มาตรฐานการแพทย์ DICOM ที่รั่วไหลเผยให้เห็นบันทึกผู้ป่วยหลายล้านราย

มาตรฐานการแพทย์ DICOM ที่รั่วไหลเผยให้เห็นบันทึกผู้ป่วยหลายล้านราย

ประทับเวลา: 10 พฤศจิกายน 2023 1:05 น
มาตรฐานการแพทย์ DICOM ที่รั่วไหลเปิดเผยข้อมูลผู้ป่วยนับล้านรายการ PlatoBlockchain Data Intelligence ค้นหาแนวตั้ง AI.

นักวิจัยกล่าวว่าเวชระเบียนและข้อมูลส่วนบุคคลประมาณ 60 ล้านรายการอาจถูกเปิดเผยในช่วงไม่กี่ทศวรรษที่ผ่านมา เนื่องจากการใช้ระเบียบการแบบเดิมในอุปกรณ์ทางการแพทย์

นักวิจัยจาก Aplite ได้ตรวจสอบโปรโตคอลการถ่ายภาพดิจิทัลและการสื่อสารในการแพทย์ (DICOM) ซึ่งก็คือ มาตรฐานที่เป็นที่ยอมรับในระดับสากล สำหรับการถ่ายโอนภาพทางการแพทย์ที่ใช้ในการตั้งค่ารังสีวิทยา การถ่ายภาพโรคหัวใจ และรังสีรักษาส่วนใหญ่ทั่วโลก พวกเขาพบว่าผู้ใช้โปรโตคอลมักจะไม่ใช้การควบคุมความปลอดภัย ตามการวิจัยหัวข้อ “บันทึกผู้ป่วยนับล้านที่ตกอยู่ในความเสี่ยง: อันตรายจากโปรโตคอลแบบเดิม” ซึ่งพวกเขาจะนำเสนอที่ Black Hat Europe ในลอนดอนในเดือนธันวาคม

ที่ปรึกษาด้านความปลอดภัยด้านไอทีอาวุโสของ Aplite Sina Yazdanmehr และ Ibrahim Akkulak ตรวจพบเซิร์ฟเวอร์มากกว่า 3,800 เครื่องที่ใช้ โปรโตคอล DICOM ที่สามารถเข้าถึงได้บนอินเทอร์เน็ต และ 30% ของข้อมูลเหล่านั้นรั่วไหลข้อมูลที่ละเอียดอ่อน

นักวิจัยอธิบายว่าโปรโตคอล DICOM มีมาตรการรักษาความปลอดภัย เช่น การรวม TLS และการระบุผู้ใช้ แต่ผู้ขายส่วนใหญ่ไม่ได้นำไปใช้ ด้วยเหตุผลหลายประการ ซึ่งรวมถึงการขาดความตระหนักเกี่ยวกับความเสี่ยงด้านความปลอดภัย การพัฒนาฮาร์ดแวร์ก่อนที่จะมีมาตรการรักษาความปลอดภัย ซึ่งทำให้การอัพเกรดซับซ้อนและใช้เวลานาน (และอาจไม่สามารถทำได้ด้วยซ้ำ) และผู้จำหน่ายบางรายกำหนดเป้าหมายไปที่องค์กรขนาดเล็กที่มักขาดโครงสร้างพื้นฐานด้านไอทีที่จำเป็นในการใช้มาตรการรักษาความปลอดภัย เช่น การควบคุมการเข้าถึงและใบรับรอง

“การจัดการใบรับรอง TLS มีความซับซ้อน ต้องการความเชี่ยวชาญและทรัพยากรที่สำคัญเพื่อหลีกเลี่ยงการใช้ใบรับรองที่ลงนามด้วยตนเองที่ไม่ปลอดภัย” Yazdanmehr พูดว่า นอกจากนี้เขายังอ้างว่าไม่มีมาตรการรักษาความปลอดภัยใดที่บังคับใช้ ดังนั้นการขาดการกำกับดูแลด้านกฎระเบียบจึงถือเป็นอีกสาเหตุหนึ่งของความไม่มั่นคง

บางทีช่องโหว่ด้านความปลอดภัยอาจถูกคาดหวังได้ เนื่องจากโปรโตคอลเวอร์ชันล่าสุดเปิดตัวเมื่อ 30 ปีที่แล้วในปี 1993 โดยต้นฉบับเผยแพร่ในปี 1985 และฉบับแก้ไขในปี 1988 Yazdanmehr กล่าวว่ามีการอัปเดตบางอย่างในปี 2021” แต่ไม่เกี่ยวกับการปรับปรุงความปลอดภัยที่เราต้องการเห็น”

