Khai thác bảo mật B450 và B850 của GE Healthcare

Một trong những lợi thế đầu tiên của công nghệ là tạo ra công nghệ có thể cứu sống và làm cho bệnh tật dễ kiểm soát hơn. GE Healthcare là một công ty Điện tử Y tế đa quốc gia có trụ sở tại Hoa Kỳ và được thành lập vào năm 1994.

Gần đây, công ty đã tung ra một số thiết bị điện tử y tế mới có tên là  CARESCAPE Monitor B450  và CARESCAPETM Monitor B850 đều nhằm mục đích theo dõi bệnh nhân và nó cũng dễ dàng di chuyển với bệnh nhân.

Các tính năng của CARESCAPET Monitor B450

CARESCAPET Monitor B450 là màn hình giám sát và theo dõi hoạt động của bệnh nhân và theo dõi mọi hoạt động khi di chuyển bệnh nhân. Thiết bị được chế tạo sao cho không quá nặng hoặc cồng kềnh để vận chuyển cùng với bệnh nhân. Nó được sản xuất đặc biệt để sử dụng trong các trường hợp khẩn cấp hoặc phẫu thuật. Nó cũng có một tùy chọn kết nối không dây để nhân viên y tế có thể truy cập thông tin bệnh nhân một cách dễ dàng và một mô-đun đa thông số với các phép đo huyết động và một mô-đun đo chiều rộng đơn bổ sung.

Người dùng có thể thiết lập hệ thống báo động và nhắc nhở phù hợp với nhu cầu của họ. Nó cho phép dễ dàng truy cập thông tin sinh lý về bệnh nhân giúp họ đưa ra quyết định điều trị nhanh hơn và sử dụng các thuật toán và phương pháp có thể giúp bác sĩ chẩn đoán. Nó có thể được cấu hình theo nhu cầu của đơn vị hoặc số lượng và loại bệnh nhân sử dụng nó và thông tin có thể được truy cập thông qua CARESCAPE Gateway từ HIS / EMR. Với thiết bị này, cả người dùng và người hành nghề y tế sẽ luôn kết nối và nó cũng có thể được kết nối với các thiết bị ghi âm, máy in, v.v. để quản lý bệnh nhân dễ dàng.

Các tính năng của CARESCAPETM Monitor B850

Mặt khác, CARESCAPETM Monitor B850 có thể theo dõi các hoạt động hô hấp và khí và sử dụng thuật toán Marquette * ECG với khái niệm gây mê đầy đủ độc đáo để gây mê phù hợp. Nó cũng cho phép kết nối và giám sát dữ liệu mà CARESCAPETM Monitor B450 cũng thực hiện và cung cấp thông tin lâm sàng từ phép đo từ xa, thuốc trước đây, kết quả xét nghiệm dữ liệu về hệ thống dữ liệu tim mạch trong số những người khác.

Nó cũng có thể được kết nối với các thiết bị xem bên ngoài để quản lý dữ liệu.

Vấn đề xác thực

Cả hai máy đều rất dễ sử dụng nên việc đào tạo nhân viên trên đó, từ kinh nghiệm đến thực tập trở thành một quá trình rất dễ dàng. Giao diện người dùng cũng rất trực quan và dễ hiểu. Nhưng tuyệt vời và hỗ trợ như những cỗ máy này, các nghiên cứu đã chỉ ra rằng chúng cũng có các vấn đề bảo mật rủi ro cao. Theo một số nghiên cứu của Cơ quan An ninh mạng và Cơ sở hạ tầng Hoa Kỳ (CISA), một số vấn đề được phát hiện là dữ liệu và thông tin xác thực được lưu trữ không được bảo vệ. Điều này có nghĩa là nó có thể được truy cập bởi bất kỳ bên thứ ba nào.

Ngoài ra, việc xác nhận đầu vào không được xác thực đúng cách và cần xác nhận thêm. Có một số thông tin về bệnh nhân mà chỉ bác sĩ mới có thể truy cập được. Những người có thể về thông tin cần xác minh hai bước mà nó thiếu. Các màn hình GE Healthcare cũng thiếu hệ thống xác thực cho các hoạt động rất quan trọng, có nghĩa là bất kỳ ai cũng có thể truy cập các chức năng đó và tải bất kỳ tài liệu nào vào cơ sở dữ liệu bệnh nhân, làm ảnh hưởng đến tính toàn vẹn của thông tin trong bảng điều khiển màn hình. Không có mã hóa để bảo vệ dữ liệu của bệnh nhân và rất dễ bị xâm nhập.

Những vấn đề này có ý nghĩa gì đối với bệnh nhân

Tất cả những thứ này trong nháy mắt có vẻ không nguy hiểm đến tính mạng, nhưng thực tế là như vậy. Nếu màn hình là con mồi của một cuộc tấn công, có thể dễ dàng thực hiện các thay đổi nghiêm trọng đối với phần mềm thiết bị, do đó sẽ thay đổi cách thức hoạt động và có thể gây tử vong. Các cài đặt báo thức và nhắc nhở cũng có thể được khắc phục, điều này có thể khiến bạn bị trễ thời hạn. Thông tin về bệnh nhân cũng có thể được tiếp xúc với Internet.

Một trong những điều quan trọng nhất được tìm kiếm nhiều nhất trong hệ thống chăm sóc sức khỏe sau khi điều trị thành công là sự quyết tâm. Tuy nhiên, điều đó không thể hứa với bệnh nhân nếu phần mềm được sử dụng để điều trị cho họ không an toàn trước các cuộc tấn công mạng. Thông tin y tế rơi vào tay kẻ xấu không chỉ tin tưởng mà còn rất đáng sợ. Các lỗi và  lỗ hổng bảo mật  được tìm thấy trong các thiết bị này đã được phục hồi bởi một nhà nghiên cứu CyberMDX có tên Elad Luz, người sau đó đã đổi tên các vấn đề đó thành “MDhex”, thành GE và CISA vào tháng 9 năm 2019. Hầu hết các vấn đề lần đầu tiên được phát hiện trong CIC Pro, một điện tử khác của GE Healthcare. thiết bị được nhân viên y tế sử dụng để lưu trữ dữ liệu tim mạch của bệnh nhân.

Hệ thống, khi được phân tích đang chạy phiên bản Webmin được cho là rất nguy hiểm và không an toàn. Khi họ tiếp tục xem xét CARESCAPETM Monitor B850 và CARESCAPETM Monitor B450, họ cũng phát hiện ra một số vấn đề với thiết bị. Và trong khi cả hai thiết bị đều là hàng đầu và thực hiện công việc y tế đáng kinh ngạc, chúng không thể được gọi là an toàn nếu chúng không miễn nhiễm với các cuộc tấn công mạng.

Những phát hiện này đã được báo cáo lại cho nhóm GE Healthcare đã làm việc trong dự án vào năm 2019. Công ty hứa sẽ phát hành các phiên bản mạnh mẽ hơn và ít bị tấn công mạng hơn.