Freeman Health System tiene aproximadamente 8.000 dispositivos médicos conectados en 30 centros de Missouri, Oklahoma y Kansas. Muchos de estos dispositivos pueden ser letales en cualquier momento. “Este es el escenario catastrófico que todo el mundo teme”, afirma Skip Rollins, Director de Información y Director de Seguridad de la Información de la cadena hospitalaria.
Rollins espera poder escanear los dispositivos en busca de vulnerabilidades e instalar en ellos software de seguridad para asegurarse de que no puedan ser pirateados. Pero no puede.
“Los proveedores de este sector son muy poco cooperativos”, afirma. “Todos tienen sistemas operativos y herramientas patentados. No podemos escanear estos dispositivos. No podemos instalar software de seguridad en ellos. No podemos ver lo que hacen. Los proveedores los entregan así intencionadamente”.”
Los vendedores afirman que sus sistemas son irrompibles. “Dijimos: ‘Pongámoslo en el contrato’. No quisieron”.”
Esto puede deberse a que estos dispositivos pueden tener un gran número de vulnerabilidades. Según un informe publicado a principios de este año por la empresa de ciberseguridad sanitaria Cynerio, 53% de los dispositivos médicos tienen al menos una vulnerabilidad crítica. Por ejemplo, los dispositivos suelen venir con contraseñas y configuraciones predeterminadas que los atacantes pueden encontrar fácilmente en Internet, o ejecutan versiones antiguas de Windows no compatibles.
El atacante no durmió. Según un estudio de Ponemon publicado el pasado otoño, los ataques a dispositivos IoT o médicos representaron el 21% de todas las brechas sanitarias, el mismo porcentaje que los ataques de phishing.
Al igual que otros proveedores de atención sanitaria, Freeman Health Systems está intentando que los proveedores de equipos se tomen más en serio la seguridad, pero hasta ahora no lo ha conseguido. “Nuestros proveedores no colaboran con nosotros para resolver el problema”, afirma Rollins. “Se trata de su propio modelo de negocio”.”
Por lo tanto, algunos dispositivos están situados en zonas accesibles al público, otros tienen puertos USB accesibles, están conectados a la red y no abordan directamente los problemas de seguridad.
Con presupuestos ajustados, los hospitales no pueden amenazar a los proveedores con retirar los equipos antiguos y sustituirlos por otros más nuevos, aunque haya disponibles alternativas más nuevas y seguras. Por ello, Freeman Health utiliza estrategias de mitigación basadas en la red y otras soluciones para ayudar a reducir el riesgo.
“Controlamos el tráfico de entrada y salida”, explica Rollins, que utiliza la herramienta de control de tráfico de Ordr. Los cortafuegos pueden bloquear las comunicaciones con sitios sospechosos, y el movimiento lateral hacia otros sistemas del hospital está limitado por la segmentación de la red. “Pero eso no significa que el dispositivo no pueda verse comprometido porque esté atendiendo a pacientes”, dijo.
Para complicar aún más las cosas, bloquear la comunicación de estos dispositivos con otros países puede impedir que se instalen actualizaciones críticas. “No es raro que los equipos vayan a China, Corea del Sur o incluso Rusia, porque los componentes se fabrican en todas esas partes del mundo”, afirma.
Rollins dijo que no conocía ningún intento real de dañar a otras personas pirateando dispositivos médicos. “Al menos hoy en día, la mayoría de los piratas informáticos buscan un día de paga, no hacer daño a la gente”, afirmó. Sin embargo, los ataques de Estados nación como el ciberataque de SolarWinds contra dispositivos médicos pueden causar daños incalculables.