การเปิดรับแสงจากเครื่องสร้างภาพส่งผลกระทบต่อผู้ป่วยหลายล้านคน

นักวิจัยกล่าวว่าตลอด 30 ปีที่ผ่านมา พวกเขาประเมินว่าสามารถมองเห็นบันทึกได้ 59 ล้านรายการ “รวมถึงข้อมูลส่วนบุคคล เช่น ชื่อ ที่อยู่ วันเกิด เพศ และในบางกรณี เราอาจเห็นหมายเลขประกันสังคมของคนเหล่านั้นด้วยซ้ำ” ”

พวกเขายังกล่าวอีกว่า มีเวชระเบียนที่แสดงผลการตรวจในบางกรณี เช่น ผลการสแกน MRI, X-ray หรือ CTตลอดจนวันและเวลาสอบ

Yazdanmehr กล่าวว่าผู้จำหน่ายเครื่องจักรที่พวกเขาพูดคุยด้วยทราบถึงปัญหาดังกล่าว แต่เสริมว่าพวกเขาไม่ทราบว่าความเสี่ยงมีขนาดใหญ่เพียงใด และปริมาณการรั่วไหลของข้อมูลอยู่ที่เท่าใด

เขาชี้ให้เห็นว่าอุปกรณ์ควรจะสามารถพูดคุยกันและแลกเปลี่ยนข้อมูลได้ แต่การย้ายบันทึกอิเล็กทรอนิกส์อย่างปลอดภัยเกี่ยวข้องกับทุกลิงก์ในห่วงโซ่ที่ปลอดภัยและทันสมัย ​​และจนกว่าอุปกรณ์และอุปกรณ์ทางการแพทย์ส่วนใหญ่จะสามารถรองรับขั้นสูงและ มาตรการรักษาความปลอดภัยที่ซับซ้อนก็จะเกิดปัญหา

นักวิจัยได้ตีพิมพ์ ที่ปรึกษา เกี่ยวกับปัญหาด้านความปลอดภัย และพวกเขาแนะนำให้ผู้ใช้ประเมินว่ามีความจำเป็นอย่างแท้จริงในการเปิดเผยเซิร์ฟเวอร์ DICOM เพื่อการเข้าถึงระยะไกล และเพื่อให้การสื่อสารภายในถ้าเป็นไปได้

DICOM: ไม่มีปัญหาด้านความปลอดภัยในส่วนของเรา

โฆษกของ DICOM กล่าวในแถลงการณ์ว่า DICOM เป็นโปรโตคอลมาตรฐานที่ผู้ผลิตเลือกใช้ และผู้จำหน่ายและองค์กรจัดส่งด้านการดูแลสุขภาพคือผู้ตัดสินใจในท้ายที่สุดว่ากลไกความปลอดภัยใดเหมาะสมกับสภาพแวดล้อมของพวกเขา

ดังนั้น มาตรฐาน DICOM จึงไม่ก่อให้เกิดความเสี่ยงด้านความปลอดภัยตามคำแถลง ซึ่งชี้ให้เห็นว่ามี "ความสามารถในการเชื่อมต่อที่ปลอดภัย" ที่ระบุไว้ใน DICOM มาเกือบสองทศวรรษ และมีการอัปเดตเป็นประจำเพื่อสะท้อนถึงคำแนะนำจาก สถาบันมาตรฐานและเทคโนโลยีแห่งชาติ (NIST) และองค์กรกำหนดมาตรฐานสากลอื่นๆ 

“การใช้งาน การใช้งาน การจัดซื้อ การบำรุงรักษา และการกำหนดค่าระบบที่ใช้มาตรฐาน DICOM นั้นเป็นความรับผิดชอบของผู้จำหน่ายผลิตภัณฑ์และลูกค้าของพวกเขา” ตามคำแถลง “นอกจากนี้ มันเป็นความรับผิดชอบของผู้จำหน่ายในการจัดหาและบำรุงรักษาการใช้งานซอฟต์แวร์ กล่าวโดยสรุป การรักษาความปลอดภัยที่เหมาะสมถือเป็นความรับผิดชอบร่วมกันระหว่างผู้ผลิตอุปกรณ์และองค์กรจัดส่งด้านสุขภาพ การอ้างว่าเป็นความรับผิดชอบแต่เพียงผู้เดียวของมาตรฐานนั้นถือเป็นเท็จ”

นักวิจัยกล่าวว่าพวกเขาเห็นด้วยกับ คำสั่งและ พวกเขาหวังว่าการนำเสนอที่ Black Hat Europe จะช่วยเตือนเรื่องปัญหาข้อมูลรั่วไหล

“หวังว่าเราจะสามารถเพิ่มความตระหนักรู้ ทำให้ดีขึ้น และจำนวนก็ลดลง และผู้ค้าและโรงพยาบาลจำนวนมากขึ้นก็เริ่มปรับปรุงโครงสร้างพื้นฐานของพวกเขาให้แข็งแกร่งขึ้น” Yazdanmehr กล่าว “แต่ฉันคิดว่ามันจะเป็นการเดินทางที่ยาวนาน”

ประทับเวลา:

เพิ่มเติมจาก การอ่านที่มืด