Protección de IoMT: Mejores Prácticas para Asegurar Dispositivos Médicos Conectados a Internet

Leones, Tigres y Osos — ¡Oh My!

A su llegada a un paisaje desconocido en El Mago de Oz, Dorothy observó: "Toto, tengo la sensación de que ya no estamos en Kansas". Encuentros con monos voladores, compañeros con deficiencias orgánicas, munchkins alegres y una bruja adversa al agua pronto se convirtieron en su nueva normalidad.

Para nosotros, la nueva normalidad implica la adopción acelerada de dispositivos médicos conectados a internet y modelos de atención virtual — el "internet de las cosas médicas" o IoMT, que Deloitte define como una "infraestructura conectada de dispositivos médicos, aplicaciones de software, y sistemas y servicios de salud".

La demanda global de dispositivos médicos — tanto de consumidores individuales como de proveedores de salud — es enorme. En EE. UU., ese mercado se estimó en $160.8 mil millones en 2019 y se prevé que alcance $176 mil millones en 2020. Mientras tanto, un informe publicado por la firma de investigación Fior Markets esperaba crecimiento en el mercado global de conectividad de dispositivos médicos de $1.63 mil millones en 2019 a $8.76 mil millones en 2027.

¡Está Vivo!

En otra historia famosa, el Barón Victor Frankenstein, el doctor loco de Mary Shelley, usó técnicas simples de costura para unir las diversas partes del cuerpo de su criatura, que luego activó con la versión del siglo XIX de la terapia electroconvulsiva. La tecnología en el siglo XXI aún no ha logrado esta capacidad, aunque trasplantes, reimplantes, prótesis e implantes — muchos de los cuales son "inteligentes" (es decir, conectados) o fabricados usando manufactura aditiva e impresión 3D — no son infrecuentes.

Debido a esto, IoMT representa un aspecto más personal de la convergencia ciber-física que el visto en otras aplicaciones de IoT — entran en nuestra íntima "zona de confianza" física. La seguridad y privacidad del paciente pueden verse afectadas si un dispositivo o el proceso de fabricación de un dispositivo se ve comprometido. Tal potencial ha generado preocupaciones sobre el uso ético y la capacidad técnica para proteger la privacidad, la ciberseguridad y el rendimiento esencial del dispositivo.

Gestionar la infraestructura IoMT efectivamente requiere considerar muchas partes móviles, a menudo autónomas, incluyendo:

• Control de calidad en el proceso de fabricación.
• Interoperabilidad de información médica almacenada en múltiples dispositivos.
• Dependencia de almacenamiento en la nube y plataforma de software.
• Monitoreo de comunicaciones de red.
• Cumplimiento de expectativas de profesionales médicos.

IoMT es cada vez más parte de nuestra tela de vida. Integrar privacidad de datos, integridad de dispositivos y resiliencia cibernética en el diseño y fabricación de dispositivos y equipos médicos es esencial.

¿A Quién Vas a Llamar?

Los científicos excéntricos de Los Cazafantasmas usaron trucos parapsicológicos para detectar espectros no deseados. Estándares y directrices¹ para fabricantes de dispositivos médicos abordan colaboración, problemas de calidad, gestión de riesgos y seguridad, escenarios de casos de uso, y describen prácticas para identificar y erradicar cualquier comportamiento "fantasmal" inesperado en dispositivos médicos. Esto ayuda a mejorar el control sobre el rendimiento del dispositivo "como diseñado" y "como construido" (incluso si el control sobre dispositivos "como usados" es más elusivo).

El Foro Internacional de Reguladores de Dispositivos Médicos (IMDRF), una organización voluntaria, formó un Grupo de Trabajo de Ciberseguridad de Dispositivos Médicos, que publicó sus "Principios y Prácticas para la Ciberseguridad de Dispositivos Médicos" en marzo de 2020.

