确保医疗物联网的安全 - Plato AiStream V2.1

由柏拉图重新发布

关注： 0

[嵌入的内容]

医疗保健已成为日益增加的网络攻击的目标。但这是为什么呢？我们能做些什么呢？ Asimily 首席执行官 Shankar Somasundaram 与 Ryan Chacon 一起在 IoT For All 播客中讨论安全问题医疗物联网 (IoMT)。它们涵盖了医疗保健行业的独特之处，物联网安全挑战、为什么网络攻击不断增加以及示例、医疗设备安全法规、物联网在医疗保健领域的挑战，以及物联网安全最佳实践。

We Talk 物联网商业播客回来了！探索在您首选的流媒体提供商上取得成功的最佳实践、物联网用例和公式。或访问 avnet-silica.com/podcast.

关于尚卡尔

Shankar Somasundaram 是 IoMT 和物联网风险管理平台 Asimily 的首席执行官。此前，他在赛门铁克从事物联网分析和安全解决方案工作。

有兴趣联系尚卡尔? 联系领英！

关于阿西米利

阿西米利提供一个风险管理平台，保护 IoMT 和 IoT 设备（在医疗、诊断、生命科学和制药行业拥有特别大的客户群）。凭借最广泛的物联网和安全协议知识库，Asimily 的平台 (Asimily Insight) 对组织中的每个设备（包括连接设备和独立设备）进行盘点和分类。由于风险评估和威胁不是静态目标，Asimily 可以监控组织的设备，检测异常行为，并提醒操作员纠正任何已识别的异常情况。

本集中的关键问题和主题：

（01：04）尚卡和阿西米里简介

（02：03）是什么让医疗保健与众不同？

（03：52）医疗物联网安全挑战

（07：04）为什么网络攻击不断增加以及示例

（10：28）医疗器械安全法规

（13：01）物联网在医疗保健中的挑战

（16：34）物联网安全最佳实践

（19：46）了解更多并跟进

全文：

– [Ryan] 大家好，欢迎收看 IoT For All 播客的另一集。我是 Ryan Chacon，在今天的节目中，我们将讨论 IoMT 和 IoMT 安全性的所有内容。今天和我在一起的是 Asimily 的首席执行官 Shankar。它们是一个保护 IoMT 和 IoT 设备安全的风险管理平台。

很棒的谈话。点赞该视频，订阅我们的频道，然后点击铃铛图标，以便您在最新剧集发布后立即获得。我们的赞助商很快告诉我们，我们将立即进入这里，所以请享受这一集。

我们谈论物联网商业播客又回来了。探索您首选的流媒体提供商的最佳实践、物联网用例和成功秘诀。或访问 avnet-silica.com/podcast。这就是我们谈论 IoT 物联网商业播客。如果您想在网站上查看，网址为 www dot avnet avnet dashsilicasilicadotcom/podcast。欢迎 Shankar 来到全民物联网播客。感谢您本周来到这里。

– [Shankar] 谢谢你邀请我，瑞安。真的很感激。

– [瑞安] 当然。是的。我对这次谈话感到很兴奋。如果您不介意的话，我们首先请您向我们的观众简要介绍一下您自己和公司。

– [香卡] 是的。非常感谢你的帮忙。我是 Shankar，Asimily 的首席执行官兼创始人。 Asimily 的重点是跨不同环境的医疗、实验室和物联网设备的库存、网络安全和运营管理。医疗保健一直是我们非常关注的领域。在组装之前，我曾在赛门铁克负责物联网业务

医疗保健是我们重点关注的垂直行业之一，我还研究了零售和工业等其他垂直行业。在此之前，我拥有产品和工程背景。许多年前，我帮助制造了 iPhone 3G 调制解调器。 20 年前，我曾制造过一些业界早期的手机。

我还在网络安全和网络方面做了一些其他工作。

– [瑞安] 太棒了。因此，我想深入探讨与 IoT、IoMT 相关的医疗保健领域，这是我们很多人最近听到的一个新缩写词。首先我们来谈谈医疗保健与其他行业相比物联网有什么独特之处？

