اختراق الرعاية الصحية في H-ISAC 7-15-2020
TLP الأبيض:
في هذا الأسبوع، يستكشف موقع Hacking Healthcare النطاق الكامل لعمليات جمع المعلومات الاستخباراتية التي تقوم بها الصين ضد كيانات الرعاية الصحية في الولايات المتحدة وحلفائها في أعقاب انتشار فيروس كورونا المستجد (كوفيد-19)، ويسلط الضوء على بعض الطرق العملية وغير المكلفة لتعزيز الأمن. بعد ذلك، نستعرض كيف تتخذ الولايات الفردية خطوات لاحتضان تغييرات الرعاية الصحية عن بعد بشكل دائم ونناقش ما يمكنك توقعه بشأن الرعاية الصحية عن بعد من وجهة نظر فيدرالية. أخيرًا، نشرح بإيجاز كيف توضح الساعة الذكية وتطبيق الرعاية الصحية المصاحب لها القضايا الأمنية المتمثلة في عدم وجود رؤية شاملة للكود الأساسي للمنتج. أهلاً بكم من جديد في اختراق الرعاية الصحية.
كتذكير، هذه هي النسخة العامة من مدونة Hacking Healthcare. للحصول على تحليلات وآراء أكثر تعمقًا، انضم إلى H-ISAC واحصل على نسخة TLP Amber من هذه المدونة (المتاحة في بوابة الأعضاء).
1. مكتب التحقيقات الفيدرالي: عمليات الاستخبارات الصينية تتفوق على كل التوقعات.
إن التهديد الذي تشكله التهديدات الصينية المستمرة المتقدمة التي ترعاها الحكومة، والقراصنة الوطنيين، والمنظمات الإجرامية غير التابعة لأي جهة معروفة جيداً في الغرب. ولكن في الأسبوع الماضي، ساعد مدير مكتب التحقيقات الفيدرالي كريستوفر راي في تسليط الضوء على حجم الجهات الفاعلة الصينية المهددة عندما صرح بأن ما يقرب من نصف التحقيقات النشطة في مجال مكافحة التجسس والتي يبلغ عددها 5,000 تحقيق والتي تم فتحها في الولايات المتحدة تتعلق بالصين.[1] ويترجم هذا إلى فتح قضية جديدة متعلقة بالصين كل 10 ساعات.[2]
ورغم أن هذه الأنشطة الاستخباراتية الصينية لا تحتوي كلها على مكونات إلكترونية خبيثة، فإن العديد من العمليات رفيعة المستوى والأكثر حساسية تحتوي على مكونات إلكترونية خبيثة. واعترف مدير مكتب التحقيقات الفيدرالي راي بأن حالات التجسس الاقتصادي المرتبطة بالصين، بما في ذلك تلك التي تستهدف الأبحاث وتنفذ سرقة الملكية الفكرية، زادت بنسبة 1300% في العقد الماضي.[3] وأوضح أيضًا أن الجهات الفاعلة الصينية تستخدم "مجموعة متنوعة من التقنيات المتطورة" التي تشمل الاختراق الإلكتروني الدقيق بالإضافة إلى الهجمات المستهدفة باستخدام وسائل التواصل الاجتماعي لتحديد الأهداف.[4]
وقد أقر راي على وجه التحديد بالتهديد الذي يواجه الرعاية الصحية، مشيرًا إلى أن الحكومة الصينية تسعى بنشاط إلى اختراق شركات الرعاية الصحية والأدوية التي تجري أبحاثًا حول كوفيد-19. وقد لاحظ مكتب التحقيقات الفيدرالي أن المنظمات الصحية الأمريكية التي تصدر إعلانات بارزة تتعلق بأبحاث كوفيد-19 غالبًا ما تجد نفسها مستهدفة في غضون 24 ساعة.[5] وهذا يتوافق مع تصريحات حلفائنا المقربين مثل كندا.
