211service.com
I virus informatici sono 'dilaganti' sui dispositivi medici negli ospedali
Secondo i partecipanti a un recente panel governativo, le apparecchiature ospedaliere informatizzate sono sempre più vulnerabili alle infezioni da malware. Queste infezioni possono ostruire le apparecchiature di monitoraggio del paziente e altri sistemi software, rendendo a volte i dispositivi temporaneamente inutilizzabili.
Sebbene non siano stati segnalati feriti, il problema del malware negli ospedali è chiaramente in aumento a livello nazionale, afferma Kevin Fu , uno dei maggiori esperti di sicurezza dei dispositivi medici e un informatico presso l'Università del Michigan e l'Università del Massachusetts, Amherst, che hanno preso parte alla tavola rotonda.
Le apparecchiature mediche controllate da software sono diventate sempre più interconnesse negli ultimi anni e molti sistemi funzionano su varianti di Windows, un obiettivo comune per gli hacker altrove. I dispositivi sono generalmente collegati a una rete interna che è a sua volta connessa a Internet e sono anche vulnerabili alle infezioni da laptop o altri dispositivi portati negli ospedali. Il problema è aggravato dal fatto che i produttori spesso non consentono di modificare le proprie apparecchiature, nemmeno per aggiungere funzionalità di sicurezza.
In un tipico esempio, al Beth Israel Deaconess Medical Center di Boston, 664 apparecchiature mediche sono in esecuzione su sistemi operativi Windows meno recenti che i produttori non modificheranno o consentiranno all'ospedale di cambiare, anche per aggiungere software antivirus, a causa di disaccordi sul fatto che le modifiche potrebbe entrare in conflitto con le revisioni normative della Food and Drug Administration statunitense, afferma Fu.
Di conseguenza, questi computer sono spesso infettati da malware e uno o due devono essere portati offline ogni settimana per la pulizia, afferma Mark Olson, responsabile della sicurezza delle informazioni presso Beth Israel.
Lo trovo sbalorditivo, dice Fu. Il malware convenzionale è dilagante negli ospedali a causa dei dispositivi medici che utilizzano sistemi operativi privi di patch. C'è poco ricorso per gli ospedali quando un produttore si rifiuta di consentire aggiornamenti del sistema operativo o patch di sicurezza.
Le preoccupazioni per le possibili conseguenze per i pazienti sono state descritte giovedì scorso in una riunione di un gruppo di dispositivi medici presso il National Institute of Standards and Technology Comitato consultivo per la sicurezza delle informazioni e la privacy , di cui Fu è membro, a Washington, D.C. Durante l'incontro, Olson ha descritto come il malware a un certo punto abbia rallentato i monitor fetali utilizzati su donne con gravidanze ad alto rischio in cura nei reparti di terapia intensiva.
Non è insolito che quei dispositivi, per ragioni che non comprendiamo appieno, vengano compromessi al punto da non poter registrare e tenere traccia dei dati, ha detto Olson durante l'incontro, riferendosi ai monitor di gravidanza ad alto rischio. Fortunatamente, abbiamo un modello di riserva perché sono [pazienti] ad alto rischio. Sono in un'unità IC: c'è qualcuno fisicamente lì a guardare. Ma se si stanno allontanando da un altro paziente, c'è una finestra di tempo perché le cose vadano nella direzione sbagliata.
I sistemi informatici difettosi nei monitor sono stati sostituiti diversi mesi fa dal produttore Philips; i nuovi sistemi, basati su Windows XP, hanno protezioni migliori e il problema è stato risolto, ha detto Olson in una successiva intervista.
Durante l'incontro, Olson ha anche affermato che problemi simili minacciano un'ampia varietà di dispositivi, che vanno dai compounder, che preparano farmaci per via endovenosa e nutrizione per via endovenosa, ai sistemi di archiviazione delle immagini associati alle apparecchiature diagnostiche, inclusi enormi dispositivi di imaging a risonanza magnetica da $ 500.000.
Olson ha detto al panel che le infezioni hanno colpito molti tipi di apparecchiature, suscitando il timore che un giorno un paziente possa essere danneggiato. Ci preoccupiamo anche delle situazioni in cui gli analizzatori di gas ematici, i compoundatori, le apparecchiature radiologiche, i sistemi di somministrazione medico-nucleare potrebbero essere compromessi fino a renderli non utilizzabili, o essere compromessi al punto in cui i loro valori vengono modificati senza che il software lo sappia, Egli ha detto. Ha spiegato che quando una macchina si intasa di malware, in teoria potrebbe perdere un paio di letture di un sensore [e] riportare erroneamente un valore, che ora può causare danni.
Spesso il malware è associato a botnet, ha affermato Olson, e una volta che si trova all'interno di un computer, tenta di contattare i server di comando e controllo per ricevere istruzioni. Le botnet, o raccolte di computer compromessi, inviano comunemente spam ma possono anche condurre attacchi ad altri sistemi informatici o svolgere altre attività assegnate dalle organizzazioni che li controllano (vedi Moore's Outlaws).