– [Shankar] 医疗保健是，当我定义医疗保健时，医疗保健不是一个单一的垂直领域。我称医疗保健不是一个系统，而是一个系统的系统。这就是我对医疗保健的定义。这就是它最独特的原因。我的意思是，在医疗保健领域，您几乎可以找到来自各个垂直领域的设备。你会发现 IoMT，这是一种相互连接的医疗设备。

您会发现通用的物联网设备，例如打印机、IP 摄像头、监控摄像头。您可以找到电梯、楼宇管理系统、暖通空调等工业控制系统设备。然后您还可以找到在传统实验室环境中可以找到的实验室设备，例如诊断设备、细胞分析仪。

因此，如果你纵观整个环境，我们甚至会看到汽车连接到某些网络。因此，如果你纵观整个环境，你会发现销售点系统、零售系统，每个垂直领域都有特定的设备，而且你会发现几乎所有这些设备都在医疗保健领域。然后，更有趣的部分是它们不仅存在于医疗保健领域，而且实际上彼此相互作用。

因此，您并不是在谈论存在脱节设备的脱节系统，而是这些来自不同垂直领域的设备，它们都以某种形式相互操作，这使得它非常复杂，并且环境与您在其他地方会遇到的任何事情。

– [Ryan] 是的，这是分解它的好方法。我的意思是，据我所知，这是物联网领域中一个非常突出的用例，或者我猜这是围绕用例构建的行业。但是，对于很多人来说，他们不明白为什么它不仅如此重要，而且同时为什么将这些解决方案引入这种环境是一个挑战。

我想问，我们经常谈论的其他领域之一是物联网的安全方面。每个行业本身在所需的安全级别、实施安全的难度、跟上安全威胁和部署发展趋势方面确实有所不同。

但就医疗保健行业而言，为什么医疗保健系统物联网设备在安全方面面临如此独特的挑战，或者当医疗保健行业的物联网解决方案部署在这些环境中时，它们面临哪些独特的挑战？如果您只是告诉我们与其他行业相比，那就太棒了。

– [Shankar] 是的，首先，医疗保健非常独特。这不仅仅是一个网络安全问题，也是一个患者可用性问题。这从根本上来说是一个病人护理问题，对吧？因此，当我们谈论保护这些设备时，您谈论的是处于危险之中的患者的生命，以及像你我这样处于危险之中的人的生命，对吧？

如果你在手术台上，设备要停机，会受到攻击，而该设备要监测你的心率，但它会下降，我的意思是，这会产生重大后果，或者出了问题关于设备。所以首先，关键性是非常不同的。

还有其他行业也非常关键。别误会我的意思。发电厂非常关键，但在这里你直接将某些东西归因于一个身体不适的病人的生命，这会产生更糟糕的影响。这是第一个问题。你正在处理的事情如果处理不当，可能会严重影响某人的生活。

那是你放在那里的一个大酒吧。就网络安全挑战本身而言，其中一些挑战是医疗保健所特有的。其中一些与其他工业垂直领域相似。例如，设备的遗留问题。医疗保健是垂直行业之一，与工业一样，有许多设备在环境中非常遗留。

你得不到补充。医疗保健的独特之处在于其中一些设备，我的意思是其中一些传统设备正在用于患者。回到患者的可用性，这会带来很大的风险。在医疗保健领域，尤其是在医疗保健领域，比其他垂直领域更是如此，您无法扫描或无法扫描其中一些医疗设备。

您无法扫描其中一些旧设备。您已经从一位客户那里进行了一项研究，他们实际上扫描了医疗设备，他们在测试环境中进行了观察，这改变了设备的增益。他们改变了心电图的增益，因此心电图仍在工作，就像它看起来仍然工作正常但给出的读数完全错误一样。

您如何知道心电图读数是正确还是错误？除非你是专家，否则你怎么知道或发现这一点？正确的？因此，它会对无法扫描的设备的操作产生不利影响。然后又回到我的观点，一个系统的系统。您不能仅仅孤立地保护设备，这对于医疗保健来说是非常独特的。

您必须了解它在不同设备和环境中的运行方式。因此，了解整体环境与了解我们自己的医疗保健一样重要，这不仅仅是识别，这一点很重要，而且还要识别攻击者将从哪里来，将采取哪些部分以及他们将如何工作遍及整个环境。

