Amerikanska sjukhus bevittnade en anstormning av säkerhetsintrång under 2021, med mer än 40 miljoner patientjournaler äventyrade i incidenter som rapporterats till den federala regeringen. Vissa attacker hotade till och med sjukvården, slog kommunikationssystem offline i veckor eller orsakade avbrott i strålbehandling.

Kevin Fu, docent vid University of Michigan och tillförordnad direktör, Medical Device Cybersecurity vid US FDA Center for Devices and Radiological Health, träffade oss och diskuterade den alarmerande trenden och vilka åtgärder som är möjliga för att komma till rätta med den.

Berätta för oss om omfattningen av det här problemet

2021 var ett ganska betydande år för ransomware-attacker på sjukvård. Det är väldigt störande, och det skär till hjärtat av svaga punkter i säkerheten – det mänskliga elementet smyger sig in.

I april på FDA såg vi det första fallet där ransomware gick längre än att störa elektroniska hälsojournaler, vilket hittills var ett ganska vanligt och obekvämt problem. Denna attack påverkade säkerheten och effekten av strålbehandling för cancerstrålningonkologi.

Denna attack riktade sig mot en tillverkare, invaderade ett privat moln som de använde för dosimetri av strålningsonkologi med ransomware och orsakade ett betydande avbrott för sjukhus som använder deras teknik. Det intressanta är att det inte var själva ransomwaren, utan åtgärdsprocessen, som orsakade avbrottet. Tillverkaren följde deras spelbok för IT-säkerhet genom att ta deras moln offline när det var infekterat.

Tyvärr innebar det att molnet inte var tillgängligt för en viss produktlinje inom strålningsonkologi, och därför kunde sjukhus som använde produkten inte leverera strålbehandlingen.

När vi tänker på ransomware för sjukhus, tenderar vi att tänka på själva byggnaden och enheterna som är begränsade till dessa väggar, men det låter faktiskt som att riskerna för fel sträcker sig långt ut i försörjningskedjan

Ja, och jag tror att en verklig utmaning är en förändring i tänkandet. Det finns IT-system – e-post, klassrumsföreläsningar, sådant här – och de har sina egna risker. Men å andra sidan har du operativ teknologi, det vi kallar OT, inklusive saker som medicinsk utrustning, autonoma fordon eller satellittillgångar i rymden. De har en annan uppsättning krav och tenderar att fokusera på säkerhet först.

Så även om du kanske tolererar att ta ner e-postsystemet för ett företag på grund av en säkerhetsincident, så är det inte riktigt något på bordet för ett kinetiskt system där människors liv beror på det.

Varför nu? Finns det någon speciell anledning till att detta är ett växande problem?

Jag skulle föreslå flera faktorer. Dessa problem har varit inbakade i datoranvändning sedan början, och den här typen av attacker kunde mycket väl ha utförts på 1960-talet.

Men jag tror att anledningen till att det händer 2022 är att vi har nått en brytpunkt där graden av uppkoppling mellan enheter och tjänster inom alla sektorer har exploderat. Vi är nu beroende av distribuerad datoranvändning. För fem eller tio år sedan kunde vi ha använt molnberäkning för bekvämlighets skull, eller kanske för säkerhetskopiering eller sekundär lagring. Men nu går det in på den kritiska vägen, det är en del av de väsentliga komponenterna i en medicinteknisk produkt. Och om den går ner förlorar den medicinska produkten sin terapeutiska kärnfunktion.

Det är en tuff era. Det finns inget i sig självt fel med cloud computing, men du måste kontrollera riskerna enligt din hotmodell. Och min observation är att hotmodellen för en medicinsk apparat skiljer sig mycket från företags-e-post.

Finns det några primära svagheter som är lågt hängande frukter att ta itu med?

Den lågt hängande frukten när det gäller enkel reparation skulle vara vad som har blivit känt som hotmodellering. Detta är något vi faktiskt lär ut i datasäkerhetskurser. Det innebär att spela rollen som motståndaren, att försöka tänka på hur systemet skulle kunna motstå inte bara dagens hot utan framtida hot.

Detta är något som jag tror kan vara till stor hjälp eftersom, även med en äldre enhet, kan tillverkare bättre förstå vad som är i fara. De börjar med att erkänna att enheten är mottaglig för modern skadlig programvara eftersom den designades för 20 år sedan.

Riktar attacker mot patientjournaler oftare isolerade sjukhus, eller riktar de sig mot delade servrar?

Jag är ännu inte medveten om att en molnleverantör har riktats mot specifikt eftersom den betjänar en mängd tillverkare av medicintekniska produkter. Jag skulle inte bli förvånad om detta händer av misstag någon gång.

Vi hoppas verkligen att molntjänsteleverantörerna som betjänar sjukvårdsindustrin uppmärksammar en del av standardutvecklingen för att säkerställa att sjukhusens enheter förblir säkra och effektiva, även om de använder molnet.

Detta är möjligt att uppnå ur ett ingenjörsperspektiv men kräver medvetna, medvetna steg om du vill ha rimlig säkerhet. Du vill inte ha säkerhet genom tur, du vill ha säkerhet genom design.

Vad är budskapet till intressenter och allmänheten?

Det här är inte ett lopp för kullarna, det är mer en långsam uppkok.

Allmänheten kan ha en viss grad av tillfredsställelse att de olika tillsynsmyndigheterna i olika länder faktiskt arbetar tillsammans i förväg om dessa frågor. De arbetar med att hjälpa till att hålla sjukhusen informerade om säkerhetsriskerna med varje enhet, så att de kan distribuera dem på ett säkert sätt.

Det händer många saker i bakgrunden, både tekniskt och policymässigt, som kommer att förbättra enheter.

FDA arbetar strategiskt med utveckling av standarder för att utforma många säkerhetsrisker, men en utmaning är att det finns en hel del äldre mjukvara ute på marknaden – mycket av det årtionden gammal. Att försöka hålla dessa enheter säkra är otroligt utmanande när hästen väl är ute ur grinden.

För det ändamålet finns det också många tillfälliga åtgärder på gång för att ta itu med de föråldrade, äldre enheterna. Det är utmanande, men inte omöjligt, att hålla dessa enheter säkra och effektiva tills en mer idealisk enhet, med säkerhet inbyggd från början, blir tillgänglig.