Медицинское оборудование будет представлять угрозу безопасности еще 15-20 лет

В течение следующих 15-20 лет кибербезопасность медицинского оборудования будет оставлять желать лучшего, считают эксперты. Толковые руководства по обеспечению безопасности устройств, используемых в здравоохранении, уже составлены и выпущены, однако оборудование, которое будет им соответствовать, войдет в обиход еще не скоро. Об этом сообщил старший директор по информационной безопасности сети больниц Ramsay Health Care Кристофер Нил (Christopher Neal) на конференции Gartner Security and Risk Management Summit.

«Все (медицинское оборудование – ред.), что вы покупаете сегодня, вероятнее всего, не было создано с учетом безопасности. Эта проблема будет оставаться актуальной в сфере здравоохранения в течение последующих 15-20 лет», – уверен Нил.

По словам Нила, когда он устроился на работу в Ramsay Health Care, понять, где расположены IT-системы и какие устройства подключены, было сложно, и какой-либо зафиксированный централизованный список активов отсутствовал.

Если архитектура корпоративной сети является плоской, то медицинские сети в каждой больнице разделяются с использованием DMZ. Нил заключил, что, не имея никакой информации об устройствах, он не сможет обеспечить их безопасность, в связи с чем начал создавать карту устройств во всех 74 больницах Ramsay Health Care.

В процессе картирования Нил обнаружил большое количество устройств с заводскими учетными данными и настройками, причем не в корпоративной сети, а в DMZ. Однако переходить на модель «нулевого доверия» (zero trust) Ramsay Health Care еще не готова. Для принятия данной модели безопасности организация должна достичь определенного уровня организационной и IT-зрелости, и здесь Ramsay Health Care еще есть куда расти.

По словам Нила, зрелая организация может перейти на «нулевое доверие» в течение 2-3 лет. Однако попытка форсировать события и освоить эту концепцию в более быстрые сроки может закончиться провалом, предупредил эксперт.

Напомним, недавно некоммерческая организация HITRUST, занимающаяся разработкой стандартов безопасности данных и сертификацией, ввела оценку зрелости средств управления безопасностью, которая позволяет определить их дальнейшую эффективность.

Ramsay Health Care – крупная сеть больниц, основанная в Австралии в 1964 году. В настоящее время Ramsay Health Care может вместить 9,5 тыс. пациентов, а штат больниц насчитывает порядка 30 тыс. сотрудников.

DMZ (Demilitarized Zone – демилитаризованная зона) – сегмент сети, содержащий общедоступные сервисы и отделяющий их от частных. Целью DMZ является добавление дополнительного уровня безопасности в локальной сети, позволяющего минимизировать ущерб в случае атаки на один из общедоступных сервисов.

Нулевое доверие – модель безопасности, разработанная Национальным институтом стандартов и технологий США (NIST). Предполагает отказаться от деления сети на доверенные и общедоступные сегменты и считать весь трафик потенциально опасным и потому подлежащим верификации.