نشریات در حوزه امنیت سایبری از سال ۲۰۱۲ افزایش چشمگیری داشته‌اند. استانداردهای متعدد موجود، مقررات دولتی، دستورالعمل‌های ارائه دهنده بهترین روش‌ها و مقالات علمی، هر کدام در حوزه امنیت سایبری بحث کرده و توصیه‌هایی را ارائه می‌دهند. بنابراین، ارائه یک نمای کلی از امنیت IT در سطح عمومی، از حوصله این مقاله خارج است. با این وجود سعی می‌کنیم مهم‌ترین توصیه‌ها را  برای بهبوددیدگاه پزشکان و فعالان حوزه سلامت، خلاصه کنیم. توصیه‌هایی که قابل استفاده در مراقبت‌های بهداشتی IT و به ویژه PACS و شبکه‌های تصویربرداری پزشکی است. برای رفرنس بیشتر، خوانندگان باید از مهمترین استانداردها در این حوزه، یعنیISO / IEC 27002: 2013 و ISO 27799: 2016 استفاده کنند. علاوه بر این، چندین مرور بر روی مطالعات مربوط به این زمینه منتشر شده است. مطالعه منتشر شده توسط آژانس اتحادیه اروپا در زمینه امنیت شبکه و اطلاعات (ENISA)، مروری از سیستم‌ها و دستگاه‌ها در موسسات مراقبت‌های بهداشتی و انواع تهدیدهایی که باید در زمینه امنیت سایبری مورد توجه قرار گیرند، ارائه می‌دهد و اهمیت آن‌ها را تجزیه و تحلیل می‌کند، که حیاتی‌ترین سیستم‌ها، سیستم‌های اطلاعات بالینی بهم پیوسته و دستگاه‌های پزشکی شبکه‌ای هستند. یک گزارش رسمی دولتی توسط انجمن ملی تولیدکنندگان وسایل الکتریکی (NEMA) لیستی از منابع را ارائه می‌دهد که از موسسات مراقبت‌های بهداشتی برای ایجاد یک برنامه امنیتی موثر IT پشتیبانی می‌کنند. در آخر، باید توجه داشت که در حالی که بسیاری از اقدامات کاهش اثر توسط کاربران یک سیستم قابل اجرا است، موارد دیگر باید به عنوان بخشی از طراحی سیستم در نظر گرفته شوند و فقط توسط توسعه دهندگان سیستم قابل اجرا هستند. بحث زیر بر اقدامات قابل اجرا توسط موسسات مراقبت‌های بهداشتی متمرکز خواهد بود. الزامات امنیت سایبری برای توسعه دهندگان سیستم به طور مفصل در مورد بحث قرار گرفته است.

 

اقدامات فیزیکی در جهت کاهش امکان نفوذ

اولین و مسلماً بارزترین سطح امنیت سایبری، سطح فیزیکی است. اگر یک مهاجم بتواند به راحتی وارد اتاق سرور شود و رایانه‌ها یا مدیاهای ذخیره سازی را بدزدد، اقدامات کاهش اثر فنی مانند رمزهای عبور، اسکنر ویروس یا سطح دسترسی کاربر، ارزش کمی دارد. یک مطالعه ENISA  گزارش می‌دهد که امنیت فیزیکی و محیطی پس از حوادث سایبری، مهم‌ترین نیاز امنیتی در سلامت الکترونیکی است. ” یک اصل اساسی برای حفاظت فیزیکی از داده‌ها، اطمینان از قرار گرفتن سرورهای فایل در مناطق ایمن است که از دسترسی غیر مجاز و تهدیدهای محیطی مانند آتش سوزی، سیل، قطع برق و غیره محافظت ‌شوند.”

لیو و همکاران  گزارش می‌دهند که بیشترین درز داده‌ها در اطلاعات محافظت شده سلامت در ایالات متحده آمریکا از طریق مدیا‌های الکترونیکی رخ داده است، که اغلب شامل رایانه‌های همراه یا دستگاه‌های الکترونیکی قابل حمل هستند. بیشتر این موارد نقض از طریق سرقت نیز رخ داده است. این نشان می‌دهد که دستگاه‌های قابل حمل، که نمی‌توان آن‌ها را پشت درهای قفل شده در اتاق سرور نگه داشت، موضوعی است که باید مورد توجه قرار گیرد. ما در بخش بعدی بیشتر در مورد این بحث خواهیم کرد. یک دستورالعمل ارائه شده توسط وزارت بهداشت و خدمات انسانی ایالات متحده توضیح می‎دهد که: “اگر یک دستگاه ذخیره اطلاعات به سرقت برود، مهم نیست که سازمان چقدر از گذرواژه‎ها، کنترل دسترسی‌ها و مجوزهای دسترسی به فایل‌های خود مراقبت کرده باشد، قطعا این امکان وجود دارد که یک فرد بتواند به اطلاعات موجود در آن دسترسی پیدا کند. بنابراین، مهم است که امکان سرقت یا دستکاری دستگاه‎ها را کاهش دهیم.” این دستورالعمل توصیه می کند که: “ایمن سازی وسایل و اطلاعات از نظر فیزیکی باید شامل سیاست‎هایی باشد که دسترسی فیزیکی را محدود می‎کند. به عنوان مثال ایمن‌سازی دستگاه‎ها در اتاق‎های قفل شده، مدیریت کلیدهای فیزیکی و محدود کردن توانایی حذف یا انتقال دستگاه‎ها از یک منطقه امن.” سرانجام، ویکینا از نصب دوربین‎های امنیتی به عنوان اقدام امنیتی احتمالی نام می‌برد.

