醫療體系強化弱點管理導正錯誤迷思

2018 / 11 / 01

編輯部

醫療聯網時代來臨，醫療院所與醫材廠商應正視網路安全議題，將安全納入品質的一環。

物聯網的各項應用成為今年2018 CES展的主要焦點，的確不管是在企業辦公環境、製造業工廠、零售業賣場、醫療院所、關鍵基礎建設等，部署物聯網技術已越來越普遍。然而萬物連網之後若遭到網路威脅攻擊，所造成的影響層面也更大，尤其在醫療照護體系，連網的醫療設備若遭受攻擊，直接影響的是病患人身安全。美國食品藥品監督管理局(FDA)已開始對連網醫材的網路安全制定規範，欲接軌國際市場的醫療器材業者需跟上腳步，莫輕忽網路威脅的風險。

2017年醫材大廠接連出包
去年5月勒索軟體Wannacry感染英國48家醫院電腦，影響部分醫院營運，手術因而暫緩，患者被迫轉院。而美國醫院更傳出不僅行政電腦受到感染，包括用在磁振造影(MRI)前的顯影劑對比增強診斷影像儀器也受到Wannacry襲擊，廠商拜耳事後緊急為這些Windows作業系統的設備釋出修補程式。西門子則較為幸運，尚未傳出受害案例先被通知漏洞，該公司的正子電腦斷層掃描設備(SPECT, SPECT/CT與PET/CT)與醫療影像工作流程系統(SPECT Workplaces/Symbia.net) 被美國ICS-CERT通報存在四個漏洞，攻擊者可遠端執行程式碼並存取系統資料，由於漏洞攻擊程式已可被公開取得，西門子將該漏洞列為重大，並建議醫院在未更新修補程式前系統不要連結上網路。

與民眾生命安全最直接相關的，是去年8月底亞培所售出的心律調節器被發現存有漏洞，駭客一旦連結上可調控心律調節器的嵌入式電腦，就可竄改心律調節器的設定，使患者生命受到威脅。正常情況下，此台電腦是由醫師為病患的心律調節器進行設定，然而為了便宜行事，系統並未作身份認證，加上此類心律調節器設定儀器可從網路上購得，這

些存有許多Linux漏洞的儀器落入駭客手中後，駭客只要修改程式便可輕易取得權限。FDA收到通報後直接要求召回受影響的46.5萬台設備，而亞培也已提供更新韌體。

FDA醫材產品需持續監控弱點
FDA在去年1月公佈了「醫療器材上市後網路安全管理指南」，這是2015年發佈醫材上市前網路安全管理指南的延續。該指南要求醫材廠商必須能監控設備的弱點，在產品設計階段加入更新的功能並且在整個產品生命週期期間需持續修補弱點。此一要求十分重要，因為通常醫療器材的產品開發耗時5年以上，且產品的使用壽命長達10至20年。

儘管如此，在醫院的管理實務上並不會經常為醫療設備更新修補程式，因設備通常24小時不停機運作，除非有重大故障需排除。趨勢科技事業開發部資深經理鄭朱弘毅建議，當無法更新修補程式或廠商未釋出修補程式前，可透過入侵防禦系統(IPS)將漏洞屏蔽，以避免遭利用攻擊。

除了設備端的防護之外，鄭朱弘毅指出物聯網安全還包括連線安全防護與資料彙整到雲端平台後的雲端安全兩大部分。以整體架構而言，前端內建感測器的各種智慧裝置搜集資料後會將資料彙整到IoT閘道器，閘道器再往後上傳雲端伺服器。以駭客的角度若攻擊智慧裝置只能取得一個人的健康資料，不如攻擊閘道器能一次打包更多資料，因此強化IoT閘道器安全是一大關鍵。

鄭朱弘毅建議設備商可依閘道器所提供的功能強化IPS、異常行為偵測、白名單機制或者加入更多如URL過濾、系統防竄改防護等。至於雲端安全則需特別注意權限設定與管理，許多企業組織認為資料放在雲端平台業者上非常安全，但往往發生事件的原因是自己未設定好權限，而使資料遭任意存取。

北醫附醫從資料與設備管控IoMT

台北醫學大學附設醫院致力於使用物聯網、行動技術等資訊科技提升醫療照護品質，IoT技術的採用在全院已有約8成的比例，應用範圍從護理站、加護病房、麻醉科、急診、門診、以及計畫中的血液透析中心等。去年11月北醫附醫發表自行研發的「智能重症照護系統Ted-ICU」，透過貼在皮膚上的貼片與偵測導線，就能將加護病房病患的生理資訊自動傳輸到系統中，並針對異常發出警示，大幅減少護理人員每小時量測、抄寫的時間。
北醫附醫資訊室主任康嵐媖指出，對即時性的需求是物聯網技術能帶來的巨大效益，尤其重症病患每分每秒生理狀況的變化對健康都產生極大影響。也因此北醫附醫持續在須密切觀察數值變化的應用方面導入物聯網技術。同時，大部分的醫療設備在購入建置完成後，都由資訊室自行作後續的資料匯出與整合應用，以因應院內的即時需求。

在眾多醫療設備都連網之後，隨之而來產生的各種資料北醫附醫都儲存在內網，且不開放外部存取。以資安的考量為首位，是北醫附醫在安全與便利之間的決定。至於在連網醫療設備的管理上，北醫附醫從網路源頭下手，所有的裝置MAC與IP都會綁定，不讓任意裝置包括訪客或員工BYOD行動設備連上醫院內網系統。並透過異常偵測閘道來即時監控各種連網設備的行為，再藉由SIEM平台來做日誌搜集與分析。

醫療聯網(Internet of Medical Things, IoMT)時代來臨，網路安全成為必要關注的議題，台灣電子醫材產業有前進國際市場的深厚潛力，設備商更需與資安業者合作強化產品安全，不能再有資料都存在本地沒有上雲端就不會有資安風險的迷思，因為網路安全將漸漸納入法規成為必要項目而非選項。而醫療院所在經歷去年勒索病毒的突襲後，也需正視弱點管理的問題，尤其是早期就有連網功能但卻沒有內建防毒的醫療設備，更需建立一套補強與監控的機制。

網路安全醫療