Uma carta de certificação confirmando que um dispositivo médico passou em um teste de penetração não significa que o dispositivo seja seguro. Os líderes de segurança da saúde agora têm um roteiro criado pelos fornecedores para que eles possam superar essa lacuna. Novo diretrizes de consenso de Consórcio de inovação de dispositivos médicos orienta os fabricantes de dispositivos sobre como definir o escopo, executar e relatar testes de penetração. Enterradas nesses detalhes voltados para o fornecedor estão, na verdade, as perguntas que um CISO precisa fazer antes que um dispositivo conectado entre em contato com a rede.
Uma força-tarefa composta por líderes de segurança da Medtronic, Philips, Abbott, Boston Scientific e Johnson & Johnson MedTech escreveu o relatório. A equipe da FDA participa como membros. No entanto, a orientação não tem força regulatória e os autores deixam claro que ela não constitui uma política da FDA ou um requisito legalmente aplicável.
Para o público-alvo dos fornecedores, o valor está no que o documento revela sobre as garantias que os fornecedores fornecem. Os testes de penetração simulam ataques do mundo real contra um dispositivo para determinar se seus controles de segurança se mantêm. O relatório é cuidadoso com um ponto que os compradores muitas vezes não percebem. O teste aumenta a confiança. Isso não prova que um dispositivo não possa ser hackeado. O testador não pode provar que nenhum invasor terá sucesso. Portanto, o resultado líquido confirma a robustez apenas em relação às técnicas tentadas durante um envolvimento de tempo limitado. Os líderes de segurança que leram um relatório passageiro como garantia, releram-no.
O que os compradores podem realmente pedir
O elemento mais ativo para os sistemas de saúde é a carta de atestado. De acordo com as diretrizes, os clientes atuais e potenciais podem solicitar ao fabricante um, confirmando que foram realizados testes de penetração independentes. Essas cartas geralmente não exigem um acordo de confidencialidade. Eles cobrem informações de alto nível, como escopo, datas de teste, detalhes do sistema, metodologia, nível geral de risco e quem executou o teste. Para obter detalhes mais detalhados, os clientes podem solicitar as principais descobertas, que normalmente exigem um NDA. Neste caso, o produtor pode partilhar um resumo do estabelecimento de encargos, a metodologia de avaliação e um plano de mitigação com uma data prevista de conclusão.
A independência é outro ponto que vale a pena explorar. O relatório observa um equívoco comum de que apenas uma empresa terceirizada pode fornecer testes independentes suficientes. O padrão internacional CEI 81001-5-1 em vez disso, exige um departamento ou organização independente. Portanto, um fabricante que utilize uma equipe interna devidamente dedicada pode atender aos requisitos. Para o comprador, a questão útil diz respeito a se os testadores foram significativamente separados das pessoas que construíram o dispositivo.
Como ler as reivindicações de segurança do vendedor
Várias distinções no relatório ajudam os líderes de segurança a evitar o conforto de provas erradas. Por exemplo, uma verificação de vulnerabilidade não é um teste de penetração. A varredura sinalizou pontos fracos conhecidos. No entanto, não indicam se um invasor poderia realmente usá-los ou qual seria o impacto. Um fornecedor que faz uma varredura limpa não demonstrou que seu dispositivo pode resistir a ataques reais. Da mesma forma, um programa de recompensas de bugs não substitui testes estruturados. Os fabricantes não podem controlar as qualificações dos testadores ou garantir a cobertura total da superfície de ataque.
As descobertas de baixa gravidade também merecem uma análise mais detalhada. Na verdade, o relatório alerta que uma descoberta classificada como informativa ou baixa ainda pode dar ao invasor a inteligência necessária para criar uma exploração séria. A divulgação de informações que parecem inócuas isoladamente pode ser o primeiro elo de uma cadeia que termina num compromisso de alto impacto. Quando o vendedor se refere a um relatório com apenas resultados baixos, a questão mais útil é se esses resultados podem ser encadeados.
O documento também fala diretamente ao ambiente hospitalar. Especificamente, observa a propagação de ransomware em redes hospitalares e conexões com sistemas EHR por meio de APIs. A infraestrutura de nuvem compartilhada também é considerada parte da superfície de ataque. O surto do WannaCry é citado como exemplo. Esse malware não direcionado varreu dispositivos sem patches, nenhum dos quais direcionado especificamente à área de saúde. Entretanto, muitos dispositivos hospitalares permanecem em serviço durante uma década ou mais. Portanto, essas são as condições que um dispositivo enfrentará no mundo real e são um jogo justo para atualização no momento do pedido.
O teste de penetração faz parte de um processo mais amplo de desenvolvimento seguro de propriedade do fornecedor. O relatório posiciona-a como uma atividade de verificação e validação entre várias. Para os sistemas de saúde que adquirem os resultados, a lição prática é compreender o que a garantia de segurança realmente certifica, solicitar o atestado e insistir na diferença entre um teste aprovado e um dispositivo seguro.
