悪用された既知の脆弱性の 63% が医療ネットワークで見つかった

2024 年 3 月 18 日 – 最近の報告書によると、ヘルスケア ネットワークと医療機器はサイバー攻撃に対して非常に脆弱です。 勉強 サイバー物理システム保護会社 Claroty による。

この調査では、サイバーセキュリティ・インフラストラクチャ・セキュリティ庁 (CISA) によって追跡されている既知の悪用された脆弱性 (KEV) の 63 パーセントが医療ネットワーク上で見つかることが判明しました。 イメージング、臨床 IoT、手術機器などの医療機器の約 23% にも、少なくとも 1 つの KEV が搭載されています。

CISA は、公に知られている攻撃に使用されているこれらのソフトウェアの脆弱性と弱点のデータベースを管理しています。 CVE が公開エクスプロイトを公開すると、CISA は影響を受けるベンダー、公開日、脆弱性の説明、軽減または修復のアドバイスを記載したカタログを更新します。

これらの KEV は病院ネットワーク全体に蔓延しており、医療提供組織は患者のシステムやケアを混乱させるサイバー攻撃に対して脆弱になっています。 たとえば、この調査では、手術に使用されるデバイスの 4% が病院のゲスト ネットワーク経由でアクセスできることがわかりました。 ゲスト ネットワークは、最も安全性が低く、最も危険にさらされた場所になる傾向があります。

接続されている医療機器の約 14% も、サポートされていない、またはサポートが終了したオペレーティング システム (OS) を実行しています。 これらのデバイスのうち、約 3 分の 1 は X 線システムや MRI システムなどの画像デバイスです。 病院にとって問題なのは、輸液ポンプや他の患者用機器とは異なり、通常、施設全体で診断や処方治療に使用されるこれらの機器が少数しかないことです。

さらに問題なのは、外科用機器の 7% がこれらのレガシー システムで実行されていることです。 しかし、これらのレガシー システム上で実行されている少数の臨床 IoT デバイス (23%) や病院 IT システム (20%) であっても、ベンダーからパッチを適用できなくなった重大な脆弱性が存在するという重大なリスクが存在します。

医療機器のパッチ適用と更新は、医療提供組織にとってリソースを大量に消費します。 この調査では、医療機器には Windows や Linux システムのように定期的にパッチを適用して更新する機能がないと説明されています。 脆弱性パッチは通常、医療機器メーカーが有料で提供するアドオン サービスです。 これらのメーカーは、サポートされていないオペレーティング システム上のデバイスの契約もサポートする場合があります。

「接続性は病院ネットワークに大きな変化をもたらし、医師がこれまでにない効率で遠隔から診断、処方、治療できるようになり、患者ケアに劇的な改善をもたらした」とクラロティの研究担当副社長アミール・プレミンジャー氏は述べた。声明。

「ただし、接続性の向上には、適切なネットワーク アーキテクチャと、それによって引き起こされる攻撃者への危険性の理解が必要です。医療機関とそのセキュリティ パートナーは、侵入に耐えられる回復力のある医療機器とシステムの必要性を強調するポリシーと戦略を開発する必要があります。これには、安全なリモート アクセス、リスク管理の優先順位付け、セグメンテーションの実装が含まれます」とプレミンジャー氏は続けました。