Placówki ochrony zdrowia nie są wystarczająco przygotowane na zagrożenia związane z rozwojem komputerów kwantowych. Z raportu firmy Forescout wynika, że zaledwie 6% urządzeń Internetu Rzeczy Medycznych (IoMT) korzysta z implementacji protokołu SSH obsługujących kryptografię postkwantową. Eksperci ostrzegają, że rozwój tej technologii może w przyszłości umożliwić przełamywanie obecnych zabezpieczeń i narazić na ujawnienie poufne dane pacjentów. Szczególnie zagrożone są informacje medyczne, które wymagają wieloletniej ochrony.
Z tego artykułu dowiesz się…
- Dlaczego rozwój komputerów kwantowych może zagrozić bezpieczeństwu danych pacjentów.
- Jakie luki w przygotowaniu urządzeń medycznych do kryptografii postkwantowej wykazał raport Forescout.
- Które rodzaje danych medycznych są najbardziej narażone na przyszłe cyberataki.
- Jakie działania powinny podjąć placówki ochrony zdrowia, aby przygotować swoją infrastrukturę informatyczną.
Urządzenia medyczne słabo przygotowane na kryptografię postkwantową
Raport Forescout „Exploring Today’s Security Threats in Healthcare and the Challenges of PQC Migration” wskazuje na znaczne różnice w przygotowaniu infrastruktury informatycznej placówek medycznych do wdrażania kryptografii postkwantowej (Post-Quantum Cryptography, PQC).
Według analizy obsługę PQC w implementacjach protokołu SSH zapewnia obecnie:
- 6% urządzeń IoMT (Internet of Medical Things), czyli podłączonych do sieci urządzeń medycznych;
- 16% urządzeń OT (Operational Technology), wykorzystywanych do obsługi infrastruktury technicznej;
- 50% urządzeń IT, stanowiących tradycyjną infrastrukturę informatyczną.
Największe trudności dotyczą urządzeń specjalistycznych, których oprogramowanie i mechanizmy bezpieczeństwa nie zawsze można łatwo zaktualizować. Część z nich odgrywa ważną rolę w diagnostyce, monitorowaniu stanu pacjentów i prowadzeniu terapii.
Ponad 5500 systemów informatycznych ochrony zdrowia dostępnych przez internet
Autorzy raportu Forescout zidentyfikowali ponad 5500 systemów informatycznych wykorzystywanych w ochronie zdrowia, do których można nawiązać połączenie przez internet. Są wśród nich systemy służące do prowadzenia elektronicznej dokumentacji medycznej oraz przechowywania i udostępniania obrazów diagnostycznych. Ich dostępność z sieci publicznej może zwiększać ryzyko cyberataków, dlatego szczególnie ważne jest stosowanie odpowiednich zabezpieczeń.
Jedynie 31% analizowanych systemów obsługuje protokół TLS 1.3, czyli jedyną wersję TLS umożliwiającą wykorzystanie standaryzowanej kryptografii postkwantowej. Sama obsługa TLS 1.3 nie świadczy jednak o wdrożeniu zabezpieczeń postkwantowych. Jest technicznym warunkiem umożliwiającym zastosowanie odpowiednich mechanizmów kryptograficznych.
Cyberprzestępcy mogą przechwytywać dane już dziś
Jednym z zagrożeń opisanych przez Forescout jest strategia harvest now, decrypt later (HNDL), polegająca na przechwytywaniu zaszyfrowanych informacji z zamiarem ich odszyfrowania w przyszłości.
Obecnie praktyczne komputery kwantowe zdolne do przełamywania powszechnie stosowanych zabezpieczeń kryptograficznych na dużą skalę nie są dostępne. Ich dalszy rozwój może jednak zagrozić metodom wykorzystującym algorytmy RSA i kryptografię krzywych eliptycznych (ECC).
W ochronie zdrowia ryzyko jest szczególne, ponieważ dokumentacja medyczna zawiera informacje, które wymagają zachowania poufności przez wiele lat. Forescout wskazuje pięć kategorii danych najbardziej narażonych na przyszłe zagrożenia kwantowe:
- Elektroniczna dokumentacja medyczna.
- Obrazy z badań diagnostycznych.
- Wyniki badań laboratoryjnych.
- Informacje o lekach i receptach.
- Dane finansowe i płatnicze.
Największe ryzyko dotyczy informacji przesyłanych przez sieci zewnętrzne, połączenia z partnerami, systemy zdalnego dostępu oraz aplikacje chmurowe, szczególnie gdy ich poufność musi zostać zachowana przez długi czas.
Szpitale potrzebują planu migracji do kryptografii postkwantowej
Forescout zaznacza, że przygotowanie placówek medycznych do nowych zagrożeń nie może ograniczać się do aktualizacji pojedynczych urządzeń czy protokołów komunikacyjnych. Konieczne jest ustalenie, które elementy infrastruktury można dostosować do nowych standardów, wymagających wymiany oraz jakie dane są przez nie przetwarzane i chronione.
Autorzy proponują etapowe działania rozłożone na okres 6, 12 oraz ponad 24 miesięcy. Obejmują one identyfikację zagrożeń, ustalenie priorytetów dla systemów dostępnych z internetu, modernizację infrastruktury oraz długoterminowe przygotowanie do wdrażania PQC.
Czym jest komputer kwantowy i dlaczego może zagrozić bezpieczeństwu danych?
Komputer kwantowy to urządzenie wykorzystujące zjawiska mechaniki kwantowej do wykonywania obliczeń. W przeciwieństwie do tradycyjnych komputerów, które przetwarzają informacje za pomocą bitów o wartości 0 lub 1, komputery kwantowe wykorzystują kubity, mogące znajdować się w superpozycji obu stanów. Dzięki temu niektóre rodzaje obliczeń mogą wykonywać znacznie szybciej niż klasyczne komputery.
Rozwój tej technologii może jednak zagrozić bezpieczeństwu danych. Odpowiednio zaawansowane komputery kwantowe będą mogły przełamywać niektóre powszechnie stosowane zabezpieczenia kryptograficzne, m.in. oparte na algorytmie RSA i kryptografii krzywych eliptycznych (ECC). Zagrożenie dotyczy również poufnych informacji medycznych. Dlatego opracowano kryptografię postkwantową (PQC), która ma chronić dane przed przyszłymi atakami z wykorzystaniem komputerów kwantowych.
Główne wnioski
- Tylko 6% urządzeń IoMT korzysta z implementacji protokołu SSH obsługujących kryptografię postkwantową, wobec 16% urządzeń OT i 50% urządzeń IT.
- Ponad 5500 systemów informatycznych ochrony zdrowia zidentyfikowanych przez Forescout jest dostępnych przez internet, a jedynie 31% analizowanych systemów obsługuje protokół TLS 1.3.
- Pięć kategorii danych jest szczególnie zagrożonych: elektroniczna dokumentacja medyczna, obrazy diagnostyczne, wyniki badań laboratoryjnych, dane o lekach i receptach oraz informacje finansowe.
- Forescout zaleca etapowe przygotowania do wdrożenia kryptografii postkwantowej, obejmujące identyfikację zagrożeń, modernizację infrastruktury i planowanie działań na kolejne 6, 12 oraz ponad 24 miesiące.
Źródło:
- https://www.forescout.com/research-labs/pqc-in-healthcare-from-data-risk-to-migration-readiness/
- https://www.nist.gov/cybersecurity-and-privacy/what-post-quantum-cryptography
