Par Jessica Davis
– UNEn une analyse de plus de 5 millions IoT, IoMT, et non géré appareils ont trouvé une multitude de risques de sécurité, y compris ceux dans le secteur de la santé, des applications Facebook et YouTube fonctionnant sur des machines IRM et CT, à une mine de médical dispositifs fonctionnant sur héritage plates-formes ou systèmes rappelés par la Food and Drug Administration.
La recherche devrait servir de drapeau rouge aux organisations de santé, étant donné récent alertes à plusieurs critiques système vulnérabilités et rapports de défauts graves trouvé dans un éventail d’organisations de soins de santé chargées du COVID-19 réponse.
«Il n’y a pas d’exemple plus dramatique de l’importance de l’Internet des objets qu’au milieu de la pandémie COVID-19», ont écrit les chercheurs d’Ordr.
«Au sein des organisations de soins de santé, une vague de dispositifs médicaux compatibles IP tels que les ventilateurs, les pompes à perfusion et les appareils d’électrocardiogramme joue un rôle essentiel dans les soins aux patients: sauver des vies, collecter des données de diagnostic médical, faciliter les fonctions médicales», ont-ils ajouté.
Ordr les chercheurs ont analysé les données anonymisées de ses déploiements clients de IoT, IoMT, et non géré appareils dans une gamme de secteurs, y compris la santé, les sciences de la vie, la fabricationet vente au détail, entre juin 2019 et juin 2020.
LIRE LA SUITE: Impact des vulnérabilités Ripple20 sur l’IoT de la santé, les appareils connectés
Les chercheurs ont découvert une foule de tendances inquiétantes dans le secteur de la santé, y compris des appareils tels que les contrôleurs CVC et les commandes d’ascenseur permettant l’écosystème des soins aux patients.em.
Notamment, certaines machines IRM et CT ont été découvertes exécutant des plateformes de médias sociaux. Et unDe plus, 15 à 19% des dispositifs médicaux fonctionnent sur des plates-formes Microsoft Windows non prises en charge comme Windows 7 ou des versions antérieures.
Permettre aux utilisateurs de surfer sur Internet via ces appareils présente un risque sérieux pour le entreprise. Ces appareils sont vulnérables aux cyberattaques, en particulier aux ransomwares, les pirates informatiques ciblant activement les plates-formes héritées et les vulnérabilités connues pour prendre pied sur le réseau.
En outre, 86% des déploiements de soins de santé ont plus de 10 rappels FDA sur leurs appareils IoT médicaux. La FDA utilise le terme rappel lorsqu’un fabricant a pris des mesures correctives pour résoudre un problème de dispositif médical qui enfreint les réglementations de la FDA, ou est mal étiqueté ou falsifié.
En bref, un appareil rappelé par la FDA est défectueux et pourrait présenter un risque pour la sécurité des patients, pour l’entreprise ou les deux. Par exemple, Abbott rappelé 465 000 les stimulateurs cardiaques une fois qu’il a été découvert, ils pourraient être piratés.
LIRE LA SUITE: Dispositifs médicaux les plus à risque: PACS, passerelle HL7, systèmes de radiothérapie
Ordr les chercheurs ont souligné que ces appareils doivent être mis hors service ou segmentés de manière appropriée du réseau de l’entreprise, s’ils ne peuvent pas être corrigés, « pour s’assurer qu’ils ne sont pas exposés aux risques d’attaquants exploitant les vulnérabilités de Windows.«
Il a été constaté que 95% des déploiements de soins de santé avaient des appareils Alexa et Echo personnels connectés au réseau, ainsi que d’autres équipements de surveillance hospitalière.
«Cela viole les exigences de confidentialité avec les risques que les attaquants écoutent et enregistrent des conversations», ont écrit les chercheurs. «En raison des vulnérabilités qui permettent à ces appareils d’écouter et d’enregistrer des conversations, ces haut-parleurs intelligents ne sont pas autorisés dans un environnement de soins de santé.»
Les chercheurs ont également identifié 75% des déploiements avec des violations de VLAN, y compris un déploiement avec plusieurs lecteurs de cartes USB connectés à des postes de travail sur le même VLAN ou sous-réseau qu’une tablette, un copieur, une imprimante ou un périphérique de sécurité physique.
Plus spécifique aux soins de santé, le rapport a révélé des déploiements de dispositifs médicaux connectés au même VLAN que d’autres appareils IoT non médicaux. Ces périphériques critiques doivent être déplacés vers des VLAN spécialisés pour réduire le risque de compromission.
LIRE LA SUITE: La clé de l’amélioration de la sécurité des dispositifs médicaux est la collaboration et la visibilité
Ordr a également identifié des liens uniques, mais très risqués, en milieu hospitalier. Dans un cas, une Tesla a été connectée à un réseau hospitalier, où un médecin s’est connecté au réseau depuis ses soins dans le parking.
Une autre situation vulnérable comprenait une équipe des installations reliant les ascenseurs de l’hôpital au réseau. Une autre organisation de soins de santé a trouvé un appareil Peloton sur le réseau utilisé pour la thérapie physique, mais «avait probable enfreint les réglementations HIPAA en raison des données des patients enregistrées sur ces appareils.«Les pelotons sont des vélos d’entraînement quim à la demande et en direct workouts.
Pendant ce temps, 0 à 15% des appareils sont inconnus ou non autorisés. Les chercheurs ont également découvert des appareils utilisés par des pirates pour l’extraction de bitcoins ou montrant des signes inhabituels modèles de communication vers les pays hostiles, notamment la Russie, l’Iran et la Corée du Nord.
Ordr a également détecté une prolifération « des pare-feu non documentés, auparavant inconnus, établissant des connexions VPN sortantes vraisemblablement pour le support à distance de divers systèmes médicaux.«
«J’ai constaté que plus de 51% des équipes informatiques ne savent pas quels types d’appareils touchent leur réseau», a déclaré Zeus Kerravala, ZK Research, dans un communiqué. « Ppeut-être ce qui est plus déconcertant, c’est que les 49% restants se retrouvent souvent à deviner ou à utiliser un ‘Frankenstein’d«solution pour fournir une visibilité sur la sécurité de leur réseau, ce qui créera presque toujours des problèmes de sécurité.»
« Pour vraiment réaliser le potentiel de l’IoT, la sécurité est primordiale, » Ordr Le PDG Greg Murphy, a déclaré dans un communiqué. «À mesure que de plus en plus d’appareils IoT sont déployés, les décideurs en matière de sécurité et de risque doivent non seulement obtenir une visibilité sur ce qui se connecte à leur réseau, mais également comprendre comment il se comporte.»
Tandis que conscience autour de la sécurité des dispositifs médicaux s’est considérablement améliorée dans le secteur de la santé, un manque de ressources, collaboration, et une compréhension de la façon dont les appareils communiquent et se connectent les uns aux autres ont gêné efforts pour étayer ces risques critiques.
Les établissements de santé devraient examiner les informations la FDA, Coordination du secteur de la santé et de la santé publique Conseil, unend Imagerie médicale et technologie Alliance pour obtenir des informations sur les processus de gestion des risques nécessaires pour résoudre les problèmes liés aux appareils.
