Защита от квантовых атак — даже в медицине

Согласно исследованию, проведённому экспертами компании Forescout, модернизация медицинских устройств сталкивается с серьёзными трудностями, что сделает конфиденциальные данные уязвимыми перед будущими атаками с использованием квантовых компьютеров.

Как показал анализ оборудования в пяти десятках медучреждений, лишь 6% гаджетов класса «Интернет медицинских вещей» (IoMT) и 16% устройств операционной технологии (при общем числе 2,5 млн) полагается на стандарты протокола SSH, способные поддержать переход на постквантовую криптографию (PQC). Между тем для традиционного ИТ-харда этот показатель достигает 50%.

В отчёте безопасников, опубликованном 6 октября, подчёркивается высокая зависимость сферы здравоохранения от IoMT-, OT- и IoT-электроники. Многие из позиций — например, инфузионные насосы, прикроватные мониторы, системы медицинской визуализации и лабораторное оборудование — непосредственно участвуют в процессе оказания помощи пациентам. При этом часто им свойственны длительный жизненный цикл, ограниченные возможности модернизации и медленное внедрение современных криптографических стандартов.

Вице-президент Forescout по исследованиям Дэниел дос Сантос отметил: «Наше исследование показывает, что устройства, наименее готовые к переходу, зачастую являются наиболее нужными при оказании помощи пациентам. Видимость этих активов и обрабатываемых ими данных критически важна для разработки практической стратегии миграции».

В ходе анализа эксперты выявили более 5500 систем, доступных из Сети. Среди них были платформы, содержащие конфиденциальные сведения, в том числе электронные медицинские карты (EMR) и системы архивации и передачи изображений (PACS), — и лишь 31% всего списка поддерживает протокол TLS 1.3, совместимый со стандартизированными методами PQC.

По мнению ИБ-специалистов, такие инструменты особенно уязвимы для атак типа «перехвати сейчас — расшифруй потом» (harvest now, decrypt later). Это связано с тем, что история болезни, результаты диагностической визуализации и лабораторных анализов, данные о назначениях и прочая медицинская информация сохраняют свою ценность и конфиденциальность на протяжении десятилетий — в отличие от многих других сведений.

Компания Forescout призвала вовлечённые стороны начать подготовку к атакам с использованием «квантов» уже сейчас и порекомендовала принять следующие меры:

• провести инвентаризацию и классификацию всех подключенных активов (IT, OT, IoT и IoMT), включая анализ их взаимодействия с другими системами;

• выявить системы, требующие модернизации, замены или внедрения компенсирующих мер защиты, изолируя устаревшие;

• учесть требования готовности к PQC в процессах контроля, закупок и управления рисками, в том числе обеспечить обязательное использование TLS 1.3 везде, где это возможно;

• наладить взаимодействие с поставщиками для выяснения их планов по внедрению PQC и сроков перехода на новые стандарты.

Усам Оздемиров