Aplikacje i urządzenia medyczne – niewidoczna powierzchnia ataku

Każdy element systemu zwiększa powierzchnię ataku

Systemy ochrony zdrowia coraz częściej oferują kompleksową obsługę danych medycznych – od ich samodzielnego gromadzenia przez pacjenta, przez prezentację danych na urządzeniu mobilnym lub w przeglądarce, kończąc na możliwości zdalnej oceny danych przez lekarza oraz umożliwieniu teleporady. Każdy z tych opisanych powyżej kroków może stać się punktem wejścia do systemu, a ich wzajemne powiązania znacząco zwiększają powierzchnię ataku. Ryzyko polega na tym, że podatność w jednym komponencie – nawet pozornie mało istotnym – może prowadzić do naruszenia integralności danych medycznych lub funkcjonowania całego systemu.

Typowy błąd w podejściu do bezpieczeństwa

Typowym błędem jest postrzeganie bezpieczeństwa urządzenia medycznego w oderwaniu od aplikacji, która nim zarządza, oraz od infrastruktury przechowującej dane. W praktyce to właśnie aplikacja i mechanizmy komunikacji często stają się najsłabszym ogniwem.

Dla kogo ten obszar ma kluczowe znaczenie?

Znaczenie bezpieczeństwa technologii medycznych i systemów przetwarzających dane zdrowotne jest szczególnie ważne dla organizacji, które działają na styku IT, medycyny i regulacji. W praktyce obejmuje to:

• zespoły IT oraz działy cyberbezpieczeństwa w sektorze ochrony zdrowia, które odpowiadają za ciągłość działania infrastruktury klinicznej, ochronę danych pacjentów i odporność systemów na incydenty;
• producentów urządzeń medycznych (MedTech), dla których bezpieczeństwo oprogramowania i łączności staje się integralną częścią zgodności regulacyjnej i przewagi konkurencyjnej;
• firmy tworzące aplikacje diagnostyczne, terapeutyczne lub wspierające proces leczenia, gdzie każdy błąd czy luka może wpływać na zdrowie pacjentów i wiarygodność produktu;
• zespoły compliance oraz osoby decyzyjne odpowiedzialne za zgodność i bezpieczeństwo systemów przetwarzających dane medyczne, które muszą łączyć wymagania prawne, standardy branżowe i realia technologiczne;
• organizacje integrujące się z rozwiązaniami medycznymi, w tym dostawców oprogramowania, integratorów systemów i partnerów technologicznych, którzy muszą zapewnić bezpieczną wymianę danych i kompatybilność z ekosystemem healthcare.

Urządzenie, aplikacja i dane – jeden ekosystem ryzyka

W środowiskach medycznych urządzenie, aplikacja i backend tworzą wspólny ekosystem. Urządzenie zbiera dane medyczne, korzystając z odpowiednich sensorów, aplikacja je przetwarza lub wizualizuje, a dane często trafiają do centralnego repozytorium. Każde z tych połączeń zwiększa liczbę potencjalnych punktów ataku, zwłaszcza jeśli poszczególne elementy były projektowane i wdrażane niezależnie.

Analiza powierzchni ataku pokazuje, że aplikacja mobilna pełni rolę pośrednika pomiędzy użytkownikiem, urządzeniem i systemami backendowymi. To sprawia, że jej bezpieczeństwo ma bezpośredni wpływ nie tylko na dane, ale również na sposób działania urządzenia.

Odrębnym problemem jest odpowiednia kontrola dostępu do danych znajdujących się w centralnym repozytorium. Zazwyczaj do takich danych dostęp ma wielu aktorów: pacjenci, lekarze, pozostały personel medyczny oraz osoby techniczne utrzymujące dany system. Potencjalne błędy w mechanizmie kontroli dostępu skutkują ujawnieniem danych medycznych nieuprawnionym aktorom.

Nadmierne zaufanie do aplikacji

W testach bezpieczeństwa aplikacji medycznych, które wykonuję regularnie, pojawiają się przypadki, w których aplikacja przechowuje informacje istotne z punktu widzenia bezpieczeństwa systemu. Dotyczy to m.in. danych konfiguracyjnych oraz uwierzytelniających, a także szczegółów dotyczących mechanizmów uwierzytelniania czy sposobu komunikacji z urządzeniem medycznym lub backendem.

Technicznie jest to klasyczny przykład nadmiernego zaufania do komponentów po stronie klienta (client-side trust). Aplikacja mobilna, którą można poddać analizie statycznej lub dynamicznej, staje się źródłem wiedzy o systemie, mimo że nie powinna pełnić takiej roli. W skrajnych przypadkach w aplikacji mogą znajdować się dane uwierzytelniające lub konta serwisowe, które umożliwiają dalszą eskalację dostępu.

Istotne jest to, że opisane problemy rzadko wynikają z jednego błędu implementacyjnego. Częściej są konsekwencją błędnych decyzji architektonicznych: uproszczeń w aplikacji, braku rozdzielenia ról komponentów oraz przyjęcia założenia, że użytkownik końcowy nie będzie analizował działania systemu.

Ochrona wrażliwych danych pacjentów

Dane z sektora ochrony zdrowia należą do najbardziej wrażliwych, a jednocześnie systemy je przetwarzające często muszą działać w sposób ciągły i niezawodny. To sprawia, że kompromis między dostępnością, funkcjonalnością i bezpieczeństwem bywa trudny do osiągnięcia.

W praktyce oznacza to, że każdy element – od aplikacji mobilnej, przez urządzenie, po sposób aktualizacji oprogramowania – powinien być analizowany jako część większej całości, a nie jako odrębny komponent.

Dobre praktyki bezpieczeństwa

Dobre praktyki bezpieczeństwa urządzeń i aplikacji medycznych:

• aplikacja mobilna nie zawiera na stałe zapisanych danych dostępowych (haseł, kont serwisowych, sekretów),
• aplikacja mobilna przetwarza wszelkie dane medyczne w sposób bezpieczny (są one zapisywane w prywatnym kontenerze aplikacji i są dodatkowo szyfrowane),
• dostęp administracyjny i serwisowy do urządzeń oraz systemu backoffice jest ściśle ograniczony i oparty na wieloskładnikowym uwierzytelnieniu,
• proces aktualizacji oprogramowania urządzenia jest kontrolowany i egzekwowany, a nie pozostawiony użytkownikowi,
• architektura urządzenia i aplikacji została zaprojektowana z założeniem, że urządzenie znajduje się w rękach użytkownika, a nie w zaufanym środowisku,
• przyjęte rozwiązania są zgodne z dobrymi praktykami bezpieczeństwa dla technologii użytych w danym systemie.

Przypadki podatności w urządzeniach i aplikacjach medycznych pokazują, że bezpieczeństwo w ochronie zdrowia nie kończy się na certyfikacji urządzenia ani na poprawnym działaniu aplikacji. Kluczowe znaczenie ma zrozumienie całej powierzchni ataku oraz tego, w jaki sposób poszczególne elementy systemu wpływają na siebie nawzajem. Tylko takie podejście pozwala ograniczyć ryzyko nieautoryzowanego dostępu do danych i funkcji systemów medycznych.

Partner technologiczny system LEX Cyberbezpieczeństwo: