עדכון ותוספות - אבטחת/הגנת מידע והגנה בסייבר: שני עולמות או סתם באזזוורד

אני מייחס למילים משמעות. על כן תחילת הפוסט הנה שעור בסמנטיקה.

אבטחה או הגנה על מידע כשמה כן היא, הגנה על "מידע" מפני "משהו לא טוב" שיכול לקרות לו, ל"מידע".

אם נגדיר מה זה "המשהו הלא טוב" הזה ונגדיר מהו "מידע" אזי נדע בדיוק למה הכוונה בצמד המילים "אבטחת מידע" או "הגנת מידע" (היינו הך לדעתי לפחות סמנטית).

אז הגדירו. אני חושב שההגדרה המקובלת כיום היא שאותו ה"משהו הלא טוב" כולל את הפגיעה בסודיות המידע (אם המידע סודי), פגישה בשלמות ואמינות המידע (אם שלמות ואמינות חשובה), ופגיעה בזמינות הגישה למידע (אם זמינות זו חשובה).

וגם הגדירו מה כלול במילה "מידע". כדי לפשט נאמר שמדובר באוסף נתונים בשלל צורות (אותיות, מילים, משפטים, סימנים) המצויים על גבי תשתיות מדיה שונות (נייר, תשתית מחשוב דיגיטלית, אופטית) בצורה של מסמכים, שרטוטים וכד'.

 

בסיכומו של דבר זוהי הגדרת אבטחת המידע הידועה משכבר הימים. הגנה על:

                                                                                       Confidentiality , Integrity , Availability.

מה לא כלול בהגדרה הזו?

מי אחראי על מה בחלוקת האחריות הארגונית:

§         הטיפול בסיכונים השונים: מי אחראי על הטיפול בסיכון הפגיעה בסודיות, מי מטפל בסיכון הפגיעה בשלמות ואמינות ומי מטפל בסיכון הפגיעה בזמינות. האם זה גורם ארגוני אחד או יותר. והיכן ממוקם בארגון אותו הגורם או אותם הגורמים.

§         הטיפול במישורים הפיזי והמיחשובי: המישורים הפיזיים שבו מצוי המידע (נייר, מחשבים נייחים וניידים), במנוחה או בתנועה (לדוגמה, במגירה במשרד או בתיק כאשר נלקח ממקום העבודה לאתר לקוח ויהא זה דוח או מחשב נייד או סמרטפון) ובמישורים המיחשוביים/דיגיטליים/אופטיים שבהם מעובד המידע, נאגר המידע ומועבר המידע בתקשורת (ההגנה המקצועית הנדרשת במדיום הדיגיטלי או האופטי, וזה כולל המון, כמו לדוגמה: מערך מידור והרשאות, טיפול בקוד זדוני, איתור והדיפת התקפות מכיוון הרשת הפנימית והחיצונית, U Name IT).

עכשיו, בואו נשלב בין שני הנושאים לעיל. מה קיבלנו?

-          טיפול במישור הפיזי של סיכוני סודיות, שלמות ואמינות, זמינות.

-          טיפול במישור המיחשובי של סיכוני סודיות, שלמות ואמינות וזמינות.

בדרך כלל הפתרון המקובל הנו:

המישור הפיזי מטופל כולו ע"י הקב"ט (סודיות, שלמות ואמינות, זמינות). לעתים הטיפול בסיכון הסודיות מספק מענה גם לשאר הסיכונים. לדוגמה: אם נדרש להעביר מסמך מסווג ממקום אחד לשני, אזי המסמך מוכנס למעטפה מאובטחת (פתיחה מגלה את עובדת פתיחתה), ובזה טופלו בבת אחת היבטי הסודיות וגם שלמות ואמינות. נעשה שימוש בשירות בלדרות שעבר בדיקת מהימנות וטופלה גם הזמינות וגם אמינות השירות. הכל תחת גורם מקצועי אחד בארגון, הקב"ט.

אבל המישור המיחשובי לא מטופל כולו ע"י מנהל אבטחת/הגנת המידע.

• מנהל אבטחת/הגנת המידע מטפל בסיכון הסודיות בלבד.
• מנמ"ר ומנהל הפיתוח מטפלים בסיכון השלמות והאמינות. הם אינם מתייגים את עצמם כאחראים על אבטחת מידע, הרי לזה "יש מנהל אבטחת מידע",
• נושא הזמינות מתחלק לשניים, השגה ושימור של זמינות בשגרה ואספקת זמינות (ולו גם חלקית) כאשר השגרה הופרה, בעתות חירום:

1. מנהל תפעול מערך טכנולוגיית המידע אחראי על אספקת הזמינות בעת שגרה, דהיינו, טיפול בסיכון אי הזמינות. מבוצע בדרך כלל באמצעות תכנון קיבולת ועומסים ואספקת יתירות. מנהל התפעול איננו מתייג את עצמו כמטפל בנושא אבטחת מידע, הרי "יש מנהל אבטחת מידע בארגון".
2. סמנכ"ל תפעול או סמנכ"ל בכיר אחר או המנמ"ר מטפל בסיכון הזמינות לעת חירום באמצעות הכנת מענה הנקרא בז'רגון המקצועי "תוכנית המשכיות עסקית".. מי שממונה על הנושא איננו מתייג את עצמו כעוסק באבטחת מידע, כי בשביל אבטחת מידע "יש את מנהל אבטחת המידע".