这也非常重要，因为这个环境中有很多互操作性，与我见过的许多其他环境相比，这对于医疗保健来说是非常独特的。

– [瑞安] 当然。哦，绝对是。绝对地。您提到了可能发生的不同攻击。您能否谈谈勒索软件攻击或在获取医疗保健数据方面发生的任何类型的攻击的一些示例或最近的示例，以及为什么这些攻击如此多地成为攻击目标，以及它如何真正影响医疗保健组织的 IT 设备安全想法和计划。就像我们看到的事情一样，我知道例如 Clop 勒索软件攻击。您能否谈谈这件事以及发生的事情以及学到或整理的内容，或者我想通过这种情况发现的内容？

– [Shankar] 所以基本上，第一件事就是为什么对医疗保健的攻击越来越多，是平均医疗记录的售价，就像平均信用卡记录一样，如果有人偷了一张信用卡，卖掉它，你就可以得到一美元的美分。但平均医疗记录可能是，我现在不知道确切的数字。

我听说过 50 到 100 美元的价格，上次我听说黑市上的价格是 50 美元。你可以看到追求这一目标的经济动机。这就是其中之一。另外，还有很多规定实际上意味着医院将支付费用或某人将支付费用。至少他们是这么认为的。

这就是攻击者追击它的原因。从勒索软件攻击来看，攻击次数有所增加。最近有一次攻击，我认为是通过FPP服务器发起的。它来自 FPP 客户端应用程序，因此它实际上将自己暴露在互联网上。对于许多勒索软件攻击来说，通常是因为正在发生的错误配置，并且攻击的数量发生在整个卫生系统中，而不仅仅是全国范围内，但最近，我认为九个月前，也发生了勒索软件攻击。

这是一些恶意软件攻击。我不太记得了，在德国 DACH，剧院里正在进行一项手术，由于一些勒索软件攻击或恶意软件攻击，医院的一定比例被削减，比如被切断从其余部分来看，这对患者的护理、患者的可用性和治疗造成了不良反应。

然后病人最终失去了生命。这并不是直接因为网络攻击，而是因为缺乏管理系统的可用性，这也是网络的一个含义。它实际上降低了你对所需事物的可用性。在许多这样的情况下，都是配置错误。正如我所说，就像最近发生的一次攻击一样，客户端应用程序将其端口及其服务暴露给互联网，并让攻击者可以轻松登录，例如轻松攻击设备和轻松攻击应用程序，获取有关的信息它，并对系统发起攻击。所有这些中还有很多默认凭据。

就像在这种情况下一样，许多医疗设备都有一些默认凭据暴露了它们的默认凭据，这实际上也允许攻击者利用它们并发起网络攻击。所以我认为其中一些是缺乏配置、配置错误。我想说，其中一些原因是缺乏正确的配置和控制，另一些原因则是缺乏医疗保健中所有其他问题之外的意识和流程。

加上金融的丰富性以及随之而来的金融激励措施，实际上已经成倍地增加了它。

– [Ryan] 是的，我不知道。我的意思是，我从来没有真正深入了解这一点，也没有真正了解信用卡记录是什么，它们是什么，它们卖什么，信用卡号码，它们与医疗记录相比卖什么。这真是令人难以置信，而且显然他们攻击这个空间的原因也是有道理的。

您在回答中提到了一些我想进一步询问的内容，您谈到了法规。那么，当谈到医疗保健行业的设备安全法规时，现在的情况是什么样的，或者它是如何演变的，或者我们的受众应该关注或理解的领域正在发生什么？

– [Shankar] 是的，这是一个很好的问题。我认为人们的意识肯定已经提高到我们看到更严格的监管的程度。所以一直都有指导方针。一直有人说你应该如何看待它。但在全球范围内，我们看到法规发挥着更大的作用。

例如，在美国，几个月前出台了一项综合法案，要求制造商提供一定的时间，但它要求制造商开始关注网络安全。当他们出售设备时，他们要求他们随设备一起提供某种文档。现在预计这将渗透到卫生系统。现在的卫生系统，空间稍微复杂一些。

因此，409D 已经发布了一些指导方针，它实际上讨论了卫生系统需要做的一些事情。它们是指导方针，但审计人员和监管机构越来越多地使用它们来实际审计卫生系统，以确保他们确实有风险缓解计划或环境中的风险意识计划。

