Der im März 2023 angekündigten nationalen Cybersicherheitsstrategie der USA schlossen sich im Laufe des Jahres mehrere weitere Regulierungs- und Gesetzgebungsinitiativen an, die große Auswirkungen auf die Sicherheit des Internets der medizinischen Dinge (IoMT) im Jahr 2024 und darüber hinaus haben werden. Während diese Initiativen voranschreiten, gibt es auch einen bewährten Fahrplan für die Erfüllung ihrer neuen und sich weiterentwickelnden Compliance-Anforderungen, damit medizinische Geräte nicht nur sicher, sondern auch geschützt sind.
Die Bedrohungsfläche wächst
Die Weltgesundheitsorganisation (WHO) schätzt, dass es 2 Millionen Arten medizinischer Geräte gibt, die zunehmend Software zur Signalverarbeitung, Datenvisualisierung und anderen Funktionen sowie drahtlose Verbindungen zur Datenübertragung und Gerätesteuerung nutzen. Beispielsweise könnte eine ungeschützte Infusionspumpe vertrauliche Informationen an einen Hacker weitergeben, und einige Insulinpumpen ermöglichen es Angreifern möglicherweise sogar, aus der Ferne die Kontrolle über die Dosisabgabe zu übernehmen.
Eine im November 2023 in der Zeitschrift Nature veröffentlichte Studie ergab, dass von nationalen Gesundheitsdiensten weltweit gekaufte Medizinprodukte fast 700 Schwachstellen aufweisen, von denen mehr als die Hälfte als „kritisch“ oder „hochgradig schwerwiegend“ eingestuft sind. Es dauert so lange, diese Schwachstellen zu entdecken, dass selbst wenn Patches sofort nach Entdeckung und Bekanntgabe der Schwachstelle angewendet würden, schätzungsweise zwischen dem Kauf des Geräts und der Anwendung des Patches immer noch etwa 3,2 Jahre Systemgefährdung vergangen wären .
Dies gilt für alle Geräteklassen, einschließlich der Hochrisikogeräte IIB und III. Die Studie verglich außerdem die Schwächen vernetzter medizinischer Geräte mit denen von IoT-Produkten auf dem breiteren Markt und kam zu dem Schluss, dass diese ebenso anfällig sind wie intelligente Glühbirnen und Lautsprecher.
Eine Kaskade von Initiativen
Die US-amerikanische Nationale Cybersicherheitsstrategie betonte zwei Hauptlösungen im allgemeinen Kampf gegen Cyberbedrohungen: Entlastung der Endbenutzer von der Last des Risikomanagements und bessere Anreize für die Entscheidungsfindung, damit der Cyberspace langfristig widerstandsfähig und verteidigbar ist. Die Ankündigung des National Cybersecurity Strategy Implementation Plan (NCSIP) im Juli folgte auf die neuen Cybersicherheitsanforderungen der FDA Ende 2022 (abgeschlossen im September 2023) und auf die Veröffentlichung des ANSI/AAMI SW96:2023-Standards für die Sicherheit medizinischer Geräte im April. Mit diesen Entwicklungen hatte die FDA nun die gesetzliche Befugnis, zu verlangen, dass zufriedenstellende Cybersicherheitsmaßnahmen in medizinische Geräte integriert werden, bevor sie auf den Markt kommen. Im November hat die Agentur außerdem den neuen ANSI/AAMI-Standard vollständig unterstützt.
Als nächstes folgte im August 2023 das NIST Cybersecurity Framework (NCF) 2.0, das sich auf Verbesserungen in den Bereichen Authentifizierung, Identitätsmanagement, Cybersicherheits-Risikomanagement, Lieferketten-Risikomanagement und Offenlegung von Schwachstellen konzentriert – allesamt von hoher Relevanz für anfällige vernetzte medizinische Geräte. In seinem NCF-Konzeptpapier verwies NIST auch auf ein Projekt des National Cybersecurity Centre of Excellence (NCCoE) mit dem Titel „Trusted IoT Device Network-Layer Onboarding and Lifecycle Management“, das die Bereitstellung von Anmeldeinformationen für eine sichere Netzwerkverbindung untersuchen wird. Dies erfordert ein vertrauenswürdiges Onboarding auf Netzwerkebene, „in Kombination mit zusätzlichen Gerätesicherheitsfunktionen wie Gerätebescheinigung, Onboarding auf Anwendungsebene, sicherem Lebenszyklusmanagement und Durchsetzung von Geräteabsichten könnte die Sicherheit von Netzwerken und IoT-Geräten verbessert werden.“
Ebenfalls im August kündigte die Biden-Harris-Administration ein Cybersicherheitskennzeichnungsprogramm für Geräte des Internets der Dinge (IoT) an, um Verbrauchern dabei zu helfen, informierte Einkäufe unter Berücksichtigung der Sicherheit zu tätigen. Und schließlich wurde im Dezember die Strategie des US-Gesundheitsministeriums für die Cybersicherheit im Gesundheitswesen vorgestellt, die Elemente der neuen FDA-Befugnis über Sicherheitsanforderungen für medizinische Geräte bekräftigt.
Wiederkehrende Themen
Zu den wichtigsten wiederkehrenden Themen dieser Initiativen für medizinische Geräte gehören Standardisierung, IoT-Sicherheit und mehrschichtige „Sicherheit durch Design“.
Das Streben nach Standards ist eine der obersten Prioritäten des NCSIP und ein Schlüsselelement der neuen Befugnis der FDA, Sicherheitsanforderungen für Medizinprodukte für Hersteller festzulegen. Die Billigung von ANSI/AAMI SW96:2023 durch die FDA verleiht dem ersten Konsensstandard, der spezifische Anforderungen für das Sicherheitsmanagement über den gesamten Lebenszyklus eines medizinischen Geräts stellt, Schwung.
IoT-Sicherheit ist ebenfalls ein Schlüsselelement dieser Initiativen, beginnend mit der Festlegung einer Nationalen Cybersicherheitsstrategie, dass „Verbraucher in der Lage sein werden, den Cybersicherheitsschutz verschiedener IoT-Produkte zu vergleichen und so einen Marktanreiz für mehr Sicherheit im gesamten IoT-Ökosystem zu schaffen.“ .“ Das IoT-Gerätesicherheitsprojekt des NIST NCF 2.0-Frameworks ist eine weitere Initiative, die man im Auge behalten sollte, und Beobachter der Gesundheitsbranche gehen bereits davon aus, dass das bundesstaatliche IoT-Kennzeichnungsprogramm ausgeweitet und auf IoMT-Geräte angewendet werden könnte.
Bemerkenswert ist auch die immer wiederkehrende Betonung der mehrschichtigen Sicherheit durch Design, mit Beispielen sowohl im NCSIP- als auch im ANSI/AAMI-Standard. Das NCSIP konzentriert sich auf den Schutz kritischer Infrastrukturen, indem unter anderem sichergestellt wird, dass Software und Hardware „sicher durch Design“ sind, was die US-amerikanische Cybersecurity and Infrastructure Security Agency (CISA) als „konzipiert mit der Sicherheit der Kunden als zentralem Geschäftsziel“ definiert , nicht nur ein technisches Feature.“ Um dieses Konzept zu verstärken, schreibt der ANSI/AAMI-Standard die Verwendung von mehr als einer Methode vor, um sicherzustellen, dass Geräte und Systeme geschützt sind.
Eine bewährte Roadmap
Lösungen, die diese Themen verkörpern, wurden bereits umgesetzt. Eines der besten Beispiele sind die ersten von der FDA zugelassenen AID-Systeme (Automated Insulin Delivery), die erfordern, dass Insulinpumpen gemäß den IEEE 2621-Zertifizierungsanforderungen immer an einen kontinuierlichen Glukosemonitor (CGM) angeschlossen sein müssen. Es sind jetzt Software Development Kits (SDKs) erhältlich, die IEEE 2621-konforme Sicherheitsgarantien direkt in marktführende AID-Systeme einbetten und so den Wert eines standardbasierten Ansatzes zum Schutz drahtloser Verbindungen vor Cybersicherheitsbedrohungen beweisen. Sie bieten auch eine Roadmap für die Anwendung eines mehrschichtigen Security-by-Design-Ansatzes für die Verbindung und den Schutz anderer medizinischer Geräte, die über das Smartphone eines Benutzers gesteuert werden.
Dieser Ansatz umfasst typischerweise drei wichtige Sicherheitsebenen. Die erste ist die Sicherheit auf Anwendungsebene, um den gesamten Kommunikationskanal zwischen der Smartphone-App, dem medizinischen Gerät und der Cloud vor vielen Arten von Malware und Cybersicherheitsangriffen über drahtlose Kanäle zu schützen. Heutige Bluetooth-, Wi-Fi- und andere Kommunikationsprotokolle mindern einige, aber nicht alle Bedrohungen, die diesen Kommunikationsverbindungen innewohnen. Es sind zusätzliche Maßnahmen erforderlich, um alle Kommunikationskanäle vollständig zu schützen, damit Hacker nicht auf Daten zugreifen oder die Kontrolle übernehmen können.
Die zweite Schicht bringt durch Authentifizierung Vertrauen in alle Systemelemente. Es muss verhindert werden, dass Hacker „Root-Zugriff“ auf Privilegien erlangen, die es ihnen ermöglichen, Schaden anzurichten. Durch die Authentifizierung wird die Integrität des Benutzers, der Smartphone-App, der Cloud, der Verbrauchsmaterialien und aller zugehörigen Geräte validiert, die mit dem Kommunikationssystem der Lösung verbunden sind. Es kann mit Software oder Hardware implementiert werden. Hardware-Sicherheitsmodule (HSMs) können auch im Werk für medizinische Geräte bereitgestellt werden, um sowohl dem medizinischen Gerät als auch dem Verbrauchsmaterial die kryptografischen Schlüssel und digitalen Zertifikate zu geben, die sie benötigen, um sich wie sichere Elemente (SE) im System zu verhalten.
Schließlich ist es wichtig, dass zwischen den Smartphone-Apps eines medizinischen Geräts, IoT-Geräten und der Cloud eine sichere und ständige Konnektivität besteht. Ohne diese Sicherheitsebene könnte ein Kommunikationsausfall – bei Handheld-Geräten oder Smartphones immer ein Risiko – verhindern, dass das System die neuesten Daten empfängt, sodass es den Gerätebetrieb sofort ändern kann, um den Pflegeanforderungen der Patienten gerecht zu werden. Eine Lösung ist eine Software-App, die im Hintergrund des Smartphones läuft und IoT-Gerätedaten erfasst, wann immer sich das Gerät in der Nähe des Smartphones befindet. Ein zweiter Ansatz besteht darin, zusätzliche „Brücken“-Hardware zu verwenden, die mit dem tragbaren Gerät und der Cloud kommuniziert und entweder für den kontinuierlichen Betrieb oder für die Verwendung nur dann konfiguriert werden kann, wenn der primäre IoT-zu-Cloud-Pfad nicht verfügbar ist.
2023 war ein arbeitsreiches Jahr für die Sicherheit der Gesundheitsbranche und insbesondere für Initiativen, die sich auf vernetzte medizinische Geräte konzentrieren. Es gibt eine wachsende und koordinierte Dynamik hinter dem Ziel, sicherzustellen, dass diese Geräte das Leben der Menschen verbessern, ohne sie Cybersicherheitsbedrohungen und damit verbundenen Sicherheitsrisiken auszusetzen. Es gibt auch ein bewährtes Playbook für die Umsetzung der vielschichtigen Security-by-Design-Strategien, die diese Initiativen befürworten.
Foto: Traitov, Getty Images