המענה על כן קיים מאז ומעולם, אין פה שום חידוש, אלא שברמה הסמנטית יש עיוות. ישנם כל הזמן איומים חדשים ולא סיכונים חדשים, כן גם כאן הסמנטיקה חיונית[1]. אויבים חדשים עלולים גם הם לצוץ, סדרי העוצמה של איומים קיימים עלולים להשתנות, טכנולוגיות עשויות לקום וליפול, מבנה ארגוני עשוי להשתנות וכד', כמו גם מענים המתפתחים כדי לספק מענה לאיומים ולסיכונים כל אחד בנפרד ובמשולב.

דוגמא נפלאה בת עשור בדיוק הוא הפישינג. הוא היה קיים מאז ומעולם, כן מאז שיכולנו לעבוד אחד על השני באמצעות המדיום הדיגיטלי בדוא"ל. בחג במולד בשנת 2003 פתאום בחודש אחד כמות הפישינג קפצה ב-400% ומאז האיום הזה לא ירד ממסך הרדאר. העובדה היא שבנקודת זמן ספציפית מאד, קבוצה של (מי יודע?) החליטה להקפיץ בצורה משמעותית את השימוש בפישינג ומאז זה מוכר וידוע. אבל זה היה כבר קודם.

מודיעין על תקיפות דבר חדש? נו באמת חבר'ה. באותה המידה אפשר להגיד שגם הצפנה הייתה דבר חדש. כן, אתם הצעירים אינכם זוכרים, אבל עולם ההצפנות המסחריות שכל משתמש יכול להשתמש בהם לא היה. לא היה דבר כזה. הצפנה הייתה נחלת גופי מערכת הביטחון. ואז יום אחד אי שם בשנות ה-70 של המאה הקודמת הטכנולוגיה הזו התחילה לזלוג מהעולם הביטחוני לעולם המסחרי. היה צורך, היה ידע, היו חבר'ה ש"זלגו" מעולם הביטחון לעולם האזרחי ו"הזליגו" אתם את הידע והיכולות... אז לידיעתכם, גם נושא "מודיעין הסייבר" איננו שונה. איסוף מודיעין היה מאז ומעולם למטרות ביטחוניות ולמטרות אזרחיות. אל מה? הביטחוניסטים יצאו החוצה מהיחידות הטכנולוגיות הביטחוניות ו"הזליגו" יחד אתם את הידע שרכשו שם. אז לא זה מה שיוצר את ההבדל.

ואם נדרשת דומה ספציפית לעניין תקיפה למטרת איסוף מודיעין, אני מפנה את כל הקוראים את הפוסט לספר "העין של וושינגטון", או בשמה היותר ידוע של אותה הפרשה:

                       The Inslaw Affair / PROsecutors Management Information Systems-PROMIS

זוהי תקיפת APT מצוינת. רק שהיא מתחילה מתישהו בשנות ה-70 של המאה הקודמת...

הרי בלי אינטרנט אין APT. תתעוררו בבקשה, עידן האינטרנט לא המציא את ה-APT

סיימנו בזאת את הדיון באבטחת מידע? עדיין לא.

בכל הדיון שלנו קיימת הנחה סמויה. הנחה זו מתייחסת לבעלות על רכיבי המחשוב שבהם המידע הארגוני נאגר ומעובד. ההנחה הנה שמדובר ברכיבים שבבעלות הארגון. פועל יוצא הנו שהארגון באמצעות אגף מערכות מידע שלו חולש על אותם הרכיבים ועל כן החלוקה שהוצגה לעיל תקפה (מנהל אבטחת המידע אחראי על סיכוני הסודיות, מנמ"ר/מנהל פיתוח אחראי על סיכוני שלמות ואמינות והאחריות לטיפול בזמינות מתחלקת כפי שמצוין לעיל).

עד כאן הכל טוב ויפה.

מה קורה כאשר המידע מצוי בבעלות גוף אחר אבל עדיין הסיבה שהמידע מצוי שם נעוצה בעובדה שהארגון החליט כך אבל המידע לא הועבר מהארגון לגוף האחר בתקשורת. הוא פשוט הגיע לשם מלכתחילה. דוגמה טובה לכך עשויה להיות במגזר הבריאות.

כל אחד מאתנו הנו לקוח של אחת מארבע קופות חולים. כאשר אני מיישם את זכותי לקבלת טיפול רפואי באמצעות זכאותי ועל בסיס הביטוח בקופה, ישנן שתי אפשרויות:

1.       את הטיפול הרפואי אני מקבל במרפאה של הקופה. המטפל עושה שימוש במערכות המידע של הקופה.

       במצב זה, אנו מצויים בתחום חלוקת האחריות לאבטחת המידע שתוארה לעיל.

2.     את הטיפול הרפואי אני עושה במכון חיצוני אליו הופניתי ע"י הקופה. המטפל עושה שימוש במערכות מידע שאינן של הקופה, אלא של המכון. לא תמיד המידע מועבר מהמכון לקופה בתקשורת מחשבים. אני מתייחס למצב שבו המידע יימצא רק במערכות המידע של המכון. המטופל עשוי לקבל תדפיס של המפגש או מידע על מדיה מגנטית בצורה כלשהי.

במצב זה, דרישות האבטחה מושתות על המכון החיצוני באמצעות ההסכם הנחתם אתו. ההסכם עשוי להיות תוצאה של הליך רכש באמצעות מכרז. במקרה זה אגף מערכות מידע של הקופה איננו חלק מתהליך רכש השירות ע"י הקופה ועל כן בהחלט עשוי להיווצר מצב שעל מנהל אבטחת המידע לקבוע דרישות בשלושת התחומים:

א.      שימור סודיות המידע כיוון שמדובר במידע רפואי-אישי, כזה המוגן ע"פ החוק והתקנות להגנת הפרטיות במדינת ישראל,

ב.      שימור שלמות ואמינות המידע תתפלאו לקרוא, אבל בחוק הגנת הפרטיות, כן זה המיושן, הלכאורה חסר שיניים, נושא שלמות ואמינות המידע כן כלול בהגדרת אבטחת המידע, ועל כן גם נושא זה מצוי באחריות מנהל אבטחת המידע במקרה זה,

ג.       שימור זמינות השירות בשגרה ובמקרי חירום לא יאומן כי יקרא, אבל גם הזמינות מצויה שם בהגדרת אבטחת המידע בחוק הגנת הפרטיות.