 اقدامات کاهش اثر فنی یا نرم‌افزاری

سطح دوم که امنیت سایبری باید روی آن اجرا شود، سطح اقدامات کاهش اثر فنی است. اکثر توصیه‎ها در مطالعات، مربوط به این سطح است. در این بخش، ما خلاصه‎ای از اقدامات کاهش اثر فنی و نرم‌افزاری اعمال شده در PACS و دستگاه‎های تصویربرداری پزشکی را ارائه می‎دهیم. بسیاری از این موارد بدیهی به نظر می‎رسند، اما برای اجرای موثر همچنان به توجه نیاز دارند.

• تهیه نسخه پشتیبان به طور منظم: ENISA تهیه منظم نسخه‎های پشتیبان را توصیه می‎کند. این سازمان اضافه می‎کند: “این اقدام بسیار مهم می‎تواند بسیاری از حملات را که می‎توانند تأثیر زیادی بر بیمارستان‎های هوشمند بگذارند، حل کند. حملاتی مانند باج افزارها یا حملات فیزیکی که به سخت افزارها انجام می‌شود. تهیه منظم نسخه‎های پشتیبان به صورت کامل یا افزایشی می‎تواند در ترکیب با ایجاد  یک مرکز مجهز کامپیوتری برای شرایط اضطراری و یک مرکز بازیابی زیرساخت، باعث می‎شود سیستم‎های بیمارستان حتی در صورت بروز بلایای طبیعی نیز مقاومو پایدار باشند. ”  وزارت دادگستری ایالات متحده  اضافه می‎کند که اپراتورها باید اطمینان حاصل کنند که نسخه پشتیبان به رایانه‎ها و شبکه‎هایی که از آن پشتیبان تهیه می‎کنند متصل نیست. به عنوان مثال می‎توان به حفاظت از نسخه پشتیبان در فضای ابری یا ذخیره فیزیکی نسخه پشتیبان به صورت افلاین اشاره کرد. NTT Security  اشاره می‎کند که یک استراتژی جامع  برای تهیه نسخه پشتیبان شامل “ذخیره آفلاین نسخه پشتیبان و همچنین تست و تأیید توانایی سازمان در بازسازی سیستم‎ها و بازیابی داده‎ها” است. سیتیگ و همکاران  توصیه می‎کنند که تهیه نسخه پشتیبان باید مرتباً انجام شود (یعنی حداقل روزانه و تهیه مداوم یا بی درنگ نسخه پشتیبان ایده آل است). آن‎ها همچنین به بیمارستان‎ها توصیه می‎کنند به طور دوره‎ای تمرینات و تست‌های بازیابی سیستم‎های شبیه سازی شده را انجام دهند (یعنی، شناسایی نسخه‎های پشتیبان و تست قابلیت بازیابی).
• فایروال و تقسیم‎بندی شبکه: کروس و همکاران تجزیه و تحلیل مطالعات مربوط به تکنیک‎های امنیتی را برای سوابق الکترونیکی سلامت انجام دادند و نتیجه گرفتند که “روش امنیتی که معمولاً بیشتر مورد بحث قرار می‌گرفت، پیاده‌سازی فایروال برای محافظت از سیستم IT سازمان‌های مراقبت‌های بهداشتی بود.” آن‌ها همچنین اشاره کردند که فایروال ثابت شده است که در ایمن سازی شبکه سازمان و اطلاعات بهداشتی محافظت شده بسیار موفق است.

ENISA اشاره می‌کند که “جدا کردن قسمت‌های حیاتی شبکه از قسمت‌های غیر حیاتی، مهم است. به عنوان مثال، توصیه می‌شود دستگاه‌های پزشکی را تا حد ممکن از سیستم‌های داخلی بیمارستان جدا کنید که معمولاً – به دلیل استفاده از ساختارهای از پیش تعریف شده و استاندارد – در معرض طیف وسیعی از حملات هستند. علاوه بر این، دستگاه‌هایی که آسیب پذیری‌ شناخته شده دارند و به راحتی قابل حل نیستند، بهتر است فقط در یک قسمت جداگانه از شبکه استفاده شوند یا اصلاً به شبکه متصل نباشند.” NTT  توضیح می‌دهد که تقسیم‌بندی شبکه از این جهت مهم است که “اگر مهاجمان بتوانند در سرورهای خدمات دهنده نفوذ کنند، ممکن است بتوانند برای دسترسی به قسمت‌های جانبی دیگر شبکه شما حرکت کنند. به این ترتیب آسیب بیشتری وارد می‌کنند و احتمالاً جایگاه خود را در چندین سیستم دیگر تثبیت می‌کنند.

آن‌ها استفاده از “فایروال‌ها، روترها و سایر دستگاه‌های امنیتی شبکه را برای پیاده سازی و اجرای تفکیک شبکه”، یعنی، “محدود کردن جریان ترافیک شبکه بین بخش‌های گوناگون با مشخصات امنیتی مختلف” را توصیه می‌کنند. آن‌ها همچنین استفاده از “فایروال‌های درگاه وب و برنامه‌ها را با هدف کمک به محافظت از برنامه‌های اصلی ” توصیه می کنند.

