Sağlık sektöründe yaşanan siber güvenlik riskleri
Hasta kayıtlarınızın hastahaneden sızdırıldığını ya da bağlı olduğunuz cihazın size yüksek akım verdiğini veya bebeğinizin olduğu kuvözün nefesini kesebilme ihtimalini hiç düşündünüz mü?
25/09/2019 15:31 Güncelleme: 25/09/2019 15:44
İnsülin pompaları, kalp atışlarını elektrik akımı ile düzenleyen defibrilatörler, kalp pilleri, ilaç enjeksiyon pompaları, MRI cihazları (Manyetik Rezonans Görüntüleme-MR olarak da biliniyor), kalp monitörleri, hastane bilgisayar ağları: tüm bunlar hacklenebiliyor, geçmişte örnekleri yaşandı ve bu cihazlara bizim veya bir yakınımızın bugün ihtiyaç duymaması, tehlikede olmadığımız anlamına gelmiyor. Hacklenen medikal cihazlar siber güvenlik konusundaki en büyük kabus olma yolunda zira para veya verilerimizden daha kıymetli bir şeyi tehdit ediyor; sağlığımızı ve hatta hayatımızı…
Amerikadaki hastahanelerde bir hasta yatağına bağlı yaklaşık 10-15 cihaz olduğu biliniyor ve bunların RF (radyo frekansı) veya bilgisayar ağına bağlı olanlarının bir çoğu siber saldırganlar tarafından istismar edilmeye müsait açıklar bulunduruyor. Bu cihazlar vasıtasıyla elde edilen verilerin doktorlar için büyük faydası olduğu bir gerçek ama gerekli siber güvenlik önlemleri alınmadığı takdirde faydasından daha büyük bir zarara yol açabileceği de aşikar.
Gereken önlemler alınmalı
2019'un Mart ayında ise elim bir ölüm yaşanacaktı ki, hasta durumu fark etti. Laura Hopkin isimli kadın, uzaktan kumanda edilebilen bir insülin pompası vasıtasıyla nişanlısını zehirlemeye çalıştı. 3 çocuk babası olan Derek Turner, gece geç saatlerde yatağında kitap okurken insülin pompasından gelen kapanma sesini duymuş, cihazın bluetooth uzaktan kumandasını ararken ise, gün içerisinde tartıştığı nişanlısının uzaktan kumandayı saklamaya çalıştığını görmüş. Cihazın kapanmasının nedeni, Turner’ın nişanlısının normalde ufak dozlarda insülin enjekte etmesi gereken cihazı en yüksek doza ayarlamasıymış. Hem polis hem ambulans çağıran Turner, geceyi hastanede geçirmiş. Olayı fark etmemesi durumunda ise kendisini önce koma ardından da ölüm bekliyordu. Bu olay, bir bluetooth cihazı ile ne denli kolay bir cinayete kurban gidilebileceğini hatırlatırken aynı zamanda diğer medikal cihazların güvenlik durumlarını da gözden geçirmek gerektiğini düşündürdü.
Öte yandan yine aynı ay içerisinde Medtronic firmasının implant olarak kullanılan (vücuda takılan) kalp defibrilatörleri saldırıya açık haberi duyuldu. Kalp atımlarının düzenini elektrik akımı ile sağlayan bu cihazların, siber saldırganların uzaktan kontrolünü ele geçirebilmesine olanak tanıyan çok sayıda zafiyeti bulunduğu Amerika Ulusal Güvenlik Birimi tarafından açıklandı. Bu cihazlardaki zafiyetleri istismar edebilen saldırganların, cihaz fonksiyonlarını değiştirebileceği ve hassas verilere erişim sağlayabileceği söylendi. Durum açıkça görülebileceği üzere çok sayıda hastanın hayatını risk altında bırakıyor. Medtronic firma yetkililerinin yaptığı açıklamaya göre ise bu cihazların hacklenmesi o kadar da kolay değil ve henüz hiçbir hastanın başına bir şey gelmemiş.
Hacklenebilen medikal cihazlardan en büyük tehdit oluşturan ilk 5 ve alınabilecek güvenlik önlemleri şöyle sıralanabilir:
Kalp pilleri: Son teknoloji kalp pilleri, bağlantı veya “uzaktan görüntüleme” özellikleri ile doktorların cihazın doğru çalışıp çalışmadığını gözlemlemesine yardımcı olduğu gibi, hacklenmek için de ideal bir hedef olmalarına yol açıyor. Kalp pili hackleme fikri ilk olarak 2012 yılında yayımlanan popüler televizyon dizisi Homeland’de karşımıza çıkmıştı. Bunun gerçek olabileceği fikri ile eski ABD başbakanı Dick Cheney ve kardiolojisti ise üreticiden kendisine ait kalp pilinin kablosuz bağlantı özelliğini kaldırmasını istemişti.
Amerika FDA (Food and Drug Administration) tarafından dünyanın en büyük medikal cihaz üreticilerinden biri olan Abbott firmasının 465.000 adet cihazının geri çağırılması ile kalp pillerinin major bir hacklenme riski taşıdığı da açıkça kabul edilmiş oldu. Üreticisi kim olursa olsun “uzaktan görüntüleme ve bağlantı” özelliği bulunan bütün kalp pillerinin potansiyel olarak hacklenebilir olduğunu bilmek gerekiyor.
İlaç enjeksiyon pompaları: Eylül 2017’de Endüstriyel Kontrol Sistemleri Siber Acil Durum Takımı (ICS-CERT) Amerikan hastanelerindeki bazı şırınga infüzyon pompalarında problemler tespit etti. Hastaya sıvı halde enjekte edilen; gıda, insülin, hormon, antibiyotik, kemoterapi ilaçları ve ağrı kesiciler için kullanılan ilaç infüzyon pompalarında çok sayıda zafiyet tespit edildi. Söz konusu cihazlar dünyanın her yerindeki yenidoğan yoğun bakım, pediatrik yoğun bakım ve ameliyathane prosedürleri dahil olmak üzere akut kritik bakım bağlamında küçük dozlarda ilaç verilmesi için kullanılıyor. Tespit edilen güvenlik tehditleri ise uzaktaki bir saldırganın yetkisiz erişim sağlamasına ve ölümcül olabilecek aşırı dozların verilmesi de dahil olmak üzere pompanın amaçlananın dışında çalışmasına neden olabiliyor.
Hastahanelerin siber risk sigorta yaptırmaları ve personel bilgi güvenliği farkındalığı oluşturmak için bilgi güvenliği farkındalık eğitimlerinin sağlanması gerekmektedir.