מה למדים אנו אם כך? במקרה זה, מנהל אבטחת המידע בבואו לכלול דרישות אבטחת המידע שעל ספק שירותי הבריאות החיצוני לספק למבוטח, בסמכותו, והייתי אומר מחובתו לכלול דרישות לסודיות, שלמות ואמינות וזמינות.

השאלה הנה כמובן האם יש בידיו את הכלים הנאותים לדרוש זאת?, שכן ביומיום כפי שהסברתי לעיל, הוא אחראי רק על סודיות המידע.

 בזאת סיימנו למיטב הבנתי את הדיון באבטחת מידע.

ומה נותר לנו? תחומים שאינם עיסוק במידע. כיוון שהם אינם כלולים בהגדרת המונח אבטחה או הגנה על מידע. למה? כי הגנה או אבטחה של מידע מתחילה ונגמרת במונח מידע.

השאלה כמובן האם קיימים תחומים כאלה? לדעתי כן.

בעבר התחומים הללו לא נצמדו לעולם הטכנולוגי המודרני המבוסס שבבים המרכיבים את המרכיב היסודי בעולם המחשוב.

קחו לדוגמה מכשיר רפואי ידוע ומוכר, מכונת צילום רנטגן. מה היה בה? מכשיר ליצירה וירייה של קרן אלקטרונים, (זה היה קיים הרבה לפני שהומצא הטרנזיסטור שבלעדיו אין שבב ובלעדיו אין מחשב), ולוח צילום שמאפשר לקלוט את תוצאת הקרנת קרן האלקטרונים הזו על חפץ שבחלקו בולע את הקרן ובחלקו לא בולע אותה. גם זה לא קשור למחשבים דיגיטליים. חוץ מזה הייתה שם הרבה מכניקה, וחומרים כימיים לפיתוח התמונה. בסוף היה לנו ביד פילם שאתו הלכנו לרופא והוא על סמך מה שראה בפילם הפיזי שהחזיק אותו ביד קובע את האבחנה הרפואית ושולח אותנו לקבל טיפול.

אבטחת המידע במקרה זה נועדה להגן על המידע המצוי בפילם. כן הייתה חשיבות לשלמות ואמינות המידע המצוי בפילם. לכך דאגו הרשויות המוסמכות לדוגמה ה-FDA כאשר סיפקו אישור למכשיר הרפואי שהוא מבצע את פעילותו כנדרש.

כמו כן, נדרש לאחסן את הפילמים במקום שלא ייגנבו ויישמרו כיאות, כך שניתן יהיה לאחזרם בעת הצורך (עד שנמאס לקופות החולים והם העבירו את האחריות לחולים. זוכרים?).

היום מכשיר רנטגן קרוי CR – Computerized Roentgen או DR – Direct Roentgen.

כי אין יותר מידע על פילם אלא יש מכונה שיש בה מחשוב בכל מיני שלבים של פעילותה וניהול פעילותה. היא מייצרת מידע דיגיטלי מסוג תמונת רנטגן אבל הוא מיוצר בנבכי מערכות המחשוב, בתהליך דיגיטלי. כלומר כל תהליך הפעולה של המכונה כבר מבוקר ומנוהל באמצעות ממשקי מערכות מיחשוביות, חלקן משובצות מחשב וחלקן מחשוב "רגיל".

מהי כאן "אבטחת/הגנת המידע"? על מה מנהל אבטחת/הגנת המידע אמור להגן? האם הידע ותחומי האחריות שלו מספיקים/רלוונטיים?

באופן דומה נוכל להתייחס לכל מערכות הייצור והבקרה. ייצור של ובקרה על אנרגיה לסוגיה השונים (חשמל, דלק, גז), מערכות חיים כדוגמת מים וביוב, מערכות שליטה ובקרה בתחומי הטיס, שיט, תנועת רכבות ועד מערכות ניהול מעליות, מיזוג אוויר. מקררים תעשייתיים ומעבדתיים, וחמצן בבתי חולים. הדוגמאות הן מכל חיינו. כל העולמות הללו שהיו בעבר עולמות מכניים, חשמליים, והידראוליים וכללו מנגנוני טיפול בסיכוני בטיחות למפעיליהם ולתהליכים שבוצעו באמצעותם (באופן כזה או אחר) הפכו לעולמות שבהם משולב ומעורב שבב המחשב ואתו כל העולם הדיגיטלי כולל ממשקים מהרכיב הממוחשב לעולם החיצוני למטרות שונות החל מהצגת הנתונים, קבלת פקודות לבצוע פעולות (לפתוח לסגור שסתום להזרמת מים, דלק, גז, לנהל את מערך ייצור החשמל, לנהל את מערך הרמזורים והדוגמאות רבות מספור) וכמובן בצוע תחזוקה מרחוק באמצעות ממשק אלחוטי או אינטרנט או כל ממשק אחר.