我们看到类似的指导方针和法规正在出台。例如欧洲市场。我非常了解一些欧洲市场的法规，这些法规实际上正在渗透到世界其他地区。我想说，因为环境如此复杂，你无法告诉卫生系统，嘿，关闭你的服务。

如果你不这样做，就不要为病人服务。所以它有点多，这也是医疗保健的另一个复杂性。你可以拥有一个卫生系统，但你无法对其进行审计。你不能告诉他们，你不能要求他们关闭服务并且不与患者合作。因此，这是您需要通过网络执行的操作和可用性之间的良好平衡。

在某些方面，这是一个相关的问题，因为如果您不安全，将来就会遇到可用性问题。但推出这一方案的方式必须谨慎。所有这些规定。这就是为什么医疗保健领域的法规有时在应该做的事情与损害您想要实现的结果之间取得了非常微妙的平衡。

因此，我们看到了更严格的监管。我们看到它得到了政府和监管机构的推动，但我们正在慢慢解决如何以不危及整个卫生系统运作的方式推出这一项目。

– [Ryan] 好的，太棒了。让我问你，我们在这里触及了一些零碎的东西，但显然到目前为止我们的大部分关注点都是安全性。但是，您认为医疗保健组织在对其环境中的这些物联网部署进行现代化和扩展时还遇到了哪些其他挑战？

您谈到了他们的遗留系统以及与它们交互的挑战。您还谈到了系统的系统或系统的系统，以及如何能够集成所有这些系统或与所有这些系统进行互操作，这始终是一个挑战。但是，无论我们在技术和技术方面取得了多大的进步，您还看到哪些其他挑战仍在持续存在，或者是否有任何您认为真正需要关注或真正需要思考的东西持续存在于这个领域？

– [Shankar] 所以，我认为形势正在迅速变化，所以我不知道是否存在持续存在的问题，因为形势本身，我的意思是，问题是技术现代化之一。这是基本的主题。它以不同的方式出现。例如，在整个新冠疫情期间，卫生系统长期以来一直在谈论医疗保健如何从医院转向家庭环境，让患者实际上更舒服地坐在家庭环境中。

坐在家里接受照顾比坐在医院里躺在病床上更舒服。正确的？因此，医院一直都知道，病人的健康、病人的护理正在更多地转向一个更加去中心化的世界，但新冠疫情加速了这一趋势，随着新冠疫情的加速，你会看到更多的远程护理和病人环境。

这需要一套以前不存在的技术。为了实现这一目标，一些医院必须比其他医院付出更多努力。这就产生了一系列不同的技术问题。现在您可以进行远程家庭医疗保健。您在家中放置了监视患者的设备。必须安全地获取这些数据并提供服务。

然后，这些数据将被有效地用于做出患者决策。然后病人来到医院，现在必须使用这些数据，这些数据是您实际从远程收集的数据，并与您进入医院的数据相关联。现在你谈论的是新技术堆栈。

我的意思是，这不是新的，新的，就像人们一直在远程一样，但在医院环境中，它现在正在改变患者的方式，但你仍然必须遵守所有的法规，数据隐私，数据法规，所有这一切，周围的大量法规HIPAA、GDPR 等。因此，我认为，这极大地推动了远程医疗、远程医疗监控以及组合数据的技术现代化，同时保证数据的安全。

因此，根本主题是关于技术现代化，即为什么我们谈论网络安全，广泛的健康组织、医疗保健组织必须采用正在出现的一系列新技术，并且以人工智能目前的发展速度，这'将带来一系列新的挑战。

人们使用 ChatGPT 来预测他们的健康状况或类似的诊断，然后他们会去看医生以获得第二意见。他们中的一些人甚至正在这样做。因此，每项技术以及医疗保健面临的最大挑战是能够采用技术，因为它们不能成为第一个采用者，因为您还要处理患者的生活。

你不能开始对人们的生活进行实验，但你必须成为一个快速的追随者。这是根本问题，它在某种程度上影响了医疗保健。他们并不总是对正在发生的事情最快的追随者。但行业的发展方式、网络的发展方式、技术和景观的发展方式，医疗保健作为一个基本的事情必须做到这一点，无论是远程医疗、人工智能，还是网络安全。我的意思是，所有这一切，医疗保健必须很快赶上。

