電子醫(yī)療設備理應輔助拯救人類生命，但它們極度缺乏安全的狀態(tài)，卻可能導致大量的死亡。
在上個月，美國肯塔基州舉行的DerbyCon大會上，3名對黑客活動感興趣的醫(yī)生，講述了他們對醫(yī)療設備安全漏洞的分析。情況并不樂觀。據(jù)稱，平均來看，一臺聯(lián)網(wǎng)設備有大約1000個可利用CVE漏洞，某些甚至達到了1400個之多。
這些漏洞并非全都能遠程利用，但很多確實可以被遠程操控，而且，“只需1個，1個漏洞就能讓設備淪陷”。大西洋理事會網(wǎng)絡國策倡議理事，上述3名演講醫(yī)生之一的約書亞·科曼如是說。
政府對此毫無應對，醫(yī)院顯然也沒有——85%的美國醫(yī)院沒有任何IT安全員工。
4年前，科曼和其他人成立了“我是騎兵”組織，調(diào)查并處理影響公共安全的計算機安全事件。DerbyCon上與他一同發(fā)表演說的，還有他的副理事博·伍茲，具信息安全思維的克里斯蒂安·達梅夫醫(yī)生和杰夫·土利醫(yī)生。
達梅夫醫(yī)生強調(diào)了WannaCry勒索軟件的傳播對英國醫(yī)療系統(tǒng)的影響，并表示，美國沒感染類似惡意軟件真的是非常非常幸運。對醫(yī)療黑客活動的主要恐懼，在于惡意軟件會中斷計算機和聯(lián)網(wǎng)設備，以致病患無法及時受到關(guān)鍵救護。
面對中風或心臟病突發(fā)的病人，你只有很短的時間窗口可以搶救并防止造成更大損傷。過長的延遲可能不會致死，但肯定會造成癱瘓。我很確定，絕對有人因為“WannaCry”攻擊而死去。
幾位醫(yī)生與亞利桑那州鳳凰城官方合作，進行了一次模擬演練，結(jié)果令人警醒。為期3天的演練模擬了一場網(wǎng)絡災難：第1天，城里1家醫(yī)院感染破壞性惡意軟件，造成基礎(chǔ)服務癱瘓;第2天，對城里多家醫(yī)院的另一起數(shù)字襲擊爆發(fā);第3天，類似2013年波士頓馬拉松爆炸案的物理攻擊襲來。
令人驚異的是，模擬演練算出的死亡人數(shù)，大多出現(xiàn)在第一天。隨著電梯和暖通空調(diào)系統(tǒng)的宕機，還有藥品冷藏系統(tǒng)的失效，病患不得不來回周轉(zhuǎn)于其他醫(yī)療設施中，其中一些病患沒能撐到目的地。
到了第2天，因未接受治療的患者數(shù)量實在過于龐大，醫(yī)生們不得不從標準收診操作切換到災難傷患分診流程。通常，患者是按疾病或受傷嚴重程度從重到輕收診的，但啟動災難分診流程，醫(yī)生就不得不優(yōu)先選擇那些可以切實救活的，而讓傷重的等死。
模擬演練中，所有這些死亡案例，都是被簡單的黑客活動導致的，甚至都不用物理接觸到醫(yī)療設備就能利用那些漏洞。很多老舊設備壓根不能打上補丁，一旦進入其網(wǎng)絡或在公共互聯(lián)網(wǎng)上發(fā)現(xiàn)它們，利用起來易如反掌。而新系統(tǒng)的制造商響應安全漏洞的速度，也是慢得令人心酸。
其中一個明顯案例，就是圣猶達起搏器事件。在安全公司通告該起搏器固件漏洞之后整整1年，這家醫(yī)療設備公司才放出補丁并獲準使用，且這種情況并不鮮見。
醫(yī)院甚至不能重新構(gòu)建系統(tǒng)和設備以解決糟糕的設備安全問題。基本上，新醫(yī)療設備通過美國監(jiān)管機構(gòu)的批準，需要花費6年左右，如果設備需要植入人體，這個時間會長達10年。這漫長的幾年間，設備網(wǎng)絡和工具包就這么大喇喇地暴露在任何侵入醫(yī)療設施的惡意軟件眼皮底下。
京公網(wǎng)安備 11010502049343號