Kuruluşlar, COVID-19 operasyonlarını kesintiye uğratmadan önce bile değişen müşteri beklentilerini karşılamak için dijital dönüşüm girişimlerini hızlandırdı. Kuruluşlar elektronik sağlık kayıtları ve ilaç keşfine yardımcı olmak için yapay zekayı kullanma gibi bir dizi dijital sağlık çözümünü hızla geliştirip benimsediğinden, bu değişimi özellikle benimseyen bir sektör sağlık sektörüdür.
Siber güvenlik şirketi Sasa Software’de sağlık ürünleri yönetimi direktörü Guy Becker, sağlık hizmetinin “COVID’nin başlamasından çok önce çok sayıda farklı ad ve yaklaşım altında dijitalleşme ile ilerleyen bir sektör” olduğunu söylüyor. Bununla birlikte, bu hızlı dijitalleşme aynı zamanda sağlık sektörüne yönelik suç niteliğindeki siber saldırılarda da keskin bir artışa neden oldu.
Check Point, Kasım ve Aralık 2020 arasında kuruluşlara yönelik saldırılarda küresel bir artış bildirdi. Rapor, Doğu Asya’da %137, Latin Amerika’da %112, Avrupa’da %67 ve Kuzey Amerika sağlık kuruluşlarında %37 artış gösterdi. . Son yıllarda sağlık sektöründe bilgisayar virüsü bulaşmaları, fidye yazılımları ve hasta verilerinin çalınması ve yayınlanması gibi siber güvenlik olaylarında çarpıcı bir artış oldu.
Özellikle taranan tıbbi belgelerin ve diğer sağlık hizmetleri görüntülerinin genellikle hassas veriler içerdiğini düşündüğünüzde, gerçek bugün daha da acımasız. NTT Research, bu durumu ve diğerlerini ele almak için öznitelik tabanlı şifrelemeyi (ABE) kullanmanın yollarını bulmak için yakın zamanda bir hackathon düzenledi.
Jean-Philippe Cabay, “Röntgenler ve BT taramaları dahil olmak üzere tıbbi görüntülerde depolanan meta veriler, hasta adları, fotoğraflanan vücut bölümleri ve ilgili tıp merkezleri veya doktorlar gibi gizli bilgileri ifşa edebilir ve bu da hastanın kimliğinin belirlenmesine yol açabilir” diye açıklıyor. Ekibi hackathon’u kazanan Belçika’daki NTT Global. “Öznitelik tabanlı şifreleme, yalnızca uygun özniteliklere sahip yetkili kullanıcıların tıbbi görüntülere erişebilmesini sağlayarak onları güvenli ve gizli tutuyor.”
Sağlık Görüntüleme Verileri Bir Hacker’ın Altın Madenidir
Becker’e göre hastaneler ve sağlık kuruluşları, tıpta dijital görüntüleme ve iletişim (DICOM) dosyalarını korumak için çalışıyor. Bu gelişme, çeşitli faktörlerin bir araya gelmesinin bir sonucudur: yüksek değeri (Dark Web’deki kredi kartı verilerinden en az 10 kat daha değerli) ve geleneksel olarak zayıf güvenlik duruşu nedeniyle sağlık hizmetlerine yönelik artan saldırılar; hükümetler ve AB tarafından artan sağlık güvenliği talebi; COVID nedeniyle uzaktan sağlık hizmetlerine artan ihtiyaç; ve hizmetleri düzene sokmak ve dijitalleştirmek için genel bir dijital dönüşüm eğilimi.
Ek olarak, potansiyel olarak kötü amaçlı görüntüleme dosyalarının sunduğu güvenlik açığı, artan güvenlik açığı tıbbi cihazlar riskiyle daha da artar. Örneğin, hastane ağında çalışan görüntüleme makineleri, onlara bakan teknisyenlerin ve mühendislerin bilgisi olmadan tehlikeye girebilir. Bu tür bir uzlaşma, kötü amaçlı kodun klinik verilere enjekte edilmesine ve bir hastanenin ağına yayılmasına yol açabilir. Görüntüleme klinikleri ve tıp merkezlerinin genellikle görüntüleme verilerini aktarması gerektiğinden, bu tür işlemlerin ihlali, hassas hasta verilerini açığa çıkarabilir ve bunun yıkıcı sonuçları olabilir.
Becker, hassas görüntüleme ağlarının korunmasının önerilen standart önlemlerle başladığını söylüyor: ağ segmentasyonu, zamanında yedeklemeler, sistemlerin ve uygulamaların sık sık güncellenmesi, gelişmiş izinsiz giriş tespit ve önleme sistemlerinin kullanımı ve düzenli çalışan eğitimi ve eğitimi.