מה לאמור לעיל ולאבטחת מידע/הגנת מידע? ישנה מעורבות בהתייחסות למידע, אינני מתכחש לעובדה זו, אבל ניהול הסיכונים של מערכות הנדסיות כדוגמת מכשור רפואי, מערכות שליטה ובקרה (חלקן בזמן אמת), ייצור חשמל, ניהול רמות דלק והזרמתו, אינו ניהול סיכוני מידע או ניהול סיכוני טכנולוגיית מידע, הם תחום מקצועי אחר לגמרי. ועל כן וכבר מהרמה הסמנטית, אבטחת/הגנת מידע איננה הכותרת הנאותה. אם היא לא הכותרת הנכונה, אזי קשה להניח שניהול אותם הסיכונים הנו בר בצוע ע"י מי שכל ידיעותיו, הכשרתו וסמכותו מצויות בתחום המקצועי של ההגנה/האבטחה על המידע וטכנולוגיית המידע בלבד.

על הבעייתיות הזו עמדו כל העוסקים בנושא בתחילת העשור הקודם כאשר החל בעולם, כמו גם בארץ הטיפול בנושא.

נדרש ליצור שיתוף פעולה בין עולם ההנדסה המייצר את הרכיבים הללו ובין עולם המחשוב שהרכיבים הללו משתמשים בתשתיותיהם (חומרה/קושחה ותוכנה) ופועלים בהם בשילוב. נדרש ליצור שפה משותפת של ידע כיצד הדברים פועלים ומהם האיומים בשני העולמות השונים, כיצד איומים אלו מתורגמים לסיכונים (ומהם הסיכונים) וכיצד ביחד, בשיתוף פעולה בין עולם ההנדסה (לדוגמה בסקטור הבריאות, ההנדסה הרפואית) ועולם המחשוב (אגף מערכות מידע, ומנהל אבטחת/הגנת המידע, בין אם הוא ממוקם בתוך האגף ובין אם הוא ממוקם מחוץ לאגף) מייצרים תהליך להגנה נאות מפני אותם איומים וסיכונים.

זו לא אבטחה/הגנה על מידע. נקודה. זו הגנה על יכולת התפקוד של הרכיב ושל מה שהרכיב הזה אמור לבצע. וזו תוספת להגנת המידע ולא במקומה.

אז איך נקרא לזה? הגנת סייבר? זה אומנם תפס, אבל זה לדעתי לא המונח הנכון.

שם אחר שנתן: אבטחת שרשרת האספקה. יופי. ארוך מדי, מסורבל, לא קליט ולא ממש מבינים מה זה.

אפשר לעשות תחרות למצוא את השם הנכון. כרגע אין לדעתי שם נכון.

אבטחת/הגנת מידע זה לא. אני מקווה שלפחות בכך הצלחתי לשכנע.

הגנה בסייבר זה גם לא, אבל זה תפס. אז נגיד...

ויש עוד מקום לדיון נוסף האם מדובר בשני ממלאי תפקיד בארגון: מנהל אבטחת/הגנת המידע ומנהל הגנת הסייבר (נגיד שזה השם), כאשר ההפרדה היא לא המודיעין, האינטרנט, התוקף, תקיפת APT או פצחנות "רגילה", אלא על מה יש להגן, על המידע או על מרכיבים אחרים שאומנם גם בהם יש מידע, אבל העיקר בהם איננו המידע אלא יכולת התפקוד. נקודת המוצא לדיון נוסף זה אמורה להיות לדעתי זו:

הגנה על מידע מיושמת בסיכומו של דבר במערכות טכנולוגיית המידע. מערכות אלו מיוצרות ברחבי העולם והן בעיקרן מערכות לשימוש כללי. שרת/תחנת עבודה/מחשב נייד עשויים לשמש תשתית לסוגים שונים מאד של שימושים. יישום אבטחת מידע מוטל על כן בעיקר על הרוכש את הרכיב ומותנה מאד באופן השימוש ברכיב.

הגנה על רכיבים תפעוליים אשר מראש יועדו לשמש מטרה מסוימת, כמו מכשור רפואי, נדרש שהיצרן יפעיל מראש רכיבי אבטחה כחלק מהתכנון ההנדסי והייצור. אם לא יעשה זאת, לא יוכל המשתמש להוסיף רכיבים כלל או יתקשה לעשות זאת משלל סיבות. זהו מצב שונה.

---

 

[1]  איום – Threat: הפוטנציאל להתרחשות "משהו לא טוב" ("נזק"). סיכון – Risk: מה עלול לקרות אם יתממש הנזק. לדוגמה: חדירת קוד זדוני זה איום. הסיכון מאיום זה הנו משולש: שיבוש מידע, שיבוש עד השבתת יכולת הפעילות, גניבת מידע. האיום לא חייב להתממש או עלול להתממש בכל קומבינציה אפשרית של מרכיבי הסיכון. כמו כן, סיכון אחד יכול להתממש מיותר מאיום אחד. לדוגמה: השבתה יכולה להתממש עקב חדירת קוד זדוני או מטעות אנוש או מפעולה זדונית של פצחן (האקר).

מאמר מתורגם – "קיר הבושה –Wall of SHAME" ארבע שנים אחרי: צבר האירועים – נתן להפיק לקחים חשובים

לאחרונה הכריז ארגון ה-ICS2 (International Information Systems Security Certification Consortium) על הסמכה חדשה, HCISSP. לכל מי שלא יודע הסמכת CISSP הנה ההסמכה הוותיקה והנפוצה ביותר בתחום אבטחת המידע בהיבט הכללי. ההסמכה החדשה הנה CISSP למגזר הבריאות.
נשאלתי, מדוע לספק הסמכה ייחודית למגזר זה?
אחת התשובות שיש באמתחתי הנה המאמר שאת תרגומו אביא להלן.