وفي حين لم يشر سكوت جونز، رئيس المركز الكندي للأمن السيبراني، إلى الصين على وجه التحديد، إلا أنه أشار إلى العديد من الخروقات الناجحة ضد المنظمات التي تجري أبحاثًا حول كوفيد-19 أمام البرلمان الكندي الأسبوع الماضي.[6] وأوضح جونز أن صناع السياسات غالبًا ما يتجاهلون عدد المنظمات الصغيرة والمتوسطة الحجم التي تشكل أهمية بالغة لجهود مكافحة كوفيد-19 والتي تفتقر إلى موارد الأمن السيبراني للدفاع بشكل مناسب ضد أنواع التهديدات التي تواجهها. وقد دفع هذا أفرادًا مثل بول إميل كلوتييه، الرئيس التنفيذي لشركة هيلثكير كان، إلى التذمر علنًا من حالة الأمن السيبراني في قطاع الرعاية الصحية، مع دعوة البعض إلى فرض معايير الأمن السيبراني الوطنية على هذا القطاع.[7]
العمل والتحليل
*مطلوب عضوية H-ISAC*
2. تتولى الدول زمام المبادرة في إجراء تغييرات على خدمات الرعاية الصحية عن بعد المتعلقة بكوفيد-19.
في حين يقوم الكونجرس والحكومة الفيدرالية بتقييم التغييرات التي تطرأ على القواعد واللوائح الوطنية المتعلقة بالرعاية الصحية عن بعد، بدأت العديد من الولايات في اتخاذ المبادرة.
ماساتشوستس:في نهاية شهر يونيو/حزيران، وافقت هيئة تسجيل الطب في ولاية ماساتشوستس على سياسة دائمة بشأن التطبيب عن بعد تنص على: "لا تتطلب ممارسة الطب لقاءً وجهاً لوجه بين الطبيب والمريض قبل تقديم الرعاية الصحية عبر التطبيب عن بعد". وتؤكد السياسة أيضًا أن "معيار الرعاية المطبق على الطبيب هو نفسه سواء تمت رؤية المريض شخصيًا أو من خلال التطبيب عن بعد".[8] ويعتبر الكثيرون أن هذه خطوة مهمة بالنسبة لدولة تجنبت لعقود من الزمن وضع أي سياسات تفصيلية للرعاية الصحية عن بعد.[9]
كولورادو:في الأسبوع الماضي، وقع حاكم ولاية كولورادو جاريد بوليس على مشروع قانون مجلس الشيوخ رقم 20-212 ليصبح قانونًا. ويتعلق مشروع القانون "بسداد تكاليف خدمات الرعاية الصحية المقدمة من خلال التطبيب عن بعد" و"يمنع خطط الرعاية الصحية من فرض متطلبات أو قيود محددة على التقنيات المستخدمة لتقديم خدمات التطبيب عن بعد طالما أن هذه التقنيات تتوافق مع قانون قابلية نقل التأمين الصحي والمساءلة".[10], [11] وقد أقر مجلس النواب ومجلس الشيوخ في ولاية كولورادو مشروع القانون بدعم قوي من الحزبين، ولم يحصل إلا على صوت واحد معارض. وقد أشار الحاكم بوليس على وجه التحديد إلى كوفيد-19 باعتباره القوة الدافعة وراء تقدم الطب عن بعد.
ايداهو:في أواخر يونيو/حزيران، وقع حاكم ولاية أيداهو براد ليتل على أمر تنفيذي جعل عددًا من الإعفاءات المؤقتة المتعلقة بالرعاية الصحية عن بعد دائمة، بما في ذلك تخفيف القيود المفروضة على التطبيقات التي قد يستخدمها مقدمو الرعاية الصحية للرعاية الصحية عن بعد. وجاء تخفيف هذه القيود كجزء من حزمة أوسع نطاقًا جعلت أكثر من 150 قاعدة طوارئ متعلقة بكوفيد-19 دائمة. وأكد الحاكم ليتل أن هذه التغييرات "تجعل الرعاية الصحية أكثر سهولة وبأسعار معقولة للأسر والشركات في أيداهو".[12]
العمل والتحليل
*مطلوب عضوية H-ISAC*
3. تطبيق Smartwatch Health يسلط الضوء على مخاطر أمن الرعاية الصحية عبر إنترنت الأشياء.