– [瑞安] 当然。不，很重要的一点。在让您离开这里之前，我想问您的最后一件事是针对我们的观众，我们显然已经谈论了很多关于安全的问题，很多关于医疗空间、医疗保健空间、医疗保健空间的独特元素以及其中的环境。但如果我正在听这个，并希望在部署物联网解决方案或思考这些安全步骤时获得一些最佳实践或建议，那么您对公司有什么一般建议，无论他们是在为医疗保健领域构建解决方案，还是医疗保健组织、医院，您希望采用什么？在采用阶段，他们真正考虑的最重要的几件事应该是什么？

– [Shankar] 我想说我们大致有四到五个步骤。所以第一个是在流程方面。我们是一家科技公司，但我总是告诉每个与我交谈的人，流程与技术、流程和人员一样重要。必须确保人们都知道。您必须确保您有适当的网络安全计划或流程。

人是你最薄弱的环节。如果没有人意识到网络安全并且人们点击左侧、右侧和中心的恶意软件链接，那么您在组织中所做的事情有什么不同，对吗？所以这就是流程，人员是第一位的。当你从技术角度来看时，你显然必须有库存

在那段旅程中排名第一。你必须了解你的环境中有什么。但人们犯的错误是，他们认为库存就是一切，他们认为，好吧，如果我有可见性，我就能解决问题。库存只是第一步。您必须对如何降低风险有非常清晰和深入的了解？

你将如何管理你的脆弱性？其中一部分。因为如果您没有这种了解，您就不会收到大量漏洞的通知。如果你所要做的就是去，如果你所能做的就是去对网络中的生命进行微观分割，那么你将无法及时、高效、安全地降低风险。及时时尚。

因此，技术堆栈的第二步是找到一种缓解方法，确定最重要的漏洞或风险的优先级，并能够以有效的方式缓解它们。你必须能够做到这一点，并且你必须将其视为可见性的一部分，因为如果没有可见性，你将拥有可见性，几个月后你将不知道如何继续。

另一方面，您需要制定一个非常强大的事件响应计划。几分钟前我们刚刚谈到了攻击如何增加。我的意思是，如果你，上帝保佑你不会受到攻击，而你不能说，我永远不会受到攻击。你必须为此做好准备。正确的？每个人都必须做好准备。因此，您需要制定一个有效的事件响应计划，该计划知道您将如何检测它，您将如何收集数据，您将如何分析它？您将如何确定您的环境基线？所有这些计划都必须到位，而技术可以发挥重要作用。希望有一个能够真正照顾整个旅程的解决方案，或者至少作为解决整个旅程的计划。

否则，如果你只在一个维度上思考它，我会得到一些可见性，几个月后你会发现自己处于一个非常困难的境地。因此，在制定计划时，要考虑可见性，不仅要考虑可见性，还要考虑在适当的时间范围内有效地进行风险管理。

然后谈谈，在事件响应主动计划中思考它，就像从事件响应的角度来看，我认为非常重要。我认为这就是我建议组织关注的内容。

– [瑞安] 太棒了。这是结束这一切的好方法。太感谢了。对于我们的观众来说，如果他们想更多地了解你们正在发生的事情，也许可以跟进这个话题，这个讨论，以任何方式取得联系，他们能做到这一点的最佳方式是什么？

– [Shankar] 我的意思是，他们可以给我们发电子邮件 info@asimily.com，或者他们可以，我的意思是，有 - 我曾在许多活动中发表演讲。他们总能得到我的信息，就像它就在那里一样，我所有的信息、我的电子邮件、我的电话都在那里。他们可以给我发电子邮件，我也可以让他们与某人联系。即使不是关于 Asimily，我已经在这个行业工作了十多年了，所以。

– [瑞安] 太棒了。好的，完美。嗯，我真的很感谢你抽出时间。这是一次很棒的谈话。物联网日益成为一个流行的话题。所以我很高兴我们能够进行这次讨论并希望相对较快地将其传达给我们的观众。但是，是的，非常感谢您抽出宝贵的时间，很高兴与您交谈。

– [香卡] 是的。非常感谢你，瑞安。我很感激。