IoTの脆弱性を修正するためのパッチ管理のアドバイス

医療機関は患者ケアや医療提供の向上のためにネットワーク接続デバイスに依存していますが、サイバー犯罪者はそれらを攻撃の重要な侵入ポイントにしています。 サイバー脅威の範囲に対する準備がまだ整っていない。

Fortra のセキュリティ研究開発担当シニア マネージャーである Tyler Reguly に、ヘルスケア IT がどのようにデバイス管理を改善し、IoT デバイスのセキュリティ脆弱性、モバイル デバイス管理の実践とセキュリティ フレームワークに対処できるか、また人工知能の活用に関するアドバイスを尋ねました。セキュリティのためのツール。

医療機関の入り口を守る

エンドポイント検出回避、自動化された脆弱性インテリジェンス収集、洗練されたソーシャル エンジニアリングは、そのほんの一部です。 新しい武器 医療機関とその広大なネットワークに対するサイバー脅威の増大が加速しています。

サイバー リソースの限界を超えて、医療 IT チームにとっての準備の課題は、サイバー犯罪者が破壊したいシステムや盗もうとしている保護された医療データにアクセスするための潜在的な攻撃ベクトルとして探索する脆弱性の増大に対応することです。 IoTデバイスを使って。

パッチ適用のニーズに先んじるためには、組織は強力な脆弱性管理プログラムを実装して、国民国家などのより大規模な脅威アクターの優位性を否定する必要があるとフォートラのセキュリティ研究開発シニアマネージャー、タイラー・レギュリー氏は述べています。

なぜなら 医療機器 ソフトウェアはすぐに古くなってしまうため、先月の HIMSS24 ヘルスケア サイバーセキュリティ フォーラムのセキュリティ専門家は、定期メンテナンス中にこのカテゴリの IoT デバイスにパッチを適用することを推奨しました。

しかし、Reguly 氏によると、理由を問わずパッチ適用に時間がかかると、医療機関はサイバー犯罪者がこれらの経路を侵害の可能性を模索するリスクにさらされるため、セグメンテーションが重要になります。

同氏はまた、ヘルスケアに関しては、モバイルデバイスを含む複雑なデバイスの相互接続性と、電子医療記録への広範なアクセスを懸念していると述べた。

「多くの健康データにアクセスできるタブレットや携帯電話を持ち歩いている人が多すぎます」と、IoT Hack Lab の作成者でもある Regly 氏は次の Q&A で述べました。 ヘルスケアITニュース。

Q. 医療機関がセキュリティの設定ミスやサイバーセキュリティのリスクに備え、防止するために使用できるフレームワークがいくつかあります。 不適切に構成されたセキュリティ設定に対処するために病院が実行できる最も重要な措置は何ですか?

A. どの業界でも、フレームワーク、ベンチマーク、ポリシーの数は膨大であることがわかります。 これらの文書には貴重なアドバイスがたくさん含まれていますが、矛盾した情報や混乱を招く情報も含まれている可能性があります。 病院は基本に重点を置くべきです。

準拠すべき業界固有の標準がある場合がありますが、CIS ベンチマークのような標準は優れた出発点です。 の CIS ベンチマーク 単純明快で理解しやすいです。 これらは公開されており、合意に基づいて構築されているため、プロセスを確認したり、参加したりすることもできます。

プロセスの最後には、業界固有の標準に準拠していない可能性がありますが、強固な基盤があり、最も危険な構成ミスがすでに解決されていることがわかります。 そうすれば、組織で実装が求められているより複雑な標準に取り組む前に、立ち止まって一呼吸置くことができます。

Q. 医療システム向けにネットワークに接続されたデバイスの数は年々増加しており、脅威アクターはそれらを攻撃するための新しい永続的な武器を常に考案しています。 IoT デバイスのセキュリティの脆弱性に関して、現在最も懸念していることは何ですか?

