인터넷에 연결된 의료 기기 보호

사자와 호랑이와 곰 — 오 마이!

오즈의 마법사에서 낯선 풍경에 도착하면 , Dorothy는 "Toto, 우리가 더 이상 Kansas에 없다는 느낌이 듭니다."라고 말했습니다. 날아다니는 원숭이, 장기가 부족한 동료, 쾌활한 먼치킨, 물을 싫어하는 마녀와의 만남은 곧 그녀의 새로운 일상이 되었습니다.

우리에게 뉴 노멀은 인터넷에 연결된 의료 기기 및 가상 치료 모델, 즉 "의료 사물 인터넷" 또는 IoMT의 채택을 가속화하는 것과 관련이 있습니다. 시스템 및 서비스.”

개인 소비자와 의료 제공자 모두의 의료 기기에 대한 전 세계 수요는 엄청납니다. 미국에서 해당 시장은 2019년 1,608억 달러, 2020년 1,760억 달러에 이를 것으로 예상됩니다. 한편 리서치 회사인 Fior Markets가 발표한 보고서에 따르면 세계 의료 기기 연결 시장은 2019년 16억 3,000만 달러에서 87억 6,000만 달러로 성장할 것으로 예상했습니다. 2027년 B.

살아있다!

또 다른 유명한 이야기에서 메리 셸리의 미친 의사인 빅터 프랑켄슈타인 남작은 간단한 재봉 기술을 사용하여 자신의 생물체의 다양한 신체 부위를 결합한 다음 19세기 버전의 전기 경련 요법으로 활성화했습니다. 21세기의 기술은 아직 이러한 기능을 달성하지 못했지만 이식, 재부착, 보철 및 임플란트(대부분이 "스마트"(즉, 연결)이거나 적층 제조 및 3D 인쇄 도구를 사용하여 제조됨)는 드문 일이 아닙니다.

이 때문에 IoMT는 다른 IoT 애플리케이션에서 볼 수 있는 것보다 사이버-물리적 융합의 더 개인적인 측면을 나타냅니다. 그들은 우리의 친밀한 물리적 "신뢰 영역"에 들어갑니다. 장치 또는 장치의 제조 프로세스가 손상되면 환자의 안전과 개인 정보가 영향을 받을 수 있습니다. 이러한 잠재력은 윤리적인 사용과 개인 정보 보호, 사이버 보안 및 필수 장치 성능을 보호하기 위한 기술적 능력에 대한 우려를 낳았습니다.

IoMT 인프라를 효과적으로 관리하려면 다음을 포함하여 종종 자율적으로 움직이는 많은 부품을 고려해야 합니다.

<울>

제조 과정의 품질 관리

여러 기기에 저장된 의료 정보의 상호 운용성.

클라우드 스토리지 및 소프트웨어 플랫폼에 대한 의존

네트워크 통신 모니터링.

의료 전문가의 기대에 부응

IoMT는 점점 더 우리 생활의 일부가 되고 있습니다. 의료 기기 및 장비의 설계 및 제조에 데이터 개인 정보 보호, 기기 무결성 및 사이버 복원력을 구축하는 것이 필수적입니다.

누구에게 전화할까요?

고스트버스터즈의 괴짜 과학자들 환영받지 못하는 유령을 찾아내기 위해 초심리학적 속임수를 사용했습니다. 표준 및 지침 ¹ 의료 기기 제조업체는 협업, 품질 문제, 위험 및 보안 관리, 사용 사례 시나리오를 다루고 의료 기기에서 예상치 못한 "유령" 행동을 식별하고 근절하기 위한 개요 관행을 설명합니다. 이것은 "설계된 대로" 및 "제조된 대로" 장치 성능에 대한 제어를 강화하는 데 도움이 됩니다("사용된 대로" 장치를 제어하기가 더 어렵더라도).

자발적 조직인 IMDRF(International Medical Device Regulators Forum)는 의료 기기 사이버 보안 실무 그룹을 구성하여 2020년 3월 "의료 기기 사이버 보안에 대한 원칙 및 관행"을 발표했습니다.