Este documento no aborda la ciberseguridad dentro de la empresa en sí, pero discute la responsabilidad de los fabricantes de dispositivos médicos para mejorar la resiliencia de ciberseguridad del producto, remediar vulnerabilidades y mitigar riesgos a través de las etapas de diseño/desarrollo, fabricación, prueba y soporte/monitoreo post-mercado del ciclo de vida total del producto (TPLC). Sus recomendaciones para fabricantes incluyen el desarrollo de un plan de gestión de ciberseguridad TPLC para abordar lo siguiente:

• Conciencia situacional.
• Divulgación de vulnerabilidades.
• Actualizaciones y remediación.
• Recuperación.
• Evidencia de que el fabricante se mantiene informado sobre vulnerabilidades divulgadas y comparte las que ha identificado.

Una técnica de gestión de riesgos en particular que puede ser útil es el modelado de amenazas. El Open Web Application Security Project (OWASP) recomienda que los fabricantes se hagan las siguientes cuatro preguntas durante el diseño y desarrollo:

1. ¿Qué estamos construyendo?
2. ¿Qué puede salir mal (ej. cómo podría ser atacado)?
3. ¿Qué vamos a hacer al respecto?
4. ¿Hicimos un trabajo lo suficientemente bueno?

Planificar e integrar resiliencia de ciberseguridad en dispositivos médicos a lo largo del TPLC, desde la definición de requisitos de rendimiento hasta la entrega en — y retiro del — servicio, resultará en productos que merecen nuestra confianza.

¡Están Aquiiiii!

Poltergeist explora las disrupciones creadas cuando actividades comerciales basadas en ganancias ignoran preocupaciones éticas y humanistas y toman atajos que llevan a consecuencias no intencionadas y daños colaterales. La comunidad de partes interesadas ha colaborado en una iniciativa para prevenir tales disrupciones en el sector de fabricación de dispositivos médicos, que cae bajo dos de los 16 sectores de infraestructura crítica identificados en la Directiva Presidencial 21 (PPD-21): salud y atención pública, y manufactura crítica. Además, en 2015, el Congreso de EE. UU. aprobó la Ley de Ciberseguridad de 2015 (CSA), que incluye requisitos para alinear enfoques de seguridad de la industria de la salud.

El Grupo de Trabajo Conjunto de Ciberseguridad del Consejo Coordinador de Salud y Sector Público, una asociación público-privada con el Departamento de Salud y Servicios Humanos de EE. UU., enumera mejores prácticas técnicas para fabricantes de dispositivos médicos incluyendo:

• Minimizar superficies de ataque.
• Establecer valores predeterminados y configuraciones seguras.
• Mantener auditoría y rendición de cuentas.
• Seguir principios de menor privilegio, separación de funciones y defensa en profundidad.
• Fallar de forma segura.
• Mantener la seguridad simple y corregir problemas de seguridad correctamente.

Cualquiera que haya trabajado a través de los requisitos de control de seguridad NIST SP 800-171 reconocerá elementos de sus 14 familias de control capturados en el resumen anterior de mejores prácticas. Son probados y verdaderos — y fundamentales para una confianza informada en lugar de ciega.

Ya sea previniendo atajos desastrosos, conteniendo fantasmas maliciosos (o ardillas), o cosiendo una solución de dispositivo multi-nodo, con respecto a dispositivos médicos estamos en una nueva normalidad. Afortunadamente, podemos movernos a una relación más segura y profundamente consciente con la tecnología. Solo necesitamos profundizar más en el guión de la película IoMT para entender las partes componentes, cómo interactúan y cómo evitar percances.

Este blog es parte de una serie publicada para el Mes Nacional de Concientización sobre Ciberseguridad (NCSAM). Otros blogs en la serie incluyen Crear una Cultura de Seguridad por Celia Paulsen, Si Lo Conectas, Protégelo por Zane Patalive, Mentes Sospechosas: Señales No Técnicas de que su Negocio Podría Haber Sido Hackeado por Pat Toth y El Futuro de los Dispositivos Conectados por Erik Fogleman y Jeff Orszak.

^{1 Ejemplos: Asociación para el Avance de la Instrumentación Médica (AAMI) - https://www.aami.org/medical-device-manufacturer; Administración de Alimentos y Medicamentos - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance; Comisión Electrotécnica Internacional (IEC) - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm; Organización Internacional de Normalización (ISO) - https://www.iso.org/iso-13485-medical-devices.html; Underwriters Laboratories (UL) - https://www.ul.com/resources/healthcare-standards-directory}