ترند جدید در این زمینه تقسیم بندی میکرو (micro-segmentation) و الگوی عدم اعتماد صفر (zero trust) است. OTech توضیح می‌دهد که “تقسیم بندی میکرو امکان پیکربندی شبکه‌ها را با استفاده از نرم افزار فراهم می‌کند به گونه‌ای که دستگاه‌های خاصی فقط با یکدیگر ارتباط برقرار می‌کنند. اگر دستگاه یا برنامه‌ای تغییر کند، سیاست‌ها و ویژگی‌های امنیتی با آن تغییر می‌کنند. عدم اعتماد صفر نیز به این معنی است که فقط محافظت از محیط کافی نیست. دیگر نمی‌توان به هیچ چیز اعتماد کرد زیرا ممکن است دستگاه‌ها نیز آلوده شوند، بنابراین تمرکز به سمت محافظت داخلی کشانده می‌شود. مقدمه‎ای بر تقسیم بندی میکرو توسط  دویتسنتوس ارائه شده است و اجرای شبکه‎های عدم اعتماد صفر توسط وانیکیس و همکاران بررسی شده است.

نهایتا، استفاده از “data diodes” برای شبکه‌های مراقبت‌های بهداشتی پیشنهاد شده است. آنها دستگاه‌های سخت افزاری هستند که یک ارتباط کاملاً یک طرفه را از یک شبکه با سطح امنیتی بالا به شبکه دیگر که سطح امنیتی پایین‌تری دارد اعمال می‌کنند. ال حاجال و همکاران  کاربرد آن‌ها را در متن شبکه PACS توصیف می‌کنند، اما اشاره می‌کنند که دیودهای داده را نمی‌توان با پروتکل شبکه DICOM موجود، که به ارتباطات دو سویه متکی است، استفاده کرد.

• غیرفعال کردن پورت‌های فیزیکی استفاده نشده: یکی از راه‌های مهم برای کنترل بدافزار و سرقت داده‌ها، از طریق رسانه‌های ذخیره سازی قابل حمل مانند کارت‌های حافظه (USB) است. بنابراین سیتیگ و همکاران توصیه می‌کنند که، “در سطح دستگاه‌های محلی، سازمان‌ها باید برای جلوگیری از نفوذ نرم افزار مخرب، پورت های USB را غیرفعال کنند.”

ENISA  به اپراتورها توصیه می‌کند “اطمینان حاصل کنند که دستگاه‌ها فقط از پورت‌های خارجی ضروری برای کارایی خود استفاده کنند و در حالت تست یا اشکال زدایی ایمن باشند، تا نتوان از آن‌ها برای دسترسی غیرمجاز به دستگاه‌های دیگر استفاده کرد.” به طور کلی، اپراتورها باید “پورت‌های فیزیکی را فقط به اتصالات قابل اعتماد متصل کنند.”

• تهیه لیست سفید از برنامه‌های مجاز : بسیاری از سیستم عامل‌ها از مفهوم برنامه‌های “لیست سفید”  (whitelisting) پشتیبانی می‌کنند. هنگامی که این لیست اعمال شود، فقط برنامه‌هایی که در “لیست سفید” مدیریت شده توسط سیستم عامل قرار دارند می‌توانند اجرا شوند، در حالی که سایر برنامه‌ها مسدود می‌شوند. NEMA گزارش می‌دهد که “مکانیسم‌های لیست سفید می‌توانند به طور موثر مانع اجرای کد بدافزار شوند و می‌توانند قبل از راه اندازی در یک دستگاه پیاده‌سازی گردند. NTT  توصیه می‌کند که سازمان‌ها “در صورت امکان، از لیست سفید برنامه‌ها در سرورها، سیستم‌های دسک تاپ و لپ‌تاپ‌ها استفاده کنند تا باج افزارها و سایر نرم‌افزارهای اجرایی غیرمجاز قابل اجرا نباشند.” این امر نیازمند این است که سازمان‌ها “یک لیست سفید” از برنامه‌های مشخص شده که مجاز به اجرا هستند را تهیه کنند. این کارباید در زمینه پکس PACS نسبتاً ساده باشد، جایی که فقط تعداد محدودی از برنامه‌ها مورد استفاده قرار می‌گیرند. به عنوان مثال، در یک  ایستگاه کاری تشخیصی. ولی این کار ممکن است در رایانه‌های شخصی اداری نسبتاً پیچیده باشد. به عنوان جایگزین در شرایطی که لیست سفید امکان پذیر نیست، سند راهنمای ایالات متحده در مورد حفاظت از باج‌افزار به کاربران توصیه می‌کند “سیاست‌های محدودیت نرم‌افزار (SRP) یا سایر کنترل‌ها را برای جلوگیری از اجرای برنامه‌ها از روش‌ها یا لوکیشن‌های رایج باج افزارها، مانند فایل‌های موقتی که از مرورگرهای معروف اینترنت دانلود می‌شوند یا  فایل‌هایی که در AppData/LocalAppData قرار می‌گیرند”، را اعمال کنید.