A settembre, il Government Accountability Office ha emesso un rapporto avvertendo che i dispositivi medici computerizzati potrebbero essere vulnerabili all'hacking, rappresentando una minaccia per la sicurezza, e ha chiesto alla FDA di affrontare il problema. Il rapporto del GAO si è concentrato principalmente sulla minaccia a due tipi di dispositivi wireless impiantati: defibrillatori impiantati e pompe per insulina. La vulnerabilità di questi dispositivi ha ricevuto un'ampia attenzione da parte della stampa (vedi Sicurezza personale e protezione dei pacemaker dagli hacker), ma non sono stati segnalati attacchi reali su di essi.
Fu, leader nella ricerca sui rischi descritti nel rapporto GAO, ha affermato che queste due classi di dispositivi sono una goccia nel mare: anche migliaia di altri dispositivi connessi alla rete utilizzati per la cura dei pazienti sono vulnerabili alle infezioni. Questi sono dispositivi salvavita. I pazienti sono estremamente più al sicuro con loro che senza di loro. Ma le crepe stanno mostrando, ha detto. (Fu era Revisione della tecnologia Innovatore dell'anno nel 2009.)
I problemi di malware sui dispositivi ospedalieri vengono raramente segnalati alle autorità di regolamentazione statali o federali, hanno affermato sia Olson che Fu. Ciò è in parte dovuto al fatto che gli ospedali ritengono di avere poche possibilità di ricorso. Nonostante la FDA linee guida emesse nel 2009 per ospedali e produttori —incoraggiandoli a lavorare insieme e sottolineando che l'eliminazione dei rischi per la sicurezza non richiede sempre una revisione normativa—molti produttori interpretano la stampa fine in altri modi e non offrono aggiornamenti, afferma Fu. E tale segnalazione non è richiesta a meno che un paziente non sia danneggiato. Forse è un errore da parte nostra, che non stiamo cercando di aumentare la visibilità della minaccia, ha detto Olson. Ma penso che tutti sentiamo che la minaccia diventa sempre più alta.
Parlando all'incontro, Brian Fitzgerald, un vicedirettore della FDA, ha affermato che visitando gli ospedali in tutta la nazione, ha scoperto che i problemi di Beth Israel sono ampiamente condivisi. Questo è un profilo molto comune, ha detto. La FDA sta ora rivedendo la sua posizione normativa sul software, ha detto Fitzgerald al panel. Questo dovrà essere un processo graduale, perché comporta il cambiamento della cultura, la modifica della tecnologia, l'assunzione di nuovo personale e un approccio sistematico a questo, ha affermato.
In un'intervista lunedì, Tam Woodrum, un dirigente software presso il produttore di dispositivi GE Healthcare, ha affermato che i produttori si trovano in una posizione difficile e i problemi sono amplificati poiché gli ospedali si aspettano sempre più interconnessione. Ha aggiunto che, nonostante le linee guida della FDA del 2009, le normative rendono difficili da realizzare le modifiche al sistema: per tornare indietro e aggiornare il sistema operativo, con il software aggiornato da eseguire sulla versione successiva, è un processo normativo oneroso.
Olson ha affermato che, nella sua esperienza, GE Healthcare offre patch software e indicazioni su come proteggere i dispositivi, ma che non tutti i produttori hanno la stessa posizione. Ha aggiunto che i dispositivi meno protetti sono stati posizionati dietro i firewall. Ma per farlo con tutte le apparecchiature controllate dal software di un ospedale sarebbero necessari più di 200 firewall, una prospettiva irrealizzabile, ha affermato.
John Halamka , CIO di Beth Israel e professore della Harvard Medical School, ha affermato di aver iniziato a chiedere aiuto ai produttori per isolare i loro dispositivi dalle reti dopo che sono sorti problemi nel 2009: il worm Conficker ha causato problemi con una workstation di assistenza ostetrica Philips, una workstation di radiologia GE e nucleare applicazioni mediche che non è stato possibile correggere a causa di restrizioni [normative]. Ha detto: Nessuno è stato ferito, ma abbiamo dovuto spegnere i sistemi, pulirli e quindi isolarli da Internet/rete locale.
Ha aggiunto: Molti CTO non sono consapevoli di come proteggere i propri prodotti con firewall restrittivi. Tutti hanno detto che stanno lavorando per migliorare la sicurezza ma non hanno ancora prodotto i miglioramenti necessari.
Fu afferma che i dispositivi medici devono smettere di utilizzare sistemi operativi non sicuri e non supportati. Più ospedali e produttori devono parlare dell'importanza della sicurezza dei dispositivi medici, ha affermato dopo l'incontro. I dirigenti di alcuni produttori leader stanno iniziando a impegnare risorse ingegneristiche per ottenere la sicurezza corretta, ma ci sono migliaia di dispositivi medici basati su software là fuori.