רקע:
בארה"ב קיימים שני חוקים חשובים העוסקים בהגנת פרטיות ואבטחת מידע למגזר הבריאות:
1. HIPAA – Health Insurance Portability and Accountability Act: כולל שני "תת חוקים". האחד לנושא הגנת הפרטיות והשני לנושא אבטחת מידע.
2. HITECH – Health Information Technology for Economic and Clinical Health act אשר נחקק כחלק מחוק רפורמת הבריאות של הנשיא אובמה. משדרג נושאים ב-HIPAA.
לאחרונה נוסף חוק שלישי (תוספת ל-HIPAA). ה-HIPAA OMNIBUS, אשר בין היתר מחייב "שותף עסקי – Business Associate" של מי שמחזיק רשומה רפואית פרטנית (לדוגמה ספק שירותי גיבוי או ספק שירותי ענן...) לציית לדרישות HIPAA.
אבל לענייננו המרכיב החשוב ביותר הנו חוק ה- Breach Notification Final Rule(שנחקק במסגרת ה-(HITECH מאוגוסט 2009, ואשר מחייב ישויות החייבות לעמוד ב-HIPAA לדווח למשרד הבריאות האמריקני על אירוע אשר פגע בפרטיות או באבטחה ובמהלכו התאפשרה גישה בלתי מורשית למידע הרפואי המוגן באופן שהשימוש או החשיפה מהוות סיכון משמעותי בתחום הכלכלי, התדמיתי או נזק אחר (HARM) לאדם שנפגע. גולת הכותרת הנה שכאשר מדובר בלמעלה מ-500 יחידים באירוע בודד, האירוע לא רק מדווח למשרד הבריאות אלא גם הופך לפומבי באתר האינטרנט של משרד הבריאות ("קיר הבושה – Wall of Shame") .
ללא קשר לכמות הנפגעים הפוטנציאליים בכל אירוע, החקיקה מאפשרת הטלת קנסות כבדים (עד מיליוני דולרים) באירוע בודד.
בספטמבר 2013 מלאו 4 שנים לכניסתו לתוקף של חוק ההודעה על אירוע פגיעה בפרטיות ואבטחת הרשומה הרפואית (Breach Notification Rule).

קישור ל"קיר הבושה - Wall of SHAME": http://www.hhs.gov/ocr/privacy/hipaa/administrative/breachnotificationrule/breachtool.html

קישור למאמר:
healthcareinfosecurity.com/wall-shame-four-years-later-a-6104



עתה נפנה לתרגום המאמר בסופו שלוש מסקנות/המלצות למנהלי אבטחת מידע ולמחוקקים/רגולטורים בישראל.

בארבע השנים מאז כניסתו לתוקף של חוק ההודעה על אירוע פגיעה בפרטיות ואבטחת הרשומה הרפואית (Breach Notification Rule), אושרו ע"י הרשויות הפדרליות כ-674 פגיעות משמעותיות אשר פגעו בכמעט 27 מיליון יחידים.
לקח אחד חד משמעי ב"קיר הבושה" של פגיעות משמעותיות הנו הערך של הצפנה כאמצעי מניעת פגיעה. למעלה ממחצית מכל הפגיעות המשמעותיות שדווחו מאז ספטמבר 2009 קשורות לאובדן או גניבה של רכיבים שאינם מוצפנים, בעיקר מחשבים ניידים.
אמצעי הימנעות מסיכון הבדוק ביותר הנו הצפנה, כך לדברי לאון רודריגז מנהל המשרד לזכויות האזרח (Office of Civil Rights, להלן OCR) במשרד הבריאות האמריקני. לדבריו קיימת הערכת יתר של עלויות וסיבוכיות של הצפנה.
רבים מהאירועים של פגיעה בהיקפים גדולים של רשומות, ו-22% מכל האירועים מערבים "שותפים עסקיים – Business Associates". דבר זה מצביע על הצורך של הגופים הנדרשים לעמוד ב-HIPAA )מוסדות רפואיים, הערת המתרגם) לנטר כיצד ספקיהם מממשים בקרות אבטחה יעילות. החשיבות של מרכיב זה גדלה לאחר שהם (השותפים העסקיים) הפכו כעת לאחראים ישירים לציית ל-HIPAA תחת ה-HIPAA OMNIBUS RULE.
בינתיים, כ-20% של הפגיעות ערבו "גישה בלתי מורשית", לעתים בכוונה לבצע מעילה. מה הלקח? להפעיל מדיניות המונעת מבעלי זכות גישה לחטט ברשומות של אחרים, ואם מוצאים שהם מבצעים פעילות כזו, לנקוט באמצעים נגדם. כך לדברי ג'וי פריטס, קצין הפרטיות הראשי במשרד המתאם של מערך ה-IT במשרד הבריאות האמריקני.
בנוסף להפקת לקחים מהסיבות שגרמו לפגיעות המשמעותיות, ארגוני בריאות יכולים ללמוד גם מפעילויות האכיפה שבהם נקט ה-OCR, לאחר מיצוי חקירה של אירועי פגיעה קטנים יותר בהיקפם או המעקב אחר תביעות הקשורות בהפרה של HIPAA. פעולות רבות כאלה מציגות את החשיבות של הערכת סיכונים ככלי לאיתור מוקדם של חולשות אבטחתיות היכולות לגרום לבעיות גדולות יותר.