من قسم "في حال نسيت"، نلاحظ أن الإثارة بشأن إمكانية الهواتف الذكية والساعات الذكية وأجهزة إنترنت الأشياء في توسيع خيارات وخدمات الرعاية الصحية مستمرة في النمو. ومع ذلك، فقد أكدت التقارير الأخيرة المخاطر المرتبطة بأجهزة الرعاية الصحية المتصلة عندما لا يكون الأمان على رأس أولويات التطوير وعندما لا تنتج كيانات الرعاية الصحية الأجهزة التي تتمتع بإمكانات تطبيقات الرعاية الصحية ولا تدعمها.
في الأسبوع الماضي، ألقى باحثو الأمن نظرة متعمقة على تطبيق خدمة التتبع والساعة الذكية المصاحبة التي يبدو أنها مصممة خصيصًا لكبار السن وأولئك الذين يعانون من ضعف الإدراك. ومن بين الخيارات المتنوعة المضمنة في الساعة والتطبيق المصاحب ميزة التتبع لمساعدة مقدمي الرعاية في تحديد موقع مرتديها المشوشين، وتذكير تلقائي بأن الوقت قد حان لتناول الأدوية. وكما لاحظ الباحثون، "إذا لم يتمكن مقدم الرعاية من الزيارة لأسباب تتعلق بالعزلة أثناء الإصابة بفيروس كورونا، فإن التنبيه عن بعد لمرتدي الساعة الذي لم يتمكن من التذكر بنفسه سيكون مفيدًا للغاية".[13]
من حيث الفائدة والغرض، فإن تطبيقات هذه الأجهزة كلها جيدة وجيدة. ومن حيث الأمن، فإن الجهاز يشكل للأسف مخاطر لا يمكن إنكارها. وأشار الباحثون إلى أن الأمر يتطلب فقط مهارات اختراق "أساسية" للسماح لأي شخص بتتبع شخص يستخدم الجهاز، وأن الصوت يمكن اختراقه لتمكين التنصت، وأن إشعار الدواء يمكن تشغيله حسب الرغبة.[14] ومن بين الانتقادات الأساسية التي أثارها الباحثون أن "لا أحد نظر إلى الكود الأساسي. ولم ينظر أحد إلى عدد الخوادم المتاحة للعامة وما يمكن القيام به من جانب الخادم لأطفالك أو أقاربك المسنين أو حتى سيارتك".[15]
العمل والتحليل
*مطلوب عضوية H-ISAC*
مؤتمر -
الثلاثاء ، يوليو 14th:
- لا توجد جلسات استماع ذات صلة
الأربعاء ، يوليو 15th:
– مجلس النواب – لجنة الرقابة والإصلاح: جلسة استماع بشأن مشروع القانون رقم 7331، قانون المدير السيبراني الوطني
الخميس 16 يوليو:
- لا توجد جلسات استماع ذات صلة
الدولي جلسات الاستماع/الاجتماعات -
الاتحاد الأوروبي -
- لا توجد جلسات استماع ذات صلة
المؤتمرات والندوات عبر الإنترنت والقمم -
– منتدى الأمن السيبراني للرعاية الصحية – منطقة وسط المحيط الأطلسي – افتراضي (7/16/2020)
https://endeavor.swoogo.com/summer_virtual_healthcare_innovation_cybersecurity_forum/About
— إحاطة شهرية حول التهديدات التي تواجه أعضاء H-ISAC – ندوة عبر الإنترنت (7/28/2020)
https://h-isac.org/hisacevents/h-isac-monthly-member-threat-briefing-10/
– ورشة عمل الأمن الافتراضي H-ISAC – افتراضية (7/29/2020)
https://h-isac.org/hisacevents/nz-virtual-workshop/
— إحاطة شهرية حول التهديدات التي تواجه أعضاء H-ISAC – ندوة عبر الإنترنت (8/25/2020)
https://h-isac.org/hisacevents/h-isac-monthly-member-threat-briefing-11/
– منتدى الأمن السيبراني للرعاية الصحية – جنوب شرق – ناشفيل، تينيسي (9/9/2020)
https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/426517
– منتدى الأمن السيبراني للرعاية الصحية – شمال شرق – بوسطن، ماساتشوستس (9/22/2020)
https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/427126
– دورة تدريبية حول استخبارات التهديدات السيبرانية من H-ISAC – تيتوسفيل، فلوريدا (9/22/2020)
https://h-isac.org/hisacevents/h-isac-security-workshop-titusville-fl/
– ورشة عمل الأمن الافتراضي H-ISAC – فورشهايم، ألمانيا (9/23/2020)
https://h-isac.org/hisacevents/h-isac-security-workshop-forchheim-germany/
– منتدى الأمن السيبراني للرعاية الصحية – تكساس – هيوستن، تكساس (10/8/2020)
