يعد التعاون متعدد الوظائف أمرًا أساسيًا لتأمين الأجهزة المتطورة

حصلت شركة Cooper University Health Care على رؤية 25 بالمائة فقط من أكثر من 10000 جهاز إنترنت أشياء وأجهزة طبية متصلة بشبكتها عندما أطلقت مبادرة مدتها 18 شهرًا لسد الفجوة. وقال فيل كوران، رئيس أمن المعلومات، إن الأجهزة غير المُدارة تشكل خطرًا كبيرًا على الأمن السيبراني وسلامة المرضى.

وكانت نقاط النهاية التقليدية محمية بشكل جيد، ولكن الآلاف من مضخات التسريب، وأجهزة مراقبة المرضى، وأنظمة التشخيص كانت تعمل ببرامج قديمة، وضوابط وصول ضعيفة، ولا توجد بيانات ملكية مركزية. وحققت المبادرة في نهاية المطاف رؤية كاملة للأجهزة وأنتجت نموذجًا أمنيًا مستدامًا يعتمد على التعاون بين تكنولوجيا المعلومات وأمن المعلومات والهندسة السريرية.

بدأت الجهود بمرحلة اكتشاف تستخدم أدوات مراقبة الشبكة السلبية لفهرسة كل جهاز على الشبكة. حددت الأدوات أنواع الأجهزة وأنظمة التشغيل ومستويات التصحيح ونقاط الضعف دون تعطيل العمليات السريرية. وبنفس القدر من الأهمية، تم تعيين كل جهاز في مرحلة الاكتشاف لمالك داخلي، سواء كان ذلك قسم الهندسة الطبية الحيوية، أو قسم تكنولوجيا المعلومات، أو مجموعة أخرى. قبل المبادرة، لم يكن أحد في كوبر يستطيع أن يحدد على وجه اليقين من المسؤول عن قطعة معينة من المعدات، وكان هذا الغموض سبباً في جعل المعالجة المنسقة مستحيلة تقريباً.

وشدد كوران على أن التعاون بين الإدارات كان العامل الأكثر أهمية في نجاح المشروع. شكلت المنظمة فريقًا متخصصًا ومتعدد الوظائف يتكون من تكنولوجيا المعلومات وأمن المعلومات والهندسة السريرية وأصحاب المصلحة السريريين في الخطوط الأمامية. كان فريق التكنولوجيا الطبية الحيوية بحاجة إلى اهتمام خاص لأن المجموعة كانت قد انفصلت سابقًا عن قسم تكنولوجيا المعلومات وكانت العلاقة تنطوي على بعض الاحتكاك المؤسسي. وقد عمل فريق الأمن السيبراني على إعادة بناء تلك الشراكة من خلال إظهار أن الهدف كان دعم مهمة Biomed، وليس تحمل مسؤولياتها.

ذهب أبطال الأطباء إلى الأقسام السريرية لتوضيح أن المبادرة موجودة لحماية المرضى، وساعدت الاستطلاعات والمقابلات مع القادة السريريين فريق الأمن على فهم سير العمل الذي يحتاج إلى الحفاظ عليه. لعب التعليم دورًا مستمرًا طوال المشروع؛ وقال كوران إن الفريق استثمر الكثير من الوقت للتأكد من أن كل أصحاب المصلحة يفهمون أن الأمر يتعلق بسلامة المرضى، وليس بتوسيع سلطة أمن المعلومات. كان المبدأ الأساسي هو عدم تعطيل رعاية المرضى. كان فحص مركز التصوير بالرنين المغناطيسي هو المثال الذي استخدمه كوران، موضحًا أن الأمن السيبراني لا ينبغي أبدًا أن يكون السبب في تعطل الجهاز أثناء وجود المريض على الطاولة.

تقسيم الشبكة وتقوية الأجهزة

لعب فريق الشبكات دورًا مركزيًا من خلال نشر شبكات VLAN في كل موقع فعلي لعزل الأجهزة عالية الخطورة عن قطاعات الشبكة الفردية. ونسب كوران الفضل إلى مجموعة البنية التحتية بشكل مباشر، مشيرًا إلى أن المشروع لم يكن لينجح بدون العمل العملي المتمثل في تكوين التجزئة حسب الموقع. بالنسبة للأجهزة التي لا يمكن تأمينها بالكامل، كان نقلها إلى جزء معزول بمثابة عنصر التحكم الأساسي في التعويض.