מגמות ב"קיר הבושה"
ה-OCR, מוסיף את האירועים שפגעו ב-500 ומעלה יחידים לרשימתו, כאשר הפרטים מאומתים. ולמרות שמספר האירועים שבהם נפגעו רבים נמצא במגמת ירידה, מספר מגה-אירועים עדיין מתרחשים.
לדוגמה, נכון ל-27 בספטמבר 2013, דהיינו לפני כשישה שבועות, כ-81 אירועים שהתרחשו בשנת 2013 נרשמו ברישום הפדרלי, בהשוואה ל-160 בשנת 2012 וכ-165 ב-2011.
אבל למרות המספר הנמוך יחסית של האירועים ב-2013 עד לסוף ספטמבר 2013, מספר היחידים שנפגעו עומד המספר המדהים של 4.8 מיליון. הסיבה העיקרית לכך הינה אירוע אחד בודד: גניבת 4 מחשבים ניידים שלא היו מוצפנים מה-ADVOCATE HEALTH SYSTEM. באירוע בודד זה נפגעו כ-4 מיליון יחידים. (הערת המתרגם: אירוע אחד של 4 מיליון ו-80 אירועים המסתכמים בפחות ממיליון... אירוע אחד יכול לשנות את כל התמונה).
בהשוואה, בשנת 2012, 2.6 מיליון יחידים נפגעו מכל האירועים המשמעותיים ביחד, ובשנת 2011, בשנה שבה התרחשו 8 מגה-אירועים נפגעו למעלה מ-11 מיליון יחידים.
ישנם המצפים שכמות האירועים המדווחים תעלה בעקבות כניסתו לתוקף של ה-Hipaa Omnibus Rule. הסיבה לכך היא שה-Hipaa Omnibus Rule שינה את ה-Hipaa Breach Notification Rule. התקן להודעה על פגיעה השתנה מהערכה האם אירועי עלול להסתיים בפגיעה משמעותית בהיבטים כספיים, תדמיתיים או פגיעה אחרת ליחיד, להערכה אובייקטיבית יותר שאירוע חייב בדיווח אלא אם כן קיים סיכוי נמוך שמידע נחשף.
אני מצפה שביטול מרכיב הפגיעה (HARM) ויישום הערכת סיכונים על מנת לקבוע סיכון לחשיפת מידע... ישפיע משמעותית על עלייה בדיווחים על אירועים ל-OCR..." כך לדברי דנה בוגאן, קצינת HIPAA לאבטחת מידע ופרטיות בביה"ח סט. דומיניק ג'קסון במיסיסיפי.

אירועים יקרים
חקירות פדרליות של מספר אירועים המצוינים ב"קיר הבושה" הסתיימו בהסדר כספי משמעותי (קנסות) כחלק מהסדרי הטיעון. ביניהם נתן למנות את הקנסות הכספיים הבאים:
1. קנס בגובה 1.7 מיליון דולר שהוטל על חברת הביטוח WellPoint,
2. קנס בגובה 1.5 מיליון דולר שהוטל על מרפאת עין ואוזן במסצ'וסטס.
3. קנס בגובה 1 מיליון דולר שהוטל על ביה"ח הכללי במסצ'וסטס.
אבל, בסמכות ה-OCR לאכוף ענישה גם בעבירות על HIPAA אשר הנם קטנות מדי בהיקפן ועל כן אינן מצדיקות פרסומן ב"קיר הבושה".
בחודש ינואר 2013, ה-OCR פרסם את הסדר הטיעון הראשון המקושר לאירוע שהשפיע על פחות מ-500 יחידים, אירוע שאיננו מתפרסם ב"קיר הבושה". האירוע התבטא בגניבת מחשב נייד שלא היה מוצפן ובו מידע על 441 מטופלים מההוספיס של צפון איידהו. ההוספיס נאלץ לשלם קנס בגובה 50,000 דולר על מנת להסדיר את הפרשה למול ה-OCR.
חשוב לציין שההסדרים כוללים לא רק קנסות כספיים אלא גם התחייבות לתקן את הפגמים שבעטים אירעה הפגיעה ולבצע סקרי סיכונים מקיפים על מנת לאתר את כל החולשות ולטפל בהן (הערה של המתרגם).

תחת ה-Hipaa Omnibus, קנס עבור הפרה בודדת עלול להגיע ל-1.5 מיליון דולר. רודריגז מנבא שה-OCR יגדיל את "הקנסות המנהליים – Civil Penalties" (קנסות שאינם מהווים ענישה פלילית) כאשר תתקדם האכיפה של ה-HIPAA Omnibus.
הקנס הגבוה ביותר שהוטל ע"י ה-OCR, והקנס המנהלי היחיד עד כה, לא היה חלק מ"קיר הבושה". באירוע זה, ה-OCR השית קנס של 4.3 מיליון דולר על Cignet Health לאחר שלא סיפקו גישה למידע הרפואי למטופליהם, והגדילו עשות כאשר לאחר מכן, גם לא שיתפו פעולה בחקירת ה-OCR.

