cauza utilizării unui protocol moștenit în echipamentele medicale, spun cercetătorii.

Cercetătorii de la Aplite au examinat protocolul Digital Imaging and Communications in Medicine (DICOM), care este un standard recunoscut internațional pentru transferurile imagistice medicale care sunt implementate în majoritatea setărilor de radiologie, imagistică cardiologie și radioterapie la nivel global. Ei au descoperit că utilizatorii protocolului nu folosesc adesea controalele de securitate, conform cercetării intitulate „Milioane de înregistrări ale pacienților în pericol: pericolele protocoalelor moștenite,” pe care îl vor prezenta la Black Hat Europe din Londra în decembrie.

Consultanții seniori în securitate IT Aplite Sina Yazdanmehr și Ibrahim Akkulak au detectat peste 3,800 de servere folosind Protocolul DICOM care erau accesibile pe internet, iar 30% dintre acestea scurgeau date sensibile.

Cercetătorii au explicat că protocolul DICOM conține măsuri de securitate, cum ar fi integrarea TLS și identificarea utilizatorului, dar că majoritatea vânzătorilor nu le implementează, din mai multe motive. Acestea includ lipsa de conștientizare cu privire la riscurile de securitate; dezvoltarea hardware-ului înainte de a exista măsurile de securitate – ceea ce face ca upgrade-urile să fie complicate și consumatoare de timp (și poate nici măcar nu sunt fezabile); iar unii furnizori vizează organizațiile mai mici, cărora adesea le lipsește infrastructura IT necesară pentru a implementa măsuri de securitate, cum ar fi controlul accesului și certificatele.

„Gestionarea certificatelor TLS este complicată. Necesită expertiză și resurse semnificative pentru a evita recurgerea la certificate nesigure autosemnate.” spune Yazdanmehr. El susține, de asemenea, că niciuna dintre măsurile de securitate nu este obligatorie, așa că lipsa guvernării de reglementare ar putea fi văzută ca o altă cauză a insecurității.

Poate că găurile de securitate sunt de așteptat, având în vedere că cea mai recentă versiune a protocolului a fost introdusă acum 30 de ani, în 1993, cu originalul publicat în 1985 și o ediție revizuită în 1988. Yazdanmehr spune că au existat unele actualizări în 2021, ” dar nu în ceea ce privește îmbunătățirile de securitate pe care am vrut să le vedem.”

Expunerea la aparatul de imagistică afectează milioane de pacienți

Cercetătorii spun că peste 30 de ani, ei estimează că 59 de milioane de înregistrări ar fi putut fi vizibile, „inclusiv informații personale precum nume, adrese, date de naștere, sex – și, în unele cazuri, am putea vedea chiar și numerele de securitate socială ale acelor persoane. .”

De asemenea, ei spun că au existat dosare medicale care au arătat rezultate ale examinărilor în unele cazuri, cum ar fi un Rezultat RMN, raze X sau CT, precum și data și ora examinării.

Yazdanmehr spune că vânzătorii mașinilor cu care au vorbit erau conștienți de probleme, dar adaugă că nu erau conștienți de cât de mare este riscul și care este volumul scurgerii de date.

El subliniază că dispozitivele ar trebui să poată comunica între ele și să facă schimb de date, dar că mutarea în siguranță a înregistrărilor electronice implică ca fiecare verigă a lanțului să fie securizată și actualizată și că până când majoritatea echipamentelor și dispozitivelor medicale pot suporta sisteme avansate și măsuri complexe de securitate, va fi o problemă.

Cercetătorii au publicat un consultativ privind problemele de securitate și sugerează utilizatorilor să evalueze dacă există o nevoie reală de a expune un server DICOM la acces de la distanță și de a menține comunicațiile interne, dacă este posibil.

DICOM: Fără probleme de securitate din partea noastră

Un purtător de cuvânt al DICOM a declarat într-o declarație că DICOM este un protocol standard pe care producătorii aleg să-l folosească și că vânzătorii și organizațiile de asistență medicală sunt cei care decid în cele din urmă care mecanisme de securitate sunt potrivite pentru mediul lor.

Astfel, standardul DICOM nu prezintă în mod inerent un risc de securitate, conform declarației, care a subliniat că există o „capacitate de conexiune sigură” care este specificată în DICOM de aproape două decenii și că este actualizată în mod regulat pentru a reflecta recomandările din partea Institutul Național de Standarde și Tehnologie (NIST) și alte organizații internaționale de stabilire a standardelor.

„Implementarea, implementarea, cumpărarea, întreținerea și configurarea sistemelor care implementează standardul DICOM sunt responsabilitatea vânzătorilor de produse și a clienților acestora”, potrivit declarației. „În plus, este responsabilitatea vânzătorilor să furnizeze și să mențină implementări software. Pe scurt, securitatea adecvată este o responsabilitate comună între producătorii de dispozitive și organizațiile de furnizare a serviciilor de sănătate. A pretinde că este responsabilitatea exclusivă a unui standard este fals.”

Cercetătorii spun că sunt de acord cu declarație, și că ei speră că prezentarea de la Black Hat Europe va ajuta să tragă un semnal de alarmă cu privire la problema scurgerii de date.

„Sperăm că putem crește gradul de conștientizare, o îmbunătățim, iar numărul scade și mai mulți furnizori și spitale încep să-și întărească infrastructura”, spune Yazdanmehr. „Dar cred că va fi un fel de călătorie lungă.”