Tıbbi Nesnelerin İnterneti (IoMT) güvenliği, hastane ağına bağlı infüzyon pompaları, hasta monitörleri, görüntüleme cihazları ve giyilebilir sensörleri siber tehditlere karşı koruyan disiplindir. Bu cihazları özel kılan, bir saldırının sonucunun veri kaybının ötesine geçip doğrudan hastanın bedenine dokunabilmesidir; yanlış çalışan bir pompa, hatalı bir doz demektir.

IoMT güvenliğinde risk, çalınan bir kayıt değil, güvenilmez hale gelmiş bir cihazın hastaya verdiği zarardır; burada güvenlik ile hasta güvenliği aynı şeydir.

Neden Standart IoT’den Zordur?

IoMT cihazları genel Nesnelerin interneti güvenliği sorunlarının tümünü taşır: zayıf varsayılan parolalar, güncellenmeyen yazılımlar, şifresiz iletişim. Ancak bu cihazlar ek bir kısıtla gelir. Bir tıbbi cihaz sağlık otoritesinden onay aldıktan sonra üzerindeki yazılım kolayca değiştirilemez; bir yama uygulamak bile yeniden sertifikasyon gerektirebilir. Bu yüzden bilinen açıklar yıllarca cihaz üzerinde açık kalabilir.

Bu cihazların çoğu, üreticinin belirli bir işletim sistemi sürümüne kilitlediği Gömülü sistem güvenliği alanına girer. Genel amaçlı bir bilgisayar gibi antivirüs kurulamayan, kaynağı kısıtlı bu cihazlar için koruma cihazın içinde değil, çevresinde kurgulanmak zorundadır.

Görünürlük Sorunu

Bir hastane, ağına bağlı olduğunu bilmediği cihazı koruyamaz. Bu yüzden IoMT güvenliğinin ilk adımı eksiksiz bir Biyomedikal cihaz envanteri çıkarmaktır: hangi cihazın hangi yazılımı çalıştırdığı, hangi ağa bağlandığı ve hangi verileri gönderdiği kayıt altına alınmadan risk değerlendirilemez. Pek çok kurumda bu envanter eksik olduğu için cihazlar gölgede kalır.

Envanter çıkarıldıktan sonra en etkili önlem, tıbbi cihazların hastane iş ağından ayrı bir bölmeye alınmasıdır. Bir personel bilgisayarına bulaşan zararlının hasta monitörüne sıçramasını engellemenin en pratik yolu, bu cihazları segmentlenmiş ve sıkı denetlenen bir ağda tutmaktır.

Kurumsal Sorumluluk

Cihazın yazılımına dokunulamadığında sorumluluk üreticiden kuruma kayar; hastane, kendi ağ mimarisiyle cihazın zaafını telafi etmek durumundadır. Bu, satın alma aşamasında güvenlik gereksinimlerinin sözleşmeye yazılmasından, cihazların düzenli olarak taranmasına kadar uzanan sürekli bir yükümlülüktür.

Tıbbi cihazların ağ içinde gerçekten yalıtılıp yalıtılmadığını ve kritik sistemlere açılan gizli yolların bulunup bulunmadığını görmek için mimarinin bütünsel incelenmesi gerekir; Altyapı ve mimari gözden geçirme hizmetimiz cihaz segmentlerini ve aralarındaki geçiş noktalarını hasta güvenliği gözüyle değerlendirir.