https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/428840
–CYSEC 2020 – دوبروفنيك، كرواتيا (10/27/2020 – 10/28/2020)
https://h-isac.org/hisacevents/cysec-2020-croatia/
– منتدى الأمن السيبراني للرعاية الصحية – منطقة شمال غرب المحيط الهادئ – سياتل، واشنطن (10/28/2020)
https://endeavor.swoogo.com/2020_healthcare_innovation_cybersecurity_forums/428886
– ورشة عمل الأمن H-ISAC – سياتل، واشنطن – (10/29/2020)
https://h-isac.org/hisacevents/h-isac-security-workshop-seattle-wa-2/
– منتدى الأمن السيبراني للرعاية الصحية – كاليفورنيا – لوس أنجلوس، كاليفورنيا (11/12/2020)
منتدى الأمن السيبراني للرعاية الصحية – كاليفورنيا
– ورشة عمل الأمن H-ISAC – باريس، فرنسا (11/18/2020)
https://h-isac.org/hisacevents/h-isac-security-workshop-paris-france/
متفرقات –
- جهاز الخدمة السرية يدمج فرق العمل الخاصة بالجرائم الإلكترونية والمالية لمكافحة الجرائم الإلكترونية
https://www.cyberscoop.com/secret-service-reorganization-task-force-cybercrime-financial-crime/
— مايكروسوفت تغلق حملة التصيد الاحتيالي الخاصة بـ COVID-19 وتحذر من تطبيقات OAuth الضارة
– تحذير من أجهزة التوجيه المنزلية: فهي مليئة بالعيوب المعروفة وتعمل بنظام Linux القديم غير المرقعة
اتصل بنا: تابع @HealthISAC، وأرسل بريدًا إلكترونيًا إلى contact@h-isac.org
[1] https://www.nextgov.com/cybersecurity/2020/07/fbi-opens-new-china-related-counterintelligence-investigation-every-10-hours-director-says/166706/
[2] https://www.nextgov.com/cybersecurity/2020/07/fbi-opens-new-china-related-counterintelligence-investigation-every-10-hours-director-says/166706/
[3] https://www.hudson.org/events/1836-video-event-china-s-attempt-to-influence-u-s-institutions-a-conversation-with-fbi-director-christopher-wray72020
[4] https://www.nextgov.com/cybersecurity/2020/07/fbi-opens-new-china-related-counterintelligence-investigation-every-10-hours-director-says/166706/
[5] https://www.hudson.org/events/1836-video-event-china-s-attempt-to-influence-u-s-institutions-a-conversation-with-fbi-director-christopher-wray72020
[6] https://subscriber.politicopro.com/article/2020/07/canadas-cyber-czar-hackers-hit-institutions-conducting-coronavirus-research-1964659
[7] https://www.cbc.ca/news/canada/nova-scotia/hospitals-health-care-cybersecurity-federal-government-funding-1.5493422
[8] https://www.mass.gov/news/board-of-registration-in-medicine-approves-policy-on-telemedicine
[9] https://www.natlawreview.com/article/massachusetts-adopts-permanent-telehealth-policy-first-time
[10] http://leg.colorado.gov/bills/sb20-212
[11] https://news.bloomberglaw.com/coronavirus/telehealth-barriers-smoothed-under-new-colorado-law
[12] https://mhealthintelligence.com/news/idaho-governor-makes-covid-19-telehealth-expansion-permanent
[13] https://www.pentestpartners.com/security-blog/hacking-smart-devices-to-convince-dementia-sufferers-to-overdose/
[14] https://www.pentestpartners.com/security-blog/hacking-smart-devices-to-convince-dementia-sufferers-to-overdose/
[15] https://www.pentestpartners.com/security-blog/hacking-smart-devices-to-convince-dementia-sufferers-to-overdose/
- الموارد والأخبار ذات الصلة