Principais desafios de segurança de dispositivos IoMT

Ambientes hospitalares e clínicos, em geral, têm sido figuras frequentes nas listas de invasões cibernéticas nos últimos anos. Uma nova pesquisa da Armis, empresa que atua em visibilidade e segurança de ativos, revelou os principais dispositivos médicos e IoT conectados que mais estão expostos a atividades mal-intencionadas.

Os dados analisados, que rastrearam mais de três bilhões de ativos, descobriram que os sistemas de chamada de enfermagem são os dispositivos IoMT (Internet das Coisas Médicas) que estão mais em risco, seguidos por bombas de infusão e sistemas de distribuição de medicamentos. Considerando dispositivos IoT, em geral, os que estão no topo da lista são câmeras IP, impressoras e dispositivos VoIP (Voice Over Internet Protocol).

Segundo a pesquisa, a expectativa é que, até 2026, hospitais inteligentes implantem mais de 7 milhões de dispositivos IoMT, dobrando o número registrado em 2021. Dispositivos médicos e não médicos estão cada vez mais conectados, alimentando automaticamente dados de pacientes provenientes de dispositivos de monitoramento e registrados em prontuários eletrônicos. Essas conexões e comunicações dentro dos ambientes médicos ajudam a melhorar o atendimento aos pacientes, mas também tornam esses locais cada vez mais vulneráveis a ataques cibernéticos, podendo chegar a interromper os atendimentos.

A análise detalhada dos dados de dispositivos médicos e IoT conectados realizada pela Armis revelou as seguintes informações:

• Sistemas de chamada de enfermagem são os dispositivos médicos conectados de maior risco, com 39% apresentando vulnerabilidades e pontos de exposições comuns (CVEs) de gravidade crítica e sem correção e quase metade (48%) com CVEs sem correção.

• Bombas de infusão estão em segundo lugar, com 27% tendo CVEs de gravidade crítica e sem correção e 30% com CVEs sem correção.

• Sistemas de distribuição de medicamentos estão em terceiro lugar, com 4% apresentando CVEs de gravidade crítica não corrigidos, mas 86% apresentando CVEs não corrigidos. Além disso, 32% executam versões do Windows sem suporte.

• Quase um em cada 5 (19%) dispositivos médicos conectados usa versões de sistema operacional sem suporte.

• Mais da metade das câmeras IP em ambientes clínicos tem CVEs de gravidade crítica sem correção (56%) e CVEs não corrigidos (59%), fazendo das câmeras o tipo de dispositivos IoT sob mais riscos.

• Impressoras são o segundo dispositivo IoT que mais está em risco dentro de ambientes clínicos, sendo que 37% possuem CVEs não corrigidos e 30% tem CVEs de gravidade crítica sem correção.

• Dispositivos VoIP estão em terceiro lugar. Embora 53% deles tenham CVEs não corrigidos, apenas 2% têm CVEs de gravidade crítica sem correção.

“Esses números são fortes indicadores dos desafios enfrentados pelas organizações da área de saúde em todas as partes do mundo. Avanços tecnológicos são essenciais para melhorar a velocidade e a qualidade dos tratamentos, visto que o setor enfrenta uma alta escassez de profissionais de saúde. No entanto, com ambientes clínicos cada vez mais conectados, a superfície de ataque é cada vez maior também. Proteger todos os tipos de dispositivos conectados, médicos, IoT e até mesmo sistemas de gestão predial, com visibilidade total e monitoramento contextualizado contínuo, é essencial para garantir a segurança dos pacientes”, explica Mohammad Waqas, principal arquiteto de soluções de saúde da Armis.

Um dos hospitais atendidos pela Armis, por exemplo, ganhou mais visibilidade de quais dispositivos estão conectados à rede e como estão interagindo uns com os outros, contando com alertas baseado no comportamento observado e regras de firewall.

Grande parte dos dispositivos médicos conectados não é gerenciada, ou seja, não está protegida ou não pode usar ferramentas de monitoramento tradicionais, como agentes de segurança e varreduras, segundo a Armis. Não é difícil de deduzir, então, que os riscos de cibersegurança só tendem a crescer e, com isso, os riscos à continuidade dos tratamentos dos pacientes.

Além do controle limitado dos dispositivos médicos conectados, há outros riscos de cibersegurança para os hospitais. Para a Armis, as 10 principais ameaças à segurança da Internet das Coisas Médicas são:

1. Ameaças sofisticadas direcionadas ao setor de saúde – No primeiro semestre de 2022, assim como nos três anos anteriores, o setor de saúde foi o principal alvo em termos de violações de dados, de acordo com o Identity Theft Resource Center (ITRC). As preocupações não são apenas com dados médicos confidenciais, mas também com paralisações no atendimento aos pacientes.

2. Coexistência de ambientes OT, IT, IoT e dispositivos médicos conectados expande as superfícies de ataque – Hackear uma smart TV em uma sala de espera de hospital, por exemplo, pode abrir a porta para ameaças que se movem lateralmente em redes hospitalares, frequentemente mal segmentadas e pouco protegidas.

3. Complexidade dos ambientes de saúde – A diversidade de dispositivos e tipos de sistemas dificulta o rastreamento de ativos e a gestão de vulnerabilidades. Além disso, muitos dos dispositivos são portáteis e conectados às redes.

4. Dispositivos médicos não acomodam agentes –  Como dispositivos médicos e clínicos são fabricantes intencionalmente como hardware embutido, em geral, não acomodam software externo e, consequentemente, não podem ser protegidos por agentes de segurança nem facilmente atualizados ou corrigidos. Falta de gestão de patches é um ponto fraco geralmente explorado como método de ataque, de acordo com Relatório de Defesa Digital da Microsoft de 2021.

5. Dispositivos IoMT carecem de segurança integrada – Dispositivos médicos não vêm com controles de segurança fortes porque seu design se baseia nos resultados desejados e requisitos regulamentares.

6. Tecnologia legada com riscos de cibersegurança – Dispositivos médicos geralmente têm um ciclo de vida mais longo do que a tecnologia de consumo. Devido a restrições de certificações da agência de saúde dos Estados Unidos (FDA), sistemas operacionais e software executados nos dispositivos médicos podem permanecer intocados e sem patches por receios de torná-los inoperantes ou afetar o atendimento aos pacientes.

7. Servidores gerenciados por fornecedores impedem a visibilidade de ativos médicos – Fabricantes de dispositivos médicos estão adotando novas abordagens, criando suas próprias redes gerenciadas, ou seja, uma parte isolada das redes hospitalares. Por exemplo, um fornecedor pode ter 30 monitores de pacientes atrás de um gateway proprietário, criando diferentes camadas de visibilidade.

8. Varreduras e NAC não entendem o contexto – Sistemas de varredura de vulnerabilidades não fornecem monitoramento contínuo e em tempo real. Além disso, dependem de sistemas comuns de pontuação de vulnerabilidades (CVSS) e não conseguem entender o contexto. Outros métodos, como controle de acesso à rede (NAC), também não conseguem examinar o comportamento dos dispositivos.

9. Varreduras podem atrapalhar o atendimento – Dispositivos médicos têm diferentes níveis de sensibilidades, então não se sabe como um sistema específico responderá aos sistemas de varredura de vulnerabilidades.

10. Segmentação fraca entre redes clínicas e de TI – Uma rede hospitalar típica é dividida entre equipes biomédicas e de segurança de TI, criando silos. Em geral, redes virtuais mantêm os dois lados separados, mas não são projetadas para garantir segurança.