Bu önlemlerden bazıları sağlık kuruluşları için özel zorluklar oluşturmaktadır. Sağlık sistemleri 7/24 çevrimiçi olmalıdır, bu da sık sık güncelleme – ve yeniden başlatma veya makineleri çevrimdışı duruma getirme – karşılanması imkansız bir gereksinim haline getirir. Becker, personel uyumluluğunu sıklıkla minimum klinik gerekliliğe indiren kronik yetersiz personel, siber güvenlik gibi sağlık hizmetleriyle ilgili olmayan taleplerin çok uzak bir ikinci konuma itilmesi anlamına geliyor, diyor.
Ancak yakın zamanda sonuçlanan hackathon’da NTT Research, Belçika ekibinin görüntüleri korumak için ABE’nin “çığır açan bir uygulamasını” başarıyla gösterdiğini söyledi. ABE, 2005 yılında NTT’nin Kriptografi ve Bilgi Güvenliği (CIS) Laboratuvarı Direktörü Brent Waters ve UCLA’da bilgisayar bilimi profesörü Amit Sahai tarafından yayınlanan bir makalede tanıtıldı. Kullanıcıların politikalarına ve özniteliklerine (neye sahip olduklarından ziyade kullanıcının kim olduğuna) dayalı olarak veri paylaşımına izin veren bir tür açık anahtarlı şifrelemedir.
DICOM Görüntülerini ABE ile Koruma
Temel olarak, ABE’nin yaptığı, belirli özelliklere dayalı olarak verilere kimlerin erişebileceğini belirlemektir. ABE, rol tabanlı şifrelemeyi içerik tabanlı erişim ve çok yetkili erişim ile birleştirir. İçerik tabanlı erişim için ABE, yalnızca verilere kimin erişeceğini değil, aynı zamanda hangi belirli verilere erişmelerine izin verildiğini de belirler. Bu nedenle, bir radyolog BT taramasına erişebilir ancak hasta kimliğine erişemezken, bir kayıt memuru kimliğe erişebilir ancak görüntülemeye erişemez. Bir hasta bir uzmanla görüştüğünde çok yetkili erişim devreye girebilir – birinci basamak hekimi, bir hastanın tıbbi geçmişini görüntülemek için uzmanlık kimlik bilgilerini verebilirken, bir ruhsatlandırma kurulu, bu geçmişe not yazmalarına izin veren kimlik bilgilerini oluşturur; uzmanın tüm hasta kaydına erişmek için her iki kimlik bilgisine de ihtiyacı olacaktır.
Kazanan takımın üç bölümlük demosu, bir grafik nesnenin algılanıp etiketlenmesini içeriyordu; görüntülerin şifrelenmesi ve etiketler ile ABE politikaları arasında eşlenmesi; ve nesneleri, meta verileri ve bulanık görüntüleri bir veritabanında depolamak. Cabay’ın ortak yazarı, NTT kıdemli yazılım mühendisi Pascal Mathis, projelerinin görüntüleri aktarmak için bir ayıklama, aktarma yükü (ETL) boru hattı kullandığını söyledi.
Mathis ayrıca, yapay zeka bileşeninin ve şifreleme motorunun, veritabanına yalnızca şifrelenmiş verileri gönderen bir uç cihazda bulunduğunu açıkladı. Cabay, projelerinin ABE’nin sağlık hizmetlerinde görüntüleri şifrelemeye nasıl yardımcı olabileceğini gösterdiğini söylüyor, “erişim o kadar kilitli ki, veritabanı yöneticisi bile yalnızca bulanık noktalara ve şifrelenmiş bilgilere sahip görüntüleri görüyor.”
Philips, GE ve Sectra gibi diğer büyük resim arşivleme ve iletişim sistemleri (PACS) sağlayıcıları, bulut tabanlı sistemlere genel geçişin ve gelişmiş bir güvenliğin parçası olarak görüntüleme iş akışının sayısallaştırılması ve artırılmış otomasyonu için çözümler geliştiriyor. duruş. Bu sistemler, yerel uçtan uca şifreleme ve bulut ortamlarına özgü güçlü yedekleme ve ihlal önleme özelliklerine sahiptir. Ancak Becker, DICOM verilerinin kendisinin incelenmediğini ve kötü amaçlı içerik barındırıyor olabileceğini belirtiyor.
“EDR’ler, XDR’ler ve MDR’ler gibi standart algılama tabanlı ağ güvenliği araçları şu anda DICOM görüntüleme verilerini tarama ve dezenfekte etme becerisine sahip değil” diyor. “Bizi, sağlık hizmeti ortaklarımızla birlikte gerçek DICOM veri akışının kendisini saflaştıran bir görüntüleme ağ geçidi geliştirmeye iten de bu güvenlik açığıydı.”
Sağlık hizmetleri daha fazla verimlilik için teknolojiye giderek daha fazla bağımlı hale geldikçe, sağlık sektörü liderleri, sağlık hizmetleri ağına risk oluşturmadan görüntüleme çalışmalarının hastane PACS’sine güvenli uzaktan iletimini sağlayan araçları kullanmaya öncelik vermelidir.