• احراز هویت کاربر و حق دسترسی: یک  مطالعه توسط KPMG نشان داد که از مهم‌ترین آسیب پذیری‌های امنیت داده‌ها در مراقبت‌های بهداشتی، نقض یا سرقت اطلاعات توسط کارمندان است. این نشان می‌دهد که مدیریت حق دسترسی یک نیاز اساسی است. اولین قسمت تأیید هویت کاربر  (authentication) است. ENISA احراز هویت قوی را به عنوان یک عنصر اساسی امنیتی برای محصولات ICT در مراقبت‌های بهداشتی تعریف می‌کند، که باید مکانیسم‌های احراز هویت قوی را برای همه حساب‌ها فراهم و پشتیبانی کند. اگر احراز هویت ناموفق باشد، سیستم اجازه نمی‌دهد فعالیت خاصی برای کاربر انجام شود. علاوه بر این، آن‌ها اظهار داشتند که “ضروری است که احراز هویت قوی، قابل اطمینان و دسترسی‌ها بسیار محدود باشد.”

NTT security  به سازمان‌ها توصیه می‌کند که “از اصل حداقل میزان دسترسی به پرونده در سرورها و سایر سیستم‌های قابل دسترسی از طریق اشتراک فایل استفاده کنند. این امر باعث می‌شود تا فایل‌های رمزنگاری باج‌افزار بر روی این سیستم‌ها تأثیر نگذارد.” آن‌ها همچنین توصیه می‌کنند “تا حد امکان امتیازات سطح مدیریتی را نیز محدود کنید. از افراد بخواهید که فقط در صورت لزوم از حساب‌های مدیریتی استفاده کنند و برای سایر کارها از حساب‌های کاربری معمولی استفاده کنند. این باعث می‌شود مهاجمان با احتمال کمتری بتوانند از طریق یک حمله سریع به میزان مدیر سیستم دسترسی پیدا کنند.” توصیه‌های مرتبط با اختصاص حق دسترسی بر اساس اصل حداقل امکان را می‌توان در بسیاری از دستورالعمل‌ها یافت. از نظر تاریخی، این مطمئناً نقطه قوت جامعه PACS نیست که در آن تا سال ۲۰۰۴ استاندارد DICOM حتی به پایانه تشخیصی اجازه نمی‌داد تا هنگام نمایش داده‌ها یا دسترسی به تصاویر، سرور PACS را در مورد هویت کاربر مطلع کند. اهمیت این موضوع با ظهور PACS “سازمانی” افزایش یافته است. رشته‌هایی مانند اطفال، جراحی و پوست، تصاویر حساسی مثلا از کودکان یا جراحی‌های پلاستیک ذخیره می‌کنند که دسترسی نامحدود به آن‌ها در کل سازمان ممکن است قابل قبول نباشد. بعلاوه، امروزه بیمارستان‌ها معمولاً بایگانی‌هایی به اصطلاح vendor neutral archives (VNA) را مستقر می‌کنند که در آن چندین سیستم، اطلاعات خود را در سرورهای ذخیره سازی مشترک (SAN / NAS) ذخیره می‌کنند.

پتانسیل یک سیستم واحد که به بدافزار آلوده شده و دسترسی نوشتن نامحدود برای نفوذی‌ها دارد در حدی است که نه تنها می‌تواند به بایگانی PACS آسیب برساند، بلکه باعث مختل شدن عملکرد چندین سیستم IT شود. این امر مدیریت حق دسترسی را به یک نیاز مهم تبدیل می‌کند.

• بروزرسانی و پچ‌های منظم: ENISA توضیح می‌دهد که پچ و بروزرسانی منظم نرم‌افزار برای جلوگیری از سوء استفاده از نقاط ضعف شناخته شده و همچنین اطمینان از شناسایی حملات با استفاده از مسیرهای شناخته شده ضروری است. بر این اساس، در بیمارستان‌های هوشمند، پچ‌ها و بروزرسانی‌ها نه تنها برای دستگاه‌های پزشکی شبکه‌ای و سیستم‌های اطلاعاتی شبکه‌ای بالینی، بلکه برای فایروال‌ها، نرم‌افزار آنتی ویروس و سایر اقدامات امنیتی مبتنی بر نرم‌افزار نیز مهم هستند. سیتیگ و همکاران توصیه می‌کنند که “پرسنل سازمان، مسئول نگهداری کلیه سیستم عامل‌های رایانه‌ای، نرم‌افزارهای کاربردی، مرورگرها و پلاگین‌ها و نرم‌افزارهای آنتی ویروس هستند و باید از بروز بودن آخرین پچ‌ها اطمینان حاصل کنند. قبل از استفاده از هر گونه پچ، متخصصان IT سلامت، باید آن‌ها را کاملاً تست کنند.” وزارت دادگستری ایالات متحده توصیه می‌کند “استفاده از یک سیستم مدیریت پچ متمرکز را در نظر داشته باشید.”

• حفاظت در برابر ویروس و بدافزار: ENISAتوصیه می‌کند که “رایانه‌ها برای شناسایی و حذف یا قرنطینه نرم‌افزارهای مخرب باید از نرم‌افزارهای ضد بد‌افزار و ضد‌ اسپم (به عنوان آنتی‌ ویروس شناخته می‌شوند) استفاده کنند.