הבהקי אכיפה
פיל קוראן, מנמ"ר ביה"ח האוניברסיטאי קופר בקמדן, ניו ג'רסי, אומר שבחן את הסדרי הטיעון של OCR על מנת להבין אלו חולשות אבטחתיות זוהו על ידם ומהן הפעולות המתקנות שהומלצו.
המלצתו: בחן האם ישנם דברים שה-OCR המליצה עליהם (כפעולות מתקנות) במקרים אחרים. לדוגמה, לקח חשוב מפעולות מתקנות רבות הנה החשיבות של הערכת סיכונים.
פעילות אכיפה שבוצעה בחודש אוגוסט ע"י ה-OCR המדגימה את חשיבות הערכת הסיכונים פורסמה במסגרת הסדר הטיעון עם Affinity Health Plan, חברה ניו יורקית לניהול טיפולים רפואיים. החברה הסכימה לשלם קנס בגובה 1.2 מיליון דולר על מנת לסיים הטיפול באירוע משנת 2010 אשר פגע ב-345,000 יחידים אשר נתונים עליהם נחשפו על דיסקים קשיחים של מכונות צילום אשר הוחזרו לחברת ההשכרה.
שוב ושוב OCR מוצאים בחקירותיהם שבצוע סקר הערכת סיכונים מעמיק לוקה בחסר, מציין רודריגז. סקר כזה נדרש שיכלול הערכה היכן עשויה להימצא רשומה רפואית מזוהה פרטנית (PHI - Personal Health Information), קביעת הפגיעויות וצמצום הסיכונים.
לדוגמה, אי בצוע סקר מעמיק של הערכת סיכונים, עומד לעתים מאחורי העדר ההצפנה של רכיב שנגנב או אבד. התוצאה לדברי רודריגז הנה דיווחים רבים על פגיעות. (לו היה מוצפן, לו היה צורך לדווח על פגיעה. הערת המתרגם.). ישויות אשר לא בצוע הערכת סיכונים כנדרש כשלו בבצוע ההצפנה מסכם את הנושא רודריגז.
למרות שרוב האירועים קשורים לרכיבים שאבדו או נגנבו, חלק מהאכיפות המבוצעות ע"י
ה-OCR התמקדו ב"חשיפות שערורייתיות", כגון חיטוט ברשומות רפואיות של מטופלים ע"י אנשי הצוות הרפואי.
לדוגמה, ביולי 2011, המרכז הרפואי באוניברסיטת לוס אנג'לס (UCLA Health System), הסכים לשלם קנס בגובה 865,000 דולר ולהתחייב ליישם פעילות מתקנת שמטרתה לסגור פערים בציות ל-HIPAA. שני מטופלים סלבריטאים טענו שעובדים במרכז הרפואי חזרו וצפו ברשומותיהם הרפואיות, כמו גם ברשומות של מטופלים אחרים, ללא רשות.
אירועים כאלו מתרחשים כאשר לא קיימים אמצעים טכנולוגיים להבטיח שמי שניגש למידע הנו מורשה אליו מסכם רודריגז.

עד כאן התרגום הכולל פה ושם מספר הערות שלי.

לסיכום ולהתייחסות למנהלי אבטחת מידע, למחוקקים ורגולטורים בישראל:

1. חקיקה או רגולציה נאותה הנה הבסיס ההכרחי להגנה על הפרטיות וליצירת מסגרת ליישום אבטחת מידע.
2. פרסום מידע על אירועי אבטחת מידע ופגיעה בפרטיות ע"י גורם ממשלתי מוסמך הנו כלי חשוב באכיפת הדרישות הכלולות בחקיקה/רגולציה, וגם מספקת אפשרות הפקת לקחים לכלל המגזר כדי להימנע מטעויות שנעשו ע"י אחרים.
במגזר הבריאות בישראל משרד הבריאות מחייב את יישומו של תקן אבטחת מידע בבריאות, תקן 27799. במסגרת תקן זה קיימת דרישה המקבילה בחלקה ל-Breach Notification Law (בחלקה כיוון שהדיווח הנו לקורבן הפגיעה אבל לא לרגולטור, ללא פרסום פומבי או צעדי ענישה). אך גם דרישה מצומצמת זו איננה מעשית, כל עוד לא קיימת במדינת ישראל תשתית חקיקתית מחייבת לעניין זה.
בשלב זה אני ממליץ למנהלי אבטחת המידע להתייחס לדוחות מבקר המדינה בישראל בנושאי אבטחת מידע כמקבילה לדוחות האכיפה של ה-OCR. נתן למצות מהם את הבעיות שהתגלו ולהפנות שאלה לעצמך בסגנון הבא:
לו הארגון שאני משמש בו מנהל אבטחת המידע היה הארגון המבוקר, מה היה נכתב עלי בדוח?
התשובה הנה בסיס טוב וריאלי לתוכנית עבודה על מנת שכאשר תתבצע "ביקורת אמת", התוצאה תהיה טובה יותר.
3. הטלת קנסות גבוהים בצמוד לחובת ביצוע פעילות מתקנת מהווים בדרך כלל אמצעי יעיל, למרות שאירוע בודד עלול לקלקל את הסטטיסטיקה. מדינת ישראל מפגרת מאד בנושא זה.

עוצמתו של האיום הפנימי - בעקבות דיווח ברויטרס - מה עזר לסנודן

דיווח באתר רויטרס מה-18 באוקטובר:
בסיס ה-NSA שבו הוצב סנודן כשל בעדכון תוכנה למניעה או איתור בזמן אמת של ניסיונות הורדת מסמכים בלתי חוקית
Exclusive – NSA delayed anti-leak software on base where Snowden worked
http://www.reuters.com/article/2013/10/18/us-usa-security-snowden-software-idUSBRE99H10620131018

כמי שעוסק באבטחת מידע כבר למעלה משלושה עשורים (משנת 1982), אינני מופתע לגלות כל פעם מחדש שבסופו של יום אירועי אבטחת מידע קטנים כגדולים, מקורם בכשלים שהטיפול בהם הוא שלב א (לכל היותר שלב ב) של כל מי שלומד ומפנים את יסודות תורת האבטחה. אז מדוע זה חוזר על עצמו כל פעם מחדש? אינני מתיימר לספק תשובה. המקרה שלפנינו הוא דוגמה חיה. והלקחים ממנו ממש פרוסים לפנינו על מגש. רק לקרוא וליישם. והרי עיקרי הפרטים לדברי הידיעה ברויטרס ולפי לוח הזמנים:
1. בשנת 2010 טוראי בריאן מנינג (שבינתיים הפך לצ'לסי מנינג) מדליף באמצעות אתר הויקיליקס מאות אלפי מסמכים. מהומה ענקית בכל העולם.
2. הנשיא אובמה (שנכנס לבית הלבן כנשיא ארה"ב בתחילת 2009, שביום השבעתו לנשיא, מתפרסם אחד מאירועי אבטחת המידע החמורים, גניבת 130 מיליון מספרי כרטיסי אשראי מחברת הסליקה השישית בגודלה בארה"ב - Heartland) מורה לשפר את בקרת הגישה מפני הסיכון הפנימי. עיקרי ההוראה הנה כמובן להתקין אמצעי בקרה טכנולוגיים על מנת למנוע הוצאת מידע ע"י בלתי מורשים או לכל הפחות לאתר בזמן אמת אירועים מסוג זה ולמצות את הדין עם העבריין.
3. הזמן עובר לו, והדחיפות לטפל בכשלים מפנה ככל הנראה את מקומה לצרכים מבצעיים דחופים יותר, לפחות כך הדבר בסוכנויות בטחון ומודיעין, לדברי הכתבה. מוכר לכולנו, הלא כן? התירוץ במקרה זה הוא שאין מספיק רוחב פס על מנת להתקין בנוחות את התוכנה ולהבטיח את פעולתה התקינה.
4. בסיס ה-NSA בהוואי שבו מדובר עבר למקומו החדש בתחילת שנת 2012 והחליף בסיס ישן שהופעל באתר מתקופת מלחמת העולם השנייה.
5. בחודש מרץ או אפריל 2013 מגיע לבסיס זה מנהלן רשת בשם סנודן מטעם חברת בוז-אלן-המילטון לעבודה במסגרת הסכם למיקור חוץ.
6. כעבור כמה שבועות הוא מודיע למעסיקו כי בשל מצב בריאותי לקוי עליו לחזור ליבשת.
7. הוא נעלם למספר שבועות וצץ בהונג קונג. השאר היסטוריה.
8. עוד עובדה אחת, לדברי רויטרס (עפ"י דיווח בחודש אוגוסט 2013), שמעלליו של סנודן החלו כבר שנה לפני כן, בחודש אפריל 2012 כאשר הוריד מסמכים באופן בלתי מורשה אודות פעילויות הריגול האלקטרוניות של ארה"ב בהיותו מועסק ע"י חברת דל.
9. ב—30 לאוקטובר, מדווח באתר רויטרס שמשרד המשפטים האמריקני הודיע שהוא הצטרף לתביעה כנגד החברה אשר בצעה את בדיקת המהימנות של סנודן (US Investigation Services), למרות השם הפסבדו רשמי, זו חברה פרטית. התביעה הוגשה דרך אגב לפני שנתיים וחצי (יוני 2011) ע"י עובד לשעבר של החברה שפוטר לאחר שסרב לבצע את "עיגולי הפינות" שהחברה דרשה ממנו לבצע. "קפיטליזם", "הפרטת הביטחון" אמרנו?

אז מה היה לנו?
1. חוסר בקרה על קבלן. א-ב של אבטחה בפעילות מיקור חוץ.
2. הסתמכות על מבדק מהימנות העובד הפנימי. עובד פנימי? מנהלן מערכת במיקור חוץ... מבדק מהימנות? גם הוא במיקור חוץ. ומה מתברר? הוגשה תביעה כנגד החברה שמבצעת את מבדקי המהימנות ע"י עובד שפוטר לאחר שהאשים את המעביד ב"עיגול פינות". מיקור חוץ בריבוע... ואפוא הבקרות? אחת הסתמכה על השנייה. גם זה א-ב של אבטחה.
3. וגולת הכותרת רעיון התעתועים שבעידן ההיפר תקשובי, היפר טכנולוגי, ניתן להמשיך לתת אמון במבדקי מהימנות, "בקרות תהליכיות" במקום להתקין את מערכות האבטחה הטכנולוגיות בצמוד ליכולות הפונקציונאליות. זה חוסר מקצועיות משווע. את המחיר משלם כל העולם המערבי.

מה הלקחים?
1. אין בקרה שאפשר לוותר עליה מבלי לנהל את הסיכון שאי מימוש הבקרה טומן בחובו.
2. הפרטה או בלשון המקצועית "מיקור חוץ", מייצרת סיכונים חדשים. גם אותם יש לנהל.
3. זמינות ערוצי התקשורת, נפחי מידע עצומים הניתנים להעברה ממקום למקום בהקשת מקש, ונפחי אחסון גדולים של מידע הניתנים לניוד בכיס או בתיק קטן, מחייבים שינוי מהותי בגישת הבקרה. סיכון טכנולוגי חייב לקבל מענה טכנולוגי. הסתיים העידן שבו לסיכון טכנולוגי נתן להסתפק בהוראה מנהלית. זה לא עובד. כבר ראינו ב-2006 כיצד קורסת התפיסה שמספיק להגיד ש"אסור" ואין צורך לספק הגנה. (המקרה של גניבת דיסק מביתו של מנתח מערכות במשרד גימלאי כוחות הביטחון בארה"ב. למה להצפין, הרי ישנה הוראה ש"אסור לקחת חומר הביתה". הדיסק הכיל רק כ-18 מיליון רשומות...). ולא לשכוח, כל טכנולוגיה, כולל טכנולוגיית אבטחה טומנת בחובה את הסיכונים שלה וגם לכך יש לספק מענה החל מרגע הפעלתה.

והפעם, תרגום של מאמר שהופיע באתר: healthcareinfosecurity ועוסק