خطاب التصديق الذي يؤكد اجتياز الجهاز الطبي لاختبار الاختراق لا يعني أن الجهاز آمن. أصبح لدى القادة في مجال أمن نظام الرعاية الصحية الآن خريطة طريق مكتوبة من قبل الشركة المصنعة لدفع البائعين إلى هذه الفجوة بالضبط. جديد التوجيه الإجماعي التابع اتحاد ابتكار الأجهزة الطبية يرشد الشركات المصنعة للأجهزة في إجراء اختبارات الاختراق وتنفيذها والإبلاغ عنها. إن تلك التفاصيل التي تركز على الشركة المصنعة هي في الأساس الأسئلة التي يجب على CISO طرحها قبل أن يصل الجهاز المتصل إلى الشبكة.
قامت مجموعة عمل من قادة السلامة من Medtronic وPhilips وAbbott وBoston Scientific وJohnson & Johnson MedTech بكتابة التقرير. وشارك موظفو إدارة الغذاء والدواء كأعضاء. ومع ذلك، ليس لهذه التوجيهات قوة تنظيمية، وقد أوضح المؤلفون أنها لا تمثل سياسة إدارة الغذاء والدواء أو متطلبًا قابلاً للتنفيذ قانونيًا.
بالنسبة لجمهور الموردين، تكمن القيمة في ما تكشفه الوثيقة عن الضمانات التي يقدمها الموردون. يحاكي اختبار الاختراق الهجمات الواقعية على الجهاز لتحديد ما إذا كانت ضوابط الأمان صامدة أم لا. يتوخى التقرير الحذر بشأن نقطة واحدة غالبًا ما يتجاهلها المشترون. الاختبار يخلق الثقة. ولا يثبت أنه لا يمكن اختراق الجهاز. لا يمكن للمختبر أن يثبت أنه لن ينجح أي مهاجم على الإطلاق. وبالتالي، فإن النتيجة الواضحة تؤكد فقط المرونة في مواجهة الأساليب التي تمت تجربتها خلال مهمة محددة زمنيًا. القادة الأمنيون الذين ينظرون إلى التقرير العابر كضمانة، يبالغون في قراءته.
ما يمكن للمشترين أن يطلبوه بالفعل
العنصر الأكثر فائدة لأنظمة الرعاية الصحية هو خطاب التصديق. وبموجب المبادئ التوجيهية، يمكن للعملاء الحاليين والمحتملين أن يطلبوا من الشركة المصنعة توفير واحدة، مما يؤكد إجراء اختبار اختراق مستقل. لا تتطلب هذه الرسائل عمومًا اتفاقية عدم الإفصاح. وهي تشمل معلومات عالية المستوى مثل النطاق وتواريخ الاختبار وتفاصيل النظام والمنهجية ومستوى المخاطر الإجمالي ومن أجرى الاختبار. لمزيد من التفاصيل، يمكن للعملاء طلب النتائج الأساسية، والتي تتطلب عادة اتفاقية عدم الإفصاح. في هذه الحالة، يمكن للشركة المصنعة مشاركة ملخص الخطورة التي تم العثور عليها، ومنهجية التسجيل، وخطة التخفيف مع تاريخ الانتهاء المستهدف.
الاستقلال هو نقطة أخرى تستحق الاستكشاف. يسلط التقرير الضوء على مفهوم خاطئ شائع مفاده أن شركة خارجية فقط هي التي يمكنها توفير اختبارات مستقلة كافية. المعيار الدولي إيك 81001-5-1 بدلا من ذلك يدعو إلى إدارة أو منظمة مستقلة. وبالتالي فإن الشركة المصنعة التي تستخدم فريقًا داخليًا منفصلاً بشكل جيد يمكنها تلبية هذا المعيار. بالنسبة للمشتري، السؤال المفيد هو ما إذا كان القائمون على الاختبار قد تم فصلهم بشكل مفيد عن الأشخاص الذين صنعوا الجهاز.
كيفية قراءة المطالبات الأمنية للبائع
تضمن الفروق العديدة في التقرير عدم طمأنة قادة السلامة بالأدلة الخاطئة. على سبيل المثال، فحص الثغرات الأمنية ليس اختبار اختراق. تحدد عمليات المسح نقاط الضعف المعروفة. ومع ذلك، فهي لا توضح ما إذا كان المهاجم يمكنه بالفعل إساءة معاملتهم وما هو التأثير الذي سيحدثه ذلك. لم يثبت البائع الذي يوجه الفحص النظيف أن جهازه يمكنه تحمل الهجمات الحقيقية. وبالمثل، فإن برنامج مكافأة الأخطاء ليس بديلاً عن الاختبار المنظم. لا يمكن للمصنعين التحقق من مؤهلات الاختبار أو ضمان التغطية الكاملة لسطح الهجوم.
النتائج منخفضة الخطورة تستحق أيضًا مزيدًا من الدراسة. في الواقع، يحذر التقرير من أن النتائج التي تم تصنيفها على أنها معلوماتية أو منخفضة يمكن أن توفر للمهاجم الاستكشاف اللازم لبناء استغلال خطير. إن إطلاق معلومات تبدو بريئة في حد ذاتها يمكن أن يكون الحلقة الأولى في سلسلة تنتهي بتسوية ذات أثر كبير. عندما يشير المورد إلى تقرير يحتوي على نتائج منخفضة فقط، فإن السؤال الأكثر أهمية هو ما إذا كان يمكن ربط هذه النتائج معًا.
وتتحدث الوثيقة أيضًا بشكل مباشر عن بيئة المستشفى. وعلى وجه الخصوص، فهو يحدد انتشار برامج الفدية عبر شبكات المستشفيات والاتصالات بأنظمة السجلات الصحية الإلكترونية عبر واجهات برمجة التطبيقات. تعتبر البنية التحتية السحابية المشتركة أيضًا جزءًا من سطح الهجوم. تم الاستشهاد بتفشي فيروس WannaCry كمثال. تنتشر هذه البرامج الضارة غير المستهدفة عبر الأجهزة غير المصححة، ولم يكن أي منها يستهدف الرعاية الصحية على وجه التحديد. وفي الوقت نفسه، تظل العديد من معدات المستشفيات قيد الاستخدام لمدة عشر سنوات أو أكثر. إذن هذه هي الظروف التي سيواجهها الجهاز في العالم الحقيقي، ومن الجيد معالجة ذلك أثناء عملية الشراء.
يعد اختبار الاختراق جزءًا من عملية تطوير أوسع وأكثر أمانًا تمتلكها الشركات المصنعة. ويصنفه التقرير كأحد أنشطة التحقق والتحقق العديدة. بالنسبة لأنظمة الرعاية الصحية التي تشتري النتائج، تتمثل الرسالة العملية في فهم ما يشهد عليه ضمان السلامة فعليًا، وطلب التصديق، وسد الفجوة بين الاختبار الناجح والجهاز الآمن.