 این کار در مورد وسایل پزشکی، تجهیزات IT، سیستم‌های اطلاعات سلامت، SCADA [کنترل نظارت و دستیابی به داده‌ها] و سرویس‌های داده و برنامه‌های مبتنی بر ابر نیز هست. NEMA  اضافه می‌کند که “مکانیسم‌های محافظت در برابر ویروس روش خوبی برای مقابله با تهدیدات (شناخته شده) است، و تامین کنندگان باید تضمین کنند که استقرار آنتی ویروس و الگوهای بروز شده حفاظت از ویروس، از طریق انجام آزمایش اطمینان اولیه بر  روی دستگاه تصویربرداری، بر عملکرد بالینی/عملیاتی تأثیر نمی گذارد.” وزارت دادگستری ایالات متحده توصیه می‌کند که” برنامه‌های ضد ویروس و ضد بدافزار را برای انجام اسکن منظم به طور خودکار تنظیم کنید.” نهایتا، سیتیگ و همکاران پیشنهاد می‌کنند که “سازمان‌ها باید مسدود کردن پیام‌های ایمیل که دارای پیوست‌های بالقوه خطرناک هستند را در نظر داشته باشند” (یعنی، انواع  فایل‌هایی که ممکن است حاوی کد اجرایی باشند).

• رمزگذاری: در امنیت سایبری، معمولاً داده‌ها با سه حالت از هم تفکیک می‌شوند: “در حال استفاده”، “در حالت استراحت (rest)” و “در حال انتقال”. داده‌ها هنگام استفاده یا نوشتن توسط برخی از برنامه‌ها در حال استفاده هستند. داده‌ها هنگامی که ذخیره می‌شوند اما در حال حاضر استفاده نمی‌شوند، در حالت استراحت هستند. داده‌ها هنگام انتقال از طریق اتصال شبکه یا یک حافظه ذخیره سازی مانند یک دیسک فشرده (CD) یا یک حافظه فلش در حال انتقال هستند. اگرچه بدیهی است که داده‌ها در حین استفاده نمی‌توانند به طور کامل رمزگذاری شوند (باید حداقل به صورت متن واضح در حافظه سیستم لود شوند)، ولی داده‌ها می‌توانند در حالت “استراحت” یا “در حال انتقال” رمزگذاری گردند. ENISA اظهار می‌دارد که “رمزگذاری یکی از رایج ترین راه حل‌های مورد استفاده در بیمارستان‌ها است و عمدتا به دلیل حساسیت و اهمیت داده‌ها در حالت استراحت، در حال انتقال و در حال استفاده. داده‌های اطلاعات سلامت که توسط تامین کنندگان شخص ثالث ذخیره سازی شده و همچنین داده‌های ذخیره شده در بیمارستان‌ها باید رمزگذاری شوند.” علاوه بر این، آن‌ها توصیه می‌کنند که سازمان‌ها استفاده صحیح و موثر از رمزنگاری را برای محافظت از محرمانه بودن، اصالت و یا صحت داده‌ها و اطلاعات (از جمله پیام‌های کنترلی)، در حین انتقال و استراحت، تضمین کنند. از انتخاب مناسب الگوریتم‌های رمزگذاری استاندارد و قوی و کلیدهای قوی اطمینان حاصل کند و پروتکل‌های ناامن را غیرفعال کنید. صحت پیاده‌سازی را تست کنید.

علاوه بر این آن‌ها توصیه می‌کنند که” اطمینان حاصل شود که امنیت ارتباطات با استفاده از پیشرفته‌ترین پروتکل‌های امنیتی استاندارد مانند TLS (Transport Layer Security) برای رمزگذاری ارائه شود.”

NEMA تأیید می‌کند که رمزگذاری داده‌ها “در حال انتقال” فقط بر انتقال گسترده داده‌ها تأثیر نمی‌گذارد. ارتباط امن هنگام انتقال اطلاعات محافظت شده سلامت (PHI) و اطلاعات مرتبط بین دستگاه‌ها و گیرندگان، چه داخل سازمانی و چه با طرف‌های خارجی، ضروری است.

• ثبت ممیزی/ رویدادنگاری: هدف از ثبت ممیزی (audit log) ثبت دائمی تمام وقایع مربوط به ایجاد، اصلاح، استفاده و انتقال اطلاعات حفاظت شده سلامت است. NEMA ثبت گزارش‌های ممیزی یا لاگ برای تجهیزات تصویربرداری و سیستم‌های انفورماتیک تصویربرداری را پیشنهاد می‌کند.

ENISA پیشنهاد می‌کند “یک سیستم رویدادنگاری که وقایع مربوط به احراز هویت کاربر، مدیریت حساب‌ها و حق دسترسی، اصلاح قوانین امنیتی و عملکرد سیستم را ثبت می‌کند، پیاده سازی کنید. لاگ‌ها باید در  سیستم‌های ذخیره سازی با دوام نگهداری شوند و از طریق ارتباطات معتبر قابل بازیابی باشند.” یک قالب پیام استاندارد و پروتکل ارتباطی برای ثبت لاگ‌های مربوط به PACS و تصویربرداری پزشکی در طرح ادغام سلامت (IHE) با عنوان ” Audit Trail and Node Authentication” (ATNA)، آمده که با قالب پیام ثبت لاگ یا ممیزی در DICOM نیز در ارتباط است.