이 문서는 기업 자체 내의 사이버 보안을 다루지 않지만 제품 사이버 보안 복원력을 강화하고 취약성을 수정하며 위험을 완화하기 위한 의료 기기 제조업체의 책임에 대해 논의합니다. 총 제품 수명 주기(TPLC). 제조업체에 대한 권장 사항에는 다음을 해결하기 위한 TPLC 사이버 보안 관리 계획의 개발이 포함됩니다.

<울>

상황 인식.

취약점 공개.

업데이트 및 수정.

복구.

제조업체가 공개된 취약점에 대한 정보를 지속적으로 받고 식별한 취약점을 공유하고 있다는 증거입니다.

특히 유용할 수 있는 한 가지 위험 관리 기술은 위협 모델링입니다. OWASP(Open Web Application Security Project)는 제조업체가 설계 및 개발 중에 다음 네 가지 질문을 할 것을 권장합니다.

<올>

무엇을 만들고 있습니까?

무엇이 잘못될 수 있습니까(예:어떻게 공격할 수 있습니까)?

무엇을 할 것인가?

우리는 충분히 일을 했습니까?

성능 요구 사항 정의부터 서비스 제공 및 서비스 중단에 이르기까지 TPLC 전반에 걸쳐 의료 기기에 대한 사이버 보안 탄력성을 계획하고 구축하면 우리의 신뢰를 받을 만한 제품이 탄생할 것입니다.

히힛!

폴터가이스트 상업적 이익 기반 활동이 윤리적, 인본주의적 우려를 무시하고 의도하지 않은 결과와 부수적 피해로 이어지는 지름길을 택할 때 생성되는 혼란을 탐구합니다. 이해 관계자 커뮤니티는 대통령 정책 지침 21(PPD-21)에 명시된 16개 핵심 인프라 부문 중 2개에 해당하는 의료 기기 제조 부문에서 이러한 중단을 방지하기 위한 이니셔티브에 협력했습니다. . 또한 2015년에 미국 의회는 의료 산업 보안 접근 방식을 조정하기 위한 요구 사항이 포함된 2015년 사이버 보안법(CSA)을 통과시켰습니다.

미국 보건복지부(Department of Health and Human Services)와의 민관 파트너십인 의료 및 공공 부문 조정 위원회의 사이버 보안 공동 작업 그룹은 다음을 포함하여 의료 기기 제조업체를 위한 기술 모범 사례를 나열합니다.

<울>

공격 표면을 최소화합니다.

보안 기본값 및 구성을 설정합니다.

감사 및 책임을 유지합니다.

최소 권한, 직무 분리 및 심층 방어 원칙을 따릅니다.

안전하게 실패합니다.

보안을 단순하게 유지하고 보안 문제를 올바르게 수정합니다.

NIST SP 800-171 보안 제어 요구 사항을 통해 작업한 사람은 위의 모범 사례 요약에 캡처된 14개 제어 제품군의 요소를 인식할 것입니다. 이는 검증된 사실이며 맹목적인 신뢰보다는 정보에 기반한 것입니다.

재앙적인 지름길을 방지하거나, 악의적인 팬텀(또는 다람쥐)을 포함하거나, 다중 노드 장치 솔루션을 결합하는 등 의료 기기와 관련하여 우리는 새로운 표준에 들어섰습니다. 운 좋게도 우리는 기술과 더 안전하고 더 깊이 인식하는 관계로 이동할 수 있습니다. 구성 요소, 상호 작용 방식 및 사고를 방지하는 방법을 이해하려면 IoMT 영화 스크립트를 더 깊이 파고들면 됩니다.

이 블로그는 NCSAM(National Cybersecurity Awareness Month)에 게시된 시리즈의 일부입니다. 이 시리즈의 다른 블로그에는 Celia Paulsen의 보안 문화 만들기, Zane Patalive의 If You Connect, Protect It, Suspicious Minds:Pat Toth의 비기술적 징후 및 Erik의 연결된 장치의 미래가 있습니다. Fogleman 및 Jeff Orszak.

<시간>

^{1 예:의료 정보 진흥 협회(AAMI) - https://www.aami.org/medical-device-manufacturer; 식품의약국 - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance; 국제 전기 기술 위원회(IEC) - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm; 국제 표준화 기구(ISO) - https://www.iso.org/iso-13485-medical-devices.html; Underwriters Laboratories(UL) - https://www.ul.com/resources/healthcare-standards-directory}