Protección de sus dispositivos médicos: mejores prácticas para la nueva era de dispositivos de alta escala y gran volumen

The need for medical device security is obvious: The consequences of an attack on a device like a pacemaker could be catastrophic. And the stakes are especially high since private medical information is potentially quite valuable.

Por supuesto, esta realidad no facilita el desafío de asegurar estos dispositivos tan importantes.

So what does it take to secure your medical devices properly? This was the topic of discussion in a recent webinar featuring Ellen Boehm, SVP of IoT Strategy and Operations at Keyfactor, and Spencer Frye, VP of Growth Strategy and Operations at nTropy. Specifically, they covered challenges and risks with the current security landscape for medical devices as well as solutions and best practices for improving security. Watch the full webinar here or read on for the highlights from the conversation.

Riesgo n.º 1: Impacto humano

El número de dispositivos médicos conectados disponibles hoy en día para facilitar nuestra vida diaria es increíble. Y vienen con tantos beneficios: Imagine al padre cuyo hijo tiene diabetes y ahora puede monitorear sus niveles de azúcar en cualquier momento, a distancia, e intervenir para ayudar según sea necesario. Ese nivel de información puede marcar la diferencia.

Pero a pesar de todos los beneficios que ofrecen estos dispositivos –y son muchos–, también conllevan riesgos. Cada vez que se introduce un dispositivo conectado, se abren riesgos relacionados con las filtraciones de privacidad de datos. Sin embargo, los beneficios son demasiado grandes como para no aprovechar estos dispositivos, por lo que usarlos de forma segura se reduce a establecer la confianza de que nadie está interceptando los datos, ya sea para leerlos o modificarlos de alguna manera.

Este tipo de confianza también es importante cuando se trata de proteger los registros financieros y los sistemas asociados con la información médica. Considere el caso de alguien que acaba de someterse a una cirugía mayor en una instalación regional y ahora está siendo trasladado a un hospital local. Los equipos médicos de ambas ubicaciones necesitan acceso a los registros del paciente para proporcionar la atención adecuada, pero esos registros contienen información sensible que requiere protección.

Y el desafío es real. No solo la atención médica representa el 79% de las filtraciones reportadas, sino que se espera que los dispositivos médicos conectados crezcan un 42% adicional para 2025, lo que generará aún más oportunidades para ataques.

To help, the FDA released both pre-market and post-market cybersecurity guidance several years ago that provides insight into unique identities, firmware signing, and other ways to embed security in medical devices. Notably, there continue to be constant discussions around this guidance to continue improving security standards.

Riesgo n.º 2: Impacto en el negocio

Muchos dispositivos médicos portátiles, como los monitores cardiovasculares, solo tienen un período de validez corto durante el cual alguien los usa, por ejemplo, dos semanas. Y las organizaciones producen cientos de millones de estos dispositivos, lo que presenta un desafío único sobre cómo autenticar y cifrar la información que contienen.

Por otro lado, muchos otros dispositivos pueden permanecer en uso durante 15 a 20 años, lo que plantea un conjunto diferente de preguntas sobre cómo seguir actualizando la tecnología que contienen y asegurar que cumplan con los estándares de seguridad a largo plazo.

En muchos de estos casos, los procesos son muy manuales, con individuos que intervienen para proporcionar materiales de seguridad. Sin embargo, esta intervención manual es propensa a errores. También significa que las políticas están sujetas a interpretación y pueden diferir según el departamento o la línea de productos. Todo esto importa porque un solo error podría resultar en que cientos de miles de dispositivos no sean viables.

Esta situación convierte la automatización en una pieza esencial de la ecuación de cara al futuro. La automatización puede ayudar a resolver estos problemas no solo eliminando el error humano, sino también introduciendo un sistema global y estandarizado para todos los dispositivos. Esta estandarización es importante porque los dispositivos médicos no existen de forma aislada. Cada dispositivo suele tener varios puntos de conexión, y esto requiere pensar en el panorama general a la hora de gestionar los dispositivos y su material clave de forma consistente.

Una vez más, aquí es donde entra en juego la publicación de directrices de la FDA sobre algoritmos, protocolos y criptografía. Las directrices pre-comercialización de la FDA, en particular, pueden ayudar a las organizaciones a seleccionar algoritmos y protocolos estándar de la industria, así como enfoques adecuados para la generación, distribución, gestión y protección de claves.

Soluciones y mejores prácticas para la seguridad de dispositivos médicos

Si bien la guía de la FDA es útil, sigue siendo bastante amplia, ya que proporciona el "qué" pero no es prescriptiva con el "cómo" para implementar ciertas soluciones.

Muchas organizaciones todavía tienen preguntas como: ¿Cómo implementamos estos protocolos? ¿Cómo se ve esto en comparación con nuestro ecosistema actual? ¿Y cómo realizamos las modificaciones y ajustes necesarios sin cambiar completamente toda nuestra infraestructura?