باید توجه داشت که یک سرور ثبت لاگ به خودی خود یک هدف امنیت سایبری بسیار جذاب است و بنابراین باید به طور مناسب محافظت شود.

• نظارت بر شبکه و تشخیص نفوذ: سیتیگ و همکاران توصیه می‌کند که همه سازمان‌ها باید یک سیستم نظارت بر فعالیت شبکه و کاربر ایجاد کنند که بتواند فعالیت‌های مشکوکی مانند دریافت پیام‌های ایمیل از منابع جعلی شناخته شده، پیوست‌های ایمیل قابل اجرا، تغییرات غیر منتظره در پرونده‌های اصلی درایوهای متصل به شبکه، پروسه‌های ناشناخته که فایل‌ها را رمز گذاری می‌کند یا افزایش قابل توجه ترافیک شبکه در پورت‌های غیر منتظره را تشخیص دهد. هدف از این نظارت شناسایی فعالیت‌های مشکوک و شناسایی و رسیدگی به مشکلات امنیتی قبل از اینکه آسیب ایجاد شود، خواهد بود. تخلفاتی که کشف می‌شوند معمولاً به طور مستقیم به یکی از اعضای ستاد IT گزارش می‌شوند یا برای تجزیه و تحلیل بیشتر در یک پایگاه داده مرکزی جمع آوری می‌گردند. لازم به ذکر است که تشخیص نفوذ یک زمینه تحقیق همواره فعال است، زیرا چنین سیستم‌هایی نیاز به واکنش در “الگوهای” خاصی از رفتار سیستم دارند. به عنوان مثال، مایمو و همکاران رویکرد یادگیری ماشینی (هوش مصنوعی) را توصیف می‌کند که می‌‌تواند حملات باج‌افزار را با دقت بالا شناسایی کند، بنابراین زمان پاسخ را بهبود می‌بخشد و آسیب را محدود می‌کند.

• حفاظت از دستگاه‌های متحرک: ظهور دستگاه‌های متحرک مانند تلفن‌های هوشمند و تبلت‌ها باعث ایجاد مفهوم “Bring Your Own Device” (BYOD)، شده است و کارمندان از دستگاه‌های متحرک متعلق به خود در محل کار استفاده می‌کنند (به عنوان مثال، برای خواندن ایمیل، دریافت اعلان‌ها یا دسترسی از راه دور به تصاویر پزشکی). این یک راه حمله جدید ایجاد می‌کند. زیرا این دستگاه‌ها ممکن است توسط بدافزار به خطر بیفتند یا به سرقت بروند. لیو و همکاران گزارش می‌دهند که بیشتر موارد رخنه به داده‌های سلامت از طریق مدیا‌های الکترونیکی رخ داده است که اغلب شامل رایانه‌های لپ‌تاپ یا دستگاه‌های الکترونیکی قابل حمل است. ENISA اظهار می‌دارد که “عدم وجود یک سیاست دقیق و واضح BYOD می‌تواند آسیب پذیری زیادی ایجاد کند”، و “بیمارستان‌ها معمولاً از اتصال بیماران/ کارمندان از دستگاه‌های شخصی خود به سیستم‌های بیمارستانی (از جمله از طریق Wi Fi، اترنت یا VPN شبکه خصوصی مجازی) جلوگیری می‌‌کنند و  در صورتی  که این کار مناسب نیست، از کنترل‌های فنی موثر برای محافظت از بیمارستان و زیرساخت‌های شبکه در برابر دستگاه‌‌های مخرب بهره می‌برند.” آن‌ها به بیمارستان‌ها توصیه می‌کنند که “یک سیاست BYOD و دستگاه همراه را برای کاربران ایجاد کنند، زیرا که این یکی از اجزای یک اکوسیستم بیمارستان هوشمند است و باید به یک اولویت تبدیل شود.” به طور دقیق ، آن‌ها با معرفی راه حل‌‌های مدیریت دستگاه همراه (MDM)، “نوع خاصی از سیستم‌های مدیریت دارایی و پیکربندی را که امکان تغییر تنظیمات و کار بر اساس ثبت لاگ‌های مربوطه را فراهم می‌کند پیشنهاد می‌کنند”. این امکان محافظت بهتر از داده‌های حساسی را که ممکن است در دستگاه‌های همراه ذخیره شده باشد، فراهم می‌کند. ثبت گزارش وقایع سیستم گاهی اوقات امکان شناسایی اقدامات مخرب یا خرابی‌های سیستم را فراهم می‌‌کند. علاوه بر این، آن‌ها متذکر می‌شوند که نصب نرم‌افزار ضد ویروس همچنین می‌تواند پیش شرط اتصال تجهیزات مراقبت از راه دور و دستگاه‌های تلفن همراه کاربران (در BYOD) به سیستم‌های بیمارستان باشد. وجود سیاست BYOD یا کنترل آن ENISA  به عنوان یکی از روش‌های خوب ذکر شده است که امروزه اغلب اجرا نمی‌شود.

همانطور که در بالا توضیح داده شد، مطالعه ENISA تعدادی از شکاف‌های موجود که اغلب در بیمارستان‌ها جدی گرفته نمی‌شوند را شناسایی و معرفی کرد. شکاف‌های زیر نیز علاوه بر موراد قبلی، مربوط به اقدامات کاهش اثر فنی هستند.

