Hoppa till huvudinnehåll

H-ISAC tillhandahåller "polerad narrativ" för att ta itu med cyberklyftor inom medicinsk utrustning

Federal News Network-logotypen med en röd och blå stjärnikon bredvid texten.

H-ISAC:s säkerhetschef, Errol Weiss, intervjuades nyligen av Federal News Network

Artikel av Jory Heckman 3 mars 2020

Medan federala myndigheter skyddar sig mot cyberattacker och avvärjer potentiella dataintrång dagligen, arbetar de också nära med branschpartners mot frontlinjehot och framväxande trender.

Department of Health and Human Services, till exempel, arbetar tillsammans med Health Information Sharing and Analysis Center (H-ISAC) för att hålla koll på hotbilden för hälso-IT.

Errol Weiss, H-ISAC:s säkerhetschef, berättade för Federal News Network att organisationen främst existerar för att hålla tillverkare av medicintekniska produkter och vårdgivare – såsom kliniker och sjukhus – utvärderade om kända IT-sårbarheter.

"En av de viktigaste funktionerna som Health ISAC tjänar idag med sina medlemmar är att vara navet för informationsdelning ... Vi kan ta del av den ganska råa informationen som delas och de andra medlemmarnas kommentarer och sätta ihop det jag kommer att kalla en sista, polerad berättelse som vi kan dela med resten av medlemskapet i stort sett, sa Weiss i en intervju.

Medan Weiss erkände att "vissa naturliga spänningar" existerar mellan de två fraktionerna i H-ISAC-medlemskapet - enhetstillverkare och vårdgivare - visade det sig vara nödvändigt att sammanföra dessa grupper i oktober 2019, när ett säkerhetsföretag identifierade 11 nolldagars sårbarheter i tredje- programvara för medicinsk utrustning för fest.

Dessa sårbarheter, varnade Food and Drug Administration i ett memo, kan "tillåta vem som helst att på distans ta kontroll över den medicinska enheten och ändra dess funktion, orsaka överbelastning av tjänster eller orsaka informationsläckor eller logiska brister, vilket kan förhindra enhetens funktion."

"Det fanns utmaningar när det gäller hur man hittar dessa enheter i sitt eget nätverk. Och sedan, när du väl hittade dem, hur skulle du säkra dem, dra åt dem?” sa Weiss.

H-ISAC sammanförde emellertid berörda medicintekniska tillverkare och hälsovårdsorganisationer för att utfärda rekommendationer och åtgärdsplaner för att motverka hoten om noll-dagars sårbarhet.

För att vara vaksam mot kommande sårbarheter sa Weiss att H-ISAC upprätthåller en lista över webbsidor med säkerhetskontakter för tillverkare av medicintekniska produkter.

"Det är ett slags bekvämt sätt för medlemmar att hitta säkerhetswebbsidan för just de företag som tillverkar medicintekniska produkter. Och när det gäller meddelandet om ansvarsfullt avslöjande, arbetar [vi] med dessa organisationer för att samla in lämplig information och se till att den distribueras till lämpliga parter”, sa han.

Innan han gick med i H-ISAC 2019, hjälpte Weiss till att stå upp ISAC-modellen för den finansiella tjänstesektorn 1999, och fungerade som styrelseledamot för Financial Services ISAC.

Så när en tillverkare meddelar kunder om en sårbarhet och en patch för att åtgärda problemet, sa Weiss att insatserna ofta kan vara högre inom IT-världen för hälsa, jämfört med hans erfarenhet av finanssektorn.

"Ibland ser vi i mediaartiklarna att [med] en medicinsk utrustning, om en hackare hade upptäckt den sårbarheten och utnyttjat den, kunde det ha resulterat i en negativ påverkan på en patient, inklusive dödsfall", sa han. "Så det tenderar att finnas mycket sensationella typer av täckning när tillverkaren försöker göra rätt sak och ansvarsfullt avslöja sårbarheten och utfärda patchar till den enheten."

I det scenariot arbetar H-ISAC med tillverkarna för att säkerställa att de är förberedda på det omedelbara svar som följer när de avslöjar en sårbarhet.

Läs hela artikeln här: https://federalnewsnetwork.com/combating-healthcare-data-breaches-with-intelligence/2020/03/h-isac-provides-polished-narrative-to-tackle-medical-device-cyber-gaps/ Copyright © 2020 Federal News Network. Alla rättigheter förbehållna. Denna webbplats är inte avsedd för användare som befinner sig inom Europeiska ekonomiska samarbetsområdet.

SWEYNTOOTH Bluetooth-brister kan potentiellt påverka medicinska enheter
H-ISAC Hacking Healthcare 3-3-2020