أدت إحدى الحوادث إلى تفاقم الحاجة الملحة عندما تمكن جهاز مختبر مصاب من الوصول إلى الشبكة الأوسع لأنه لم يتم وضعه بعد على شبكة VLAN الخاصة به. قام الفريق أيضًا بتطوير خطوط أساس أمنية لكل فئة من الأجهزة وطبقها خلال مرحلة التعزيز التي أدت إلى إزالة الوصول غير الضروري إلى الإنترنت، وتعطيل الخدمات غير الضرورية، وتنفيذ مصادقة متعددة العوامل للأنظمة المهمة. أصبح المسح بحثًا عن نقاط الضعف في المعدات الطبية، وهي الممارسة التي قال كوران إنها لم تكن واردة قبل عامين، أمرًا روتينيًا. احتفلت شركة Cooper أيضًا بإنجاز مهم في يونيو 2025 عندما ألغت نظام التشغيل Windows XP الأخير الخاص بها.

تضمين الأمن في الشراء

قامت شركة Cooper بدمج المتطلبات الأمنية في عملية الشراء الخاصة بها من خلال العمل مع الإدارة القانونية لإضافة لغة التصحيح والمسح الضوئي وتقييم الأمان إلى عقود البائعين. وقال كوران: “إذا لم يكن هذا موجودًا في العقد، فإن البائع، بصراحة تامة، لن ينتبه إليه”.

بدأت المنظمة في طلب فواتير المواد البرمجية (SBOMs) ونماذج MDS2 من الموردين أثناء المراجعات الفنية، على الرغم من أن ما يقرب من نصف الموردين قاوموا في البداية تقديم وثائق MDS2. وقال كوران إن المشاركة التعاونية للموردين أسفرت عن نتائج أفضل من المواجهة، وشجع أنظمة الرعاية الصحية الأخرى على تضمين هذه المتطلبات في وقت مبكر من دورة الشراء. يتم الآن دمج تقييمات المخاطر بشكل مباشر في قرارات التنفيذ. ستتم متابعة عملية التثبيت للأجهزة التي تقل درجتها عن الحد المحدد، بينما تتطلب الأجهزة عالية الخطورة موافقة تنفيذية قبل بدء تشغيلها.

تقوم شركة Cooper الآن بتصميم بنية الثقة المعدومة لبيئة إنترنت الأشياء والأجهزة الطبية، وتخطط لزيادة وتيرة تقييمات المخاطر الخاصة بها، وتخطط لأتمتة عملية إعداد الأجهزة وإيقاف تشغيلها بحيث يتم تنبيه أمن المعلومات تلقائيًا عند دخول الأجهزة إلى الشبكة أو مغادرتها.

خذها بعيدا

• يمكن لأدوات المراقبة السلبية تحديد الأجهزة والمالكين ونقاط الضعف دون تعطيل العمليات السريرية.
• يعد تجزئة الشبكة عبر شبكات VLAN أهم عنصر تحكم تعويضي للأجهزة التي لا يمكن تأمينها بالكامل.
• يجب أن يبدأ التعاون متعدد الوظائف بين تكنولوجيا المعلومات والأمن السيبراني والهندسة السريرية مبكرًا ويستمر طوال دورة حياة المشروع.
• إن تضمين لغة الأمان في عقود البائعين يخلق قوة تفاوضية لا توجد مع الطلبات غير الرسمية.
• يجب أن يشارك أمن المعلومات في دورة حياة الجهاز بأكملها، بما في ذلك إيقاف التشغيل، لحماية المعلومات الصحية للمريض.

وقال كوران إن المبادرة أعادت تشكيل الطريقة التي ينظر بها طاقم كوبر السريري إلى فريق الحماية. وقال: “نريد أن نكون معروفين كأشخاص سيعملون معك حتى تتمكن من الاستمرار في علاج المرضى”.