• ابزارهای اتوماتیک کشف دارایی‌های فناوری اطلاعات: این‌ها ابزاری‌هایی برای نگهداری لیست سخت افزار و نرم‌افزارهای مستقر هستند (IT Asset Discovery Tools). این ابزارها ویژگی “کشف” را با اسکن شبکه برای تمام دستگاه‌های فعال یا تجزیه و تحلیل ترافیک شبکه آن‌ها، فراهم می‌کنند. ENISA  می‌نویسد: “بیمارستان‌هایی که از مولفه‌های اینترنت اشیا استفاده می‌کنند باید نحوه تعامل این دارایی‌ها با دستگاه‌ها و سیستم‌های پزشکی و این که آیا فرآیند جمع آوری اطلاعات صحیح است را کنترل کنند. برای دستیابی به این هدف، به یک ابزار خودکار کشف و شناسایی دارایی‌های موجود نیاز است. این ابزار مدیران سیستم را قادر می‌سازد تا کلیه دارایی‌ها را ردیابی کنند و در صورت ایجاد اختلال بتوانند از روش‌های مختلف کشف استفاده کنند. فقدان این مسئله باعث می‌شود سیستم‌های سلامت هوشمند در برابر حملات در دسترس بودن و یکپارچگی آسیب پذیرتر شوند.”
• اطمینان از پیکربندی ایمن:  ENISA بیان می‌کند که هنگام خرید تجهیزات جدید در زمان ساخت بیمارستان هوشمند خود، مدیران امنیت اطلاعات بیمارستان باید امنیت سایبری را در الزامات قرار دهند. امنیت باید از همان ابتدا پیکربندی شود، البته همچنان (به دلیل وجود تعداد زیادی سیستم قدیمی) قابل تلفیق هم است. پیکربندی و بروزرسانی باید وظیفه منظم کارمندان امنیت اطلاعات باشد. یکی از جنبه‌های تضمین پیکربندی‌های امن این است که مکانیسم‌های امنیتی و الگوریتم‌هایی که امروزه ایمن در نظر گرفته می‌شوند ممکن است در آینده معیوب باشند یا به دلیل افزایش کلی سرعت کامپیوتر و حافظه‌ای که  در دسترس مهاجمان قرار می‌گیرد، ناامن شوند. برای سیستم‌های با طول عمر بالا، مانند دستگاه‌های تصویربرداری پزشکی، این بدان معنی است که ممکن است ویژگی‌های امنیتی با گذشت زمان تغییر کنند. بنابراین ENISA  تقاضا می‌کند که “ارائه دهنده خدمات باید در طول عمر توافق شده  محصول، به گونه‌ای حمایت انجام دهد که سیستم بتواند مطابق با توافق و به صورت ایمن کار کند.”
• گواهینامه‌های اعتبار استفاده کننده: طبق ENISA، گواهینامه‌های (Client certificates) برای تأیید اعتبار و هویت لازم هستند.
• مدیریت از راه دور از طریق کانال‌های ایمن: ENISA بیان می‌کند که خدمات از راه دور مزیت بیمارستان‌های هوشمند است. معرفی این عملکرد جدید در یک بیمارستان سنتی به بیش از یک سیستم نظارت منظم نیاز دارد. دستگاه‌های از راه دور باید توسط یک سیستم مرکزی از طریق یک کانال امن نظارت و کنترل شوند. این واقعیت است که سرویس‌های از راه دور یک رخنه مناسب برای حملات سایبری است. در یک گزارش خبری توسط  ProRepublica که در سپتامبر ۲۰۱۹ منتشر شده جزئیات چنین حادثه‌ای را نشان می‌دهد و نتیجه می‌گیرد که این حمله “مرزی جدید و نگران کننده در باج افزارها” هدف قرار دادن مدیریت شده ارائه دهندگان خدمات یا MSP، که دولت‌های محلی، کلینیک‌های پزشکی و سایر مشاغل کوچک و متوسط ​​نیازهای IT خود را با آن‌ها برون سپاری می‌کنند، است.

 

اقدامات کاهش اثر سازمانی یا انسانی

یک مطالعه توسط IBM گزارش می‌دهد: “آنچه جالب و دلسردکننده است این است که بیش از ۹۵ درصد از کل حوادث بررسی شده خطای انسانی را به عنوان یک عامل موثر در بروز حادثه امنیتی تشخیص می‌دهند.” اشتباهات انسانی که معمولاً ثبت شده است شامل پیکربندی غلط سیستم، مدیریت ضعیف پچ، استفاده از نام کاربری و رمزهای عبور پیش فرض یا آسان، لپ‌تاپ‌ها یا دستگاه‌های متحرک مفقود  شده و افشای اطلاعات تنظیم شده از طریق استفاده از آدرس ایمیل نادرست است. شایع‌ترین خطای انسانی، دوبار کلیک کردن روی پیوست آلوده یا URL ناامن ارسالی از طریق پیام رسان‌ها یا ایمیل است. این امر روشن می‌کند که آموزش آگاهی امنیتی برای کاربران و سایر اقدامات سازمانی کاهش‌اثر، همراه با اقدامات کاهش اثر فیزیکی و فنی، در اجرای امنیت سایبری به عنوان سومین پایه اصلی، نقش مهمی دارد. توصیه‌های زیر را می‌توان در مطالعات این حوزه یافت و مطالعه کرد.

