保护IoMT：互联医疗设备安全最佳实践
狮子老虎熊——哦我的天！
初抵陌生风景《绿野仙踪》中，Dorothy感叹：“Toto，我觉得我们不在堪萨斯了。”飞天猴、缺器官伙伴、快乐芒奇金人、怕水女巫很快成为她新常态。
对我们而言，新常态涉及互联医疗设备和虚拟护理模式加速采用——“医疗物联网”或IoMT，Deloitte定义为“医疗设备、软件应用、健康系统和服务的连接基础设施”。
全球医疗设备需求巨大——来自个人消费者和医疗服务提供商。美国市场2019年估计1608亿美元，预计2020年达1760亿美元。同时，Fior Markets研究报告预期全球医疗设备连接市场从2019年16.3亿美元增至2027年87.6亿美元。
它活了！
另一著名故事中，Victor Frankenstein男爵用简单缝合拼凑生物各体件，用19世纪版电休克疗法激活。21世纪技术虽未达此能力，但移植、再植、假肢、植入体——许多“智能”（即联网）或用增材制造3D打印工具制造——已不罕见。
因此，IoMT代表比其他物联网应用更个人化的网络物理融合——它们进入我们亲密物理“信任区”。若设备或制造过程受损，患者安全隐私受影响。此潜在风险引发对伦理使用、保护隐私网络安全、设备核心性能技术能力的担忧。
有效管理IoMT基础设施需考量众多常自主运行的环节：
- 制造过程质量控制
- 多设备存储医疗信息互操作性
- 依赖云存储和软件平台
- 监控网络通信
- 满足医疗专业人员期望
IoMT日益融入生活肌理。将数据隐私、设备完整性、网络韧性内嵌医疗设备设计制造至关重要。
你要找谁？
《捉鬼敢死队》古怪科学家用超心理学技巧寻找不速幽灵。医疗设备制造商标准指南1涉及协作、质量问题、风险安全管理、用例场景，列述识别消除医疗设备意外“幽灵”行为的实践。这有助于加强对设备“按设计”和“按制造”性能的控制（即使对“按使用”控制更难捉摸）。
国际医疗器械监管机构论坛（IMDRF）自愿组织，组建医疗器械网络安全工作组，2020年3月发布《医疗器械网络安全原则与实践》。
该文件不涉及企业内部网络安全，但论述医疗器械制造商在全产品生命周期（TPLC）设计开发、制造、测试、支持/上市后监测阶段，增强产品网络安全韧性、修复漏洞、缓解风险的责任。其对制造商建议包括制定TPLC网络安全管理计划，解决：
- 态势感知
- 漏洞披露
- 更新修复
- 恢复
- 制造商持续关注披露漏洞并分享其发现的证据
一种特别有用的风险管理技术是威胁建模。开放Web应用安全项目（OWASP）建议制造商设计开发阶段问四个问题：
- 我们在构建什么？
- 可能出什么错（如如何被攻击）？
- 我们打算怎么应对？
- 我们做得够好吗？
从定义性能要求到交付服务及退役，全TPLC规划构建网络安全韧性，将产出值得信赖的产品。
它们来了！
《鬼入侵》探讨商业逐利活动无视伦理人文关怀、走捷径导致意外后果和附带损害。利益相关者社区协作倡议，防止医疗器械制造业此类中断，该领域属总统政策指令21（PPD-21）确定的16关键基础设施部门中两个：医疗卫生公共卫生、关键制造。此外，2015年美国国会通过《2015网络安全法案》（CSA），含要求协调医疗行业安全方法。
医疗公共部门协调委员会联合网络安全工作组，作为美卫生公共服务部公私伙伴关系，列出医疗器械制造商技术最佳实践：
- 最小化攻击面
- 建立安全默认配置
- 维护审计问责
- 遵循最小权限、职责分离、纵深防御原则
- 安全失效
- 保持安全简化、正确修复安全问题
凡研读过NIST SP 800-171安全控制要求者，将在上述最佳实践摘要中识别出其14控制家族要素。它们经过验证——是知情信任而非盲目信任的基础。
无论防止灾难性捷径、遏制恶意幽灵（或松鼠)、还是缝合多节点设备方案，医疗设备方面我们身处新常态。幸运的是，我们能迈向与技术更安全、更深度觉知的关系。只需深入IoMT电影剧本，理解组成部分、交互方式、规避事故。
本博客为国家网络安全意识月（NCSAM）系列之一。系列其他博客包括Celia Paulsen《建立安全文化》、Zane Patalive《连接即保护》、Pat Toth《可疑之心：您的企业可能被黑客入侵的非技术迹象》及Erik Fogleman和Jeff Orszak《连接设备的未来》。
1 示例：医疗信息促进协会（AAMI） - https://www.aami.org/medical-device-manufacturer；食品药品监督管理局 - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance；国际电工委员会（IEC） - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm；国际标准化组织（ISO） - https://www.iso.org/iso-13485-medical-devices.html；保险商实验室（UL） - https://www.ul.com/resources/healthcare-standards-directory
工业技术