'Als een hacker de controle over alle medische apparaten op het netwerk in een ziekenhuis overneemt en ermee dreigt om elk uur een patiënt te doden als aan zijn eisen niet wordt voldaan, moet het cybercrime-team de bron trachten te vinden en proberen te ontdekken hoe deze toegang heeft tot een heel beveiligd systeem.' Dit is de plot van een episode van de serie CSI: Cyber die eind 2015 werd uitgezonden.
De aflevering bleek vooruitziend te zijn. Ze voorspelde immers twee trends in cybercrime die in de afgelopen achttien maanden de kop opstaken. Ziekenhuizen als doelwit is een eerste trend: in 2016 werden minstens veertien ziekenhuizen aangevallen met ransomware. Een ziekenhuis in Los Angeles heeft naar verluidt zeventienduizend dollar betaald om hun medische dossiers vrij te krijgen: historiek van behandelingen, resultaten van röntgenfoto’s, ct-scans en andere medische tests. Eerder dit jaar trof de WannaCry ransomware aanval de Britse National Health Service, waardoor operaties werden geannuleerd en ziekenhuisafdelingen moesten sluiten. Dit is geen toeval, want it in ziekenhuizen is een van de meest mission critical ter wereld, waardoor ze een belangrijk doelwit zijn voor hackers (om er veel geld uit te slaan).
De tweede trend is dat de hacker uit de aflevering de kwetsbaarheden van slimme apparaten in het ziekenhuis gebruikte om de aanval te activeren. In de serie ontdekt het CSI: Cyber-team dat de hacker toegang had tot het netwerk van het ziekenhuis… via een smart tv, waardoor hij de aangesloten medische apparatuur op het netwerk vanop afstand kon controleren. Onderzoekers van Check Point ontdekten kort na de oorspronkelijke uitzending van de aflevering een quasi identieke kwetsbaarheid.
Innovatie die levens redt, maar beperkte veiligheid
De risico’s van dergelijke aanvallen kun je niet ontkennen. De zorgsector heeft het internet of things (IoT) enthousiast omarmd. Men schat dat de IoT-industrie in de gezondheidszorg wereldwijd ruim honderd miljard dollar waard is tegen 2020.
Enerzijds is dit logisch. Slimme apparaten hebben een enorm potentieel om levens te redden: ze verzamelen en analyseren gezondheidsgegevens die vroeger niet beschikbaar waren. Ze stellen zorgverleners ook in staat om snel en vanop afstand persoonlijk advies en een behandeling te geven. De combinatie van big data en machine learning in IoT zal meer innovaties in de gezondheidszorg opleveren dan ooit tevoren.
Anderzijds heeft deze snelle toename van connected technologie zorgwekkende implicaties voor de integriteit van gevoelige patiëntgegevens en de vlotte werking van ziekenhuizen. IoT-apparaten in deze sector moeten de data die ze verzamelen, doorgeven en opslaan kunnen beschermen tegen kwaadaardige onderschepping. Dat betekent dat ze kwetsbaar zijn als ze niet zijn ontworpen en gebouwd zijn met robuuste, ‘ingebakken’ beveiliging.
Helaas gebeurt dit vaak omdat medische toestellen die door de Food & Drug Administrations zijn goedgekeurd, opnieuw zouden moeten worden gecertificeerd voor gebruik na elke update. Maar dat levert aanzienlijk extra kosten en bijgevolg een uitstel/vertraging van de updatecyclus op, zelfs wanneer er kwetsbaarheden aanwezig zijn. Daarom blijven veel apparaten kwetsbaar, lang nadat de relevante beveiligingspatches beschikbaar zijn en in andere sectoren wel geïmplementeerd werden.
Risico’s inschatten
Dus hoe kwetsbaar zijn deze IoT-apparaten in de gezondheidszorg? Om dit te beoordelen is het belangrijk om onderscheid te maken tussen de verschillende soorten toestellen en hun beoogde toepassingen.
Er zijn draagbare medische hulpmiddelen met zowel externe apparatuur (insulinepompen) als geïmplanteerde apparaten zoals pacemakers. Het is gemakkelijk om te zien hoe een dodelijke ingreep vanop afstand kan worden uitgevoerd door de controle van het toestel over te nemen. Dit kan direct en opzettelijk worden uitgevoerd of gewoon als dreiging worden geuit bij een poging tot afpersing.
Dan zijn er stationaire toestellen in ziekenhuizen, zoals intelligente medicatieverdelers of apparatuur voor chemotherapie. Nogmaals, de mogelijkheden voor cybercriminelen om via manipulatie van het toestel in de patiëntenzorg in te grijpen – tot op potentieel levensbedreigende niveaus – zijn zorgwekkend. Via dezelfde weg die de arts gebruikt om de werking van het toestel aan te passen, kan de hacker – eenmaal hij toegang heeft – het toestel ook kwaadwillig gebruiken. Zoals we eerder al aangaven is het mogelijk om het door medische apparaten gebruikte netwerk te infiltreren door een ander apparaat te infecteren, zoals een smart tv of tablet … tenzij deze netwerken volledig van elkaar zijn gescheiden.
Diagnose en remedie
Dit geeft misschien een grimmig beeld. Maar er zijn veel manieren waarop ontwerpers en fabrikanten van IoT-apparaten voor de gezondheidszorg, evenals de organisaties en personen die ze inzetten, deze risico’s kunnen beperken.
Ten eerste, ‘privacy by design‘, wat ook nodig is voor elke organisatie die onder de komende GDPR-wetgeving valt, moet geïntegreerd zijn bij het ontwerpen van alle IoT-apparaten voor gezondheidszorg. Op dezelfde manier moet een veilige softwareontwikkeling levenscyclus (secure software development lifecycles/-sdlc), die threat modeling bevat, door alle fabrikanten worden aangenomen.
Ten tweede, als gezondheidsorganisaties beginnen met een IoT-ecosysteem op te bouwen, moeten ze ervoor zorgen dat zij ook over een passend mobile & endpoint beveiligingssysteem beschikken. Een geïntegreerde aanpak, die ervoor zorgt dat alle apparaten beveiligd zijn met een single security-architectuur, is de beste strategie. Een dergelijke oplossing moet aspecten omvatten zoals het opsporen van apparaten, netwerksegmentatie en bescherming bieden tegen de mogelijke multiple advanced attack vectors. Al deze aspecten moeten centraal georkestreerd worden op één platform dat coherent beleid biedt over de verschillende netwerksegmenten.
Het internet of things kan een levensreddende shift betekenen in hoe de sector omgaat met patiëntenzorg, maar het kan ook een uitnodiging zijn voor kwaadaardige cybercriminelen die het ziekenhuis willen afpersen, data willen stelen en effectief schade willen veroorzaken. Designers, fabrikanten, personeel en patiënten moeten samenwerken om dit nieuwe landschap gezond te houden.
