Protegendo IoMT: Melhores Práticas para Segurança de Dispositivos Médicos Conectados à Internet

Leões, Tigres e Ursos — Oh Meu!

Ao chegar em uma paisagem desconhecida em O Mágico de Oz, Dorothy observou: "Toto, sinto que não estamos mais no Kansas." Encontros com macacos voadores, companheiros com deficiência de órgãos, munchkins alegres e uma bruxa avessa à água logo se tornaram sua nova normalidade.

Para nós, a nova normalidade envolve a adoção acelerada de dispositivos médicos conectados à internet e modelos de cuidado virtual — a "internet das coisas médicas" ou IoMT, que é definida pela Deloitte como uma "infraestrutura conectada de dispositivos médicos, aplicações de software, e sistemas e serviços de saúde."

A demanda global por dispositivos médicos — tanto de consumidores individuais quanto de provedores de saúde — é enorme. Nos EUA, esse mercado foi estimado em US$ 160,8 bilhões em 2019 e previsto para alcançar US$ 176 bilhões em 2020. Enquanto isso, um relatório publicado pela empresa de pesquisa Fior Markets esperava crescimento no mercado global de conectividade de dispositivos médicos de US$ 1,63 bilhões em 2019 para US$ 8,76 bilhões em 2027.

Está Vivo!

Em outra história famosa, Barão Victor Frankenstein, o médico louco de Mary Shelley, usou técnicas simples de costura para juntar as várias partes do corpo de sua criatura, que então ativou com a versão do século 19 de terapia eletroconvulsiva. A tecnologia do século 21 ainda não alcançou esta capacidade, embora transplantes, reanexos, próteses e implantes — muitos dos quais são "inteligentes" (ou seja, conectados) ou fabricados usando ferramentas de manufatura aditiva e impressão 3D — não sejam incomuns.

Por causa disso, IoMT representa um aspecto mais pessoal de convergência ciber-física do que o visto em outras aplicações IoT — eles entram em nossa íntima "zona de confiança" física. Segurança e privacidade do paciente podem ser impactadas se um dispositivo ou o processo de fabricação de um dispositivo for comprometido. Tal potencial gerou preocupações sobre uso ético e capacidade técnica de proteger privacidade, cibersegurança e desempenho essencial do dispositivo.

Gerenciar a infraestrutura IoMT efetivamente requer consideração de muitas partes móveis, frequentemente autônomas, incluindo:

• Controle de qualidade no processo de fabricação.
• Interoperabilidade de informações médicas armazenadas em múltiplos dispositivos.
• Dependência de armazenamento em nuvem e plataforma de software.
• Monitoramento de comunicações de rede.
• Atender expectativas de profissionais médicos.

IoMT é cada vez mais parte do tecido de nossas vidas. Construir privacidade de dados, integridade de dispositivos e resiliência cibernética no design e fabricação de dispositivos e equipamentos médicos é essencial.

Quem Você Vai Chamar?

Os cientistas excêntricos de Os Caça-Fantasmas usaram truques parapsicológicos para ferretar espectros indesejados. Padrões e diretrizes¹ para fabricantes de dispositivos médicos abordam colaboração, questões de qualidade, risco e gestão de segurança, cenários de uso, e descrevem práticas para identificar e erradicar quaisquer comportamentos "fantasmagóricos" inesperados em dispositivos médicos. Isso ajuda a melhorar o controle sobre o desempenho do dispositivo "como projetado" e "como construído" (mesmo que o controle sobre dispositivos "como usados" seja mais elusivo).

O International Medical Device Regulators Forum (IMDRF), uma organização voluntária, montou um Grupo de Trabalho de Cibersegurança de Dispositivos Médicos, que lançou seus "Princípios e Práticas para Cibersegurança de Dispositivos Médicos" em março de 2020.