Hay tres pasos para empezar:

1. Identifique sus requisitos de seguridad

This is often harder than it sounds. Whether you’re a startup or an established company, it’s important to understand the end goal of what you’re creating, including what it needs to connect to, what it needs to trust, and what it needs not to trust. Every device has endpoints that are making decisions, and you need to understand the architecture of the entire device and what its boundaries are. Having at least a rough plan of how you want it to work provides a template that you can apply to different products, and having that plan written down on paper makes it easy to remember what’s most important.

2. Comprenda su configuración de seguridad existente

If you do have an existing PKI or other way to issue certificates, take the time to understand what that is. In some cases, larger companies tap into their existing enterprise PKI from their IT team, and while it’s okay to use some of that thinking, it’s always best to keep the security of the products you’re selling separate from your internal enterprise security. That’s because you never want your products in the market to be compromised by or be an access point into something inside your enterprise.

3. Describa el impacto empresarial

Defina claramente el impacto empresarial de sus acciones, incluyendo lo que podría verse afectado si algo sale mal. Por ejemplo, ¿su reputación de marca se vería dañada o un competidor podría obtener una ventaja en el mercado si sufre una brecha de seguridad? Todos estos son aspectos que no puede pasar por alto, ya que realmente afectan el éxito de su negocio a largo plazo.

A partir de ahí, es el momento de profundizar en la configuración de seguridad real. Para ello, es necesario:

1. Defina e implemente procedimientos de PKI

En primer lugar, debe identificar los requisitos normativos y definir sus políticas corporativas para garantizar la estandarización en todo el ecosistema, desde la implementación hasta la aplicación. Esto también debería ayudarle a determinar cómo desea abordar la PKI. 

A partir de ahí, puede superponer esos objetivos con su funcionalidad existente. En última instancia, no necesita renovar completamente toda su infraestructura interna; más bien, podría requerir pequeñas modificaciones que pueden marcar una gran diferencia. Estas modificaciones incluyen asegurarse de tener entornos seguros y separados para la empresa frente a sus dispositivos, y separar sus claves en áreas distintas para desarrollo, pruebas (staging) y producción. 

También es importante recordar que la seguridad con el material clave es una vía de doble sentido: ya no se trata solo de generar certificados y enviarlos a quien sea. También debe considerar cómo los socios, clientes, sitios de fabricación y otros consumirán su material clave. Comprender este panorama le ayudará a estructurar la implementación adecuada para sus necesidades. 

Finalmente, asegúrese de que sus Declaraciones de Prácticas de Certificación (CP) / Políticas de Certificación (CPS) estén claramente definidas en cuanto a qué son, cómo se aplican y dónde se utilizan, y que todo sea coherente en toda la organización.

2. Aprovisionamiento de identidades de dispositivos

Provisioning device identities requires the ability to embed X.509 certificates into every device. This certificate has to be quite small in the case of a wearable device like a pacemaker (vs. a large device like an MRI).

La creación e integración del certificado requiere varios pasos basados en el propósito de cada dispositivo. Esto exige considerar el ciclo de vida del dispositivo, ya que una vez que está operativo en el campo, no puede permanecer en ese estado indefinidamente. Al igual que necesitamos renovar nuestros pasaportes, es crucial renovar estas identidades de dispositivos para validar la autoridad y realizar otras actualizaciones según sea necesario. Como resultado, la automatización adquiere una importancia particular aquí para asegurar que las identidades no caduquen inesperadamente y para garantizar la coherencia en la renovación de los certificados.

Mejores prácticas para la gestión de material clave a gran escala

Cuando se trata de asegurar dispositivos médicos, hay muchos matices diferentes a tener en cuenta. La nueva era de los dispositivos médicos se caracteriza por su gran escala y alto volumen, lo que conlleva desafíos únicos. Esta escala y volumen hacen que sea particularmente importante tener en cuenta las limitaciones de los dispositivos y cómo almacenará y protegerá el material clave. En el proceso, hágase preguntas como: ¿Cómo emitiremos los certificados? ¿Podemos inyectar material clave en tiempo real en el sitio de fabricación?

Y una vez que esos certificados estén activos en los dispositivos, debe considerar cómo se consumirán, recordando que las comunicaciones son ahora una vía de doble sentido, con clientes, socios, fabricantes y otros enviando comunicaciones a estos dispositivos.

Con ese fin, uno de los enfoques que Keyfactor y nTropy han utilizado recientemente es un proceso que permite generar por lotes cientos de millones de certificados y almacenarlos en un HSM ubicado en el sitio de fabricación por contrato; de esta manera, nunca tendrá problemas de latencia y podrá inyectar material clave en tiempo real. Este proceso se basa en la comprensión de que existen varias formas únicas de estructurar el almacenamiento y la gestión de materiales clave. 

Ultimately, there are now many options available, and the most important piece of the puzzle is clearly understanding what your organization is trying to accomplish based on the requirements and then building a solution that meets those needs according to security best practices like those outlined above.

Ready to learn more? Get in touch – the Keyfactor team is ready to help.