A. 医療システムと、関連するシステムの相互接続について考えると、2 つの懸念があります。 1 つ目は、関連するデバイスの多様性と複雑さに関連しています。

ネットワークに接続される医療機器の数が増えると、横方向の移動のリスクが増大し、ネットワークの永続性を確保する方法が追加されます。 このような機器の多くは高価で専門的であり、場合によっては購入が制限されることもあります。 これは、この装置をテストするための研究所があまりなく、この装置を研究している研究者も多くないことを意味します。

これはまた、国民国家のような、より大きな脅威主体がここでは有利であることも意味します。

彼らは、研究者にこの機器の新しい脆弱性を発見させ、たとえば、ネットワークに接続された MRI を観察している人が Windows の脆弱性を研究している人ほど多くないという事実を利用することができます。 ここではネットワークのセグメント化が重要であり、大規模でフラットなネットワークではリスクが大幅に増加する可能性があります。

2番目の懸念は電子医療記録です。

多くの健康データにアクセスできるタブレットや携帯電話を持ち歩いている人が多すぎます。 これらのデバイスの適切なセキュリティと保護が確保されていない場合、大量のデータが漏洩する可能性があります。

このソフトウェアは医療用ハードウェアよりも入手が簡単ですが、研究者が手に入れるのが最も簡単で安価なソフトウェアというわけではなく、これらのデバイスでも十分な資金を持っている攻撃者が優位に立つことになります。

医療環境では、これらのデバイスを追跡してロックダウンすることが重要です。 誰かが私の血液検査を読み、その後アプリストアを開いてゲームをダウンロードしてプレイするという考えは、私にとって非常に心配です。

Q. 静かな第 1 四半期を経て、 Microsoft CVE が再び増加中。 今後数か月はどのように展開すると思いますか?また、これらのパッチに対応するために組織にどのようなアドバイスを提供できますか?

A. Microsoft の脆弱性は常に山あり谷ありの波があるように見えます。

今月は、いくつかのアプリケーションに関連する多数の脆弱性があったため、脆弱性が急増しました。 これらのことに備えるのは困難ですが、Microsoft は親切にもアップデートのスケジュールを設定してくれるため、組織はカレンダーを明確にしておく必要があります。

セキュリティ チームが更新を確認して優先順位を付けるために毎月第 2 火曜日を閉鎖していない場合、これは重要な変更となります。

さらに、強力な資産管理と資産在庫システムが鍵となります。

4 月のパッチ火曜日では、環境内に Microsoft SQL Server のインスタンスがデプロイされていないことがわかっているだけで除去できる 30 を超える CVE が確認されました。 これら 2 つの技術を強力な脆弱性管理プログラムと組み合わせることで、組織が今日のパッチ適用の危機に先手を打つことができます。

Q. 医療提供者は、サイバー攻撃者がリアルタイムの会話やその他の保護されたデータを悪用できる中間者攻撃の影響を受けやすくなっています。 リモートワークや WiFi ネットワークの使用が増加する中、モバイル アクセスや BYOD デバイスに依存するプロバイダーは、データ侵害につながる可能性のある MITM 攻撃をどのように検出して排除できるでしょうか?

A. 保護のレベルは実際にはプロバイダー次第です。 私は、たとえそれが BYOD であったとしても、私のデバイス全体が雇用主によって管理され、すべての管理ポリシーが展開されている状況に遭遇したことがあります。

また、ハードウェア VPN エンドポイントも与えられており、内部ネットワークに接続するにはデバイスをそこに接続する必要がありました。 これらの行動は今日では従業員から嫌われるかもしれませんが、安全な環境では実行できる行動です。

重要なのはゼロトラストの立場で運用することだと思います。

リモート従業員がアクセスできるものを制限し、外部接続ユーザーに公開されるものを必要なデータのみに制限し、あらゆる場所で多要素認証を活用します。

以前にも述べましたが、ネットワークのセグメンテーションは実際、多くの状況で役立つ重要なセキュリティ制御です。

Q. 人工知能により、社会はタスクを自動化し、パフォーマンスを向上できる可能性があります。 AI は組織が絶えず進化する脆弱性にどのように対応できるのでしょうか?

A. 現時点では、個々の組織が内部でこのテクノロジーに依存すべきではないと思います。

十分なスタッフと十分な資金を備えたセキュリティ チームは、社内で AI の利用を調査する能力を備えているかもしれませんが、これらのテクノロジーはまだ初期段階にあります。 代わりに、組織はサイバーセキュリティのベンダーや専門家を引き続き活用して最新の情報を入手する必要があります。 これらの組織は機能を拡張するためにさまざまな方法で AI を活用しているのではないかと思いますが、それは今のところさまざまなサービス プロバイダーに任せるべきです。

将来、テクノロジーがさらに合理化され、簡素化されれば、組織がそれを使用する機会が数多く生まれるでしょう。 今のところ、トピックを明確にするために ChatGPT に時折質問するだけで、ほとんどの組織のスタッフにとって十分です。

Andrea Fox は、Healthcare IT News の上級編集者です。
Eメール： [email protected]
Healthcare IT News は HIMSS Media の出版物です。