• آموزش کاربرانو شبیه سازی: بسیاری از مطالعات به اهمیت آگاهی و آموزش کاربران سیستم‌های IT در زمینه امنیت سایبری اشاره دارند. ENISA  تفاوت بین افزایش آگاهی و فعالیت‌های آموزشی را به شرح زیر تعریف می‌کند: “در حالی که فعالیت‌های افزایش آگاهی مخاطبان گسترده‌ای را هدف قرار می‌دهند و هدف آن‌ها این است که افراد خطرات امنیتی را تشخیص دهند و به طور مناسب پاسخ دهند، آموزش رسمی‌تر است و هدف آن ایجاد دانش و مهارت است. با توجه به نیازهای آموزشی در بیمارستان‌های هوشمند، ایجاد درک از سیستم‌های مرکزی و مولفه‌های آن‌ها و همچنین تعاملات بین سیستم‌ها و مولفه‌ها از اهمیت ویژه‌ای برخوردار است”. NTT Security به سازمان‎ها توصیه می‌کند “برای همه کاربران به طور منظم آموزش آگاهی امنیتی ارائه دهند تا در زمینه فیشینگ (phishing)، مهندسی اجتماعی (social engineering) و باج افزار (ransomware) به روز باشند. خصوصاً نحوه شناسایی حملات و اینکه در صورت نیاز به کمک چه کار کنند و چگونه حملات احتمالی را گزارش دهند.”

آرگاو و دیگران به بیمارستان‌ها توصیه می‌کنند “برنامه‌های آموزشی‌ای را بسازند که حداقل سالانه براساس وقایع اخیر ارزیابی و اصلاح شود. آموزش در مورد سیاست‌های حفظ حریم خصوصی، جلوگیری از نشت داده‌ها و استفاده از رسانه‌های اجتماعی در محیط کار توصیه می‌شود، اما به ویژه در سلامت دیجیتال – اقدامات خوب امنیت دیجیتال مانند انتخاب تنظیمات دقیق حریم خصوصی و محافظت قوی از رمز عبور، بسیار مورد تأکید قرار می‌گیرد.” سیتیگ و همکاران بعلاوه پیشنهاد می‌کنند که “علاوه بر آگاهی دادن به کاربران نهایی در مورد خطرات و پاسخ دادن مناسب به ایمیل تقلبی دارای پیوست، متخصصان IT سلامت باید حملات شبیه سازی فیشینگ را با ارسال پیام‌های ایمیل جعلی (اما ایمن) یا لینک، انجام دهند. آرگاو و دیگران اضافه می‌کند که “بیمارستان‌ها باید هشیار باشند تا همه اعضا تمرینات امنیتی IT و تمرینات بازیابی سیستم را شبیه سازی کنند” ENISA  “کمبود آموزش و برنامه‌های آگاهی بخشی” را به عنوان یکی از شکاف‌های شناسایی شده توصیف می‌کند، یک روش خوب که امروزه اغلب در بیمارستان‌ها اجرا نمی‌شود.

• تست نفوذ:این اصطلاح به اجرای حملات سایبری شبیه سازی شده مجاز بر روی یک سیستم رایانه‌ای اشاره دارد که  توسط کارشناسان امنیت IT و با هدف ارزیابی امنیت سیستم انجام می‌شود. NEMA  توصیه می‌کند که تأمین کنندگان دستگاه باید “میزان نفوذ پذیری دستگاه در محیط عملیاتی مورد نظر را با هدف تعیین و ثبت محدودیت‌هایی که اپراتورها باید در این زمینه در نظر بگیرند از قبل تست کند.”ENISA توصیه می‌کند که بیمارستان‌ها “برای اطمینان از موثر بودن کنترل‌ها” به طور دوره‌ای ممیزی‌ها و بررسی‌هایی را بر روی کنترل‌های امنیتی انجام دهند. تست‌های نفوذ را حداقل دو بار انجام دهید.وزارت دادگستری ایالات متحده حتی به سازمان‌ها توصیه می‌کند “سالانه یک تست نفوذ و ارزیابی آسیب‌پذیری انجام دهند.”
• مدیریت حوادث: ENISA گزارش می‌دهد که با توجه به یافته‌های نظرسنجی‌ها و مصاحبه‌های انجام شده، به نظر میرسد یکی از اولویت‌های اصلی در امر امنیت، مدیریت حوادث باشد. بسیاری از کشورها اظهار داشتند که گزارش حوادث، کلید بهبود برنامه ریزی و اقدامات امنیتی است. سیتیگ و همکاران توصیه می‌کنند که “به دنبال هرگونه خرابی غیر منتظره در سیستم، چه ناشی از باج افزار یا هر واقعه انسانی یا طبیعی، سازمان باید یک تیم تحقیقاتی چند رشته‌ای متشکل از ذینفعان کلیدی اداری و بالینی و متخصصان فناوری اطلاعات سلامت را برای بررسی این رویداد و مدیریت آن، شناسایی علل اصلی آن و بحث در مورد روش‌های پیشگیری یا کاهش اثر در آینده تشکیل دهد.“

منبع : کتاب Cybersecurity in PACS and Medical Imaging