Este documento não aborda cibersegurança dentro da própria empresa, mas discute a responsabilidade dos fabricantes de dispositivos médicos de melhorar a resiliência cibernética do produto, remediar vulnerabilidades e mitigar risco através das etapas de design/desenvolvimento, fabricação, teste e suporte/monitoramento pós-mercado do ciclo de vida total do produto (TPLC). Suas recomendações para fabricantes incluem desenvolvimento de um plano de gestão de cibersegurança TPLC para abordar o seguinte:

• Consciência situacional.
• Divulgação de vulnerabilidades.
• Atualizações e remediação.
• Recuperação.
• Evidência de que o fabricante está se mantendo informado sobre vulnerabilidades divulgadas e compartilhando aquelas que identificou.

Uma técnica de gestão de risco em particular que pode ser útil é modelagem de ameaças. O Open Web Application Security Project (OWASP) recomenda que fabricantes façam as seguintes quatro perguntas durante design e desenvolvimento:

1. O que estamos construindo?
2. O que pode dar errado (ex: como poderia ser atacado)?
3. O que vamos fazer sobre isso?
4. Fizemos um trabalho bom o suficiente?

Planejar e construir resiliência cibernética em dispositivos médicos ao longo do TPLC, desde a definição de requisitos de desempenho até a entrega em — e aposentadoria de — serviço resultará em produtos que merecem nossa confiança.

Eles Cheeeeegaram!

Poltergeist explora as disrupções criadas quando atividades comerciais baseadas em lucro desconsideram preocupações éticas e humanistas e tomam atalhos que levam a consequências não intencionais e danos colaterais. A comunidade de stakeholders colaborou em uma iniciativa para prevenir tais disrupções no setor de fabricação de dispositivos médicos, que cai sob dois dos 16 setores de infraestrutura crítica identificados na Diretiva Presidencial 21 (PPD-21): saúde e saúde pública, e manufatura crítica. Além disso, em 2015, o Congresso dos EUA aprovou o Cybersecurity Act of 2015 (CSA), que inclui requisitos para alinhar abordagens de segurança da indústria de saúde.

O Joint Cybersecurity Working Group do Healthcare and Public Sector Coordinating Council, uma parceria público-privada com o U.S. Department of Health and Human Services, lista melhores práticas técnicas para fabricantes de dispositivos médicos incluindo:

• Minimizar superfícies de ataque.
• Estabelecer padrões e configuração seguros.
• Manter auditoria e accountability.
• Seguir princípios de menor privilégio, separação de deveres e defesa em profundidade.
• Falhar de forma segura.
• Manter segurança simples e corrigir problemas de segurança corretamente.

Qualquer um que tenha trabalhado através dos requisitos de controle de segurança NIST SP 800-171 reconhecerá elementos de suas 14 famílias de controle capturadas no resumo acima de melhores práticas. São testadas e verdadeiras — e fundamentais para confiança informada em vez de cega.

Seja prevenindo atalhos desastrosos, contendo fantasmas maliciosos (ou esquilos), ou costurando uma solução de dispositivo multi-nó, com relação a dispositivos médicos estamos em uma nova normalidade. Felizmente, podemos nos mover para um relacionamento mais seguro e profundamente consciente com a tecnologia. Só precisamos nos aprofundar mais no roteiro do filme IoMT para entender as partes componentes, como interagem e como evitar acidentes.

Este blog é parte de uma série publicada para o Mês Nacional de Conscientização sobre Cibersegurança (NCSAM). Outros blogs na série incluem Creating a Culture of Security por Celia Paulsen, If You Connect It, Protect It por Zane Patalive, Suspicious Minds: Non-Technical Signs Your Business Might Have Been Hacked por Pat Toth e The Future of Connected Devices por Erik Fogleman e Jeff Orszak.

^{1 Exemplos: Association for Advancement of Medical Information (AAMI) - https://www.aami.org/medical-device-manufacturer; Food and Drug Administration - https://www.fda.gov/medical-devices/digital-health-center-excellence/cybersecurity#guidance; International Electrotechnical Commission (IEC) - https://www.iec.ch/perspectives/government/sectors/medical_devices.htm; International Organization for Standardization (ISO) - https://www.iso.org/iso-13485-medical-devices.html; Underwriters Laboratories (UL) - https://www.ul.com/resources/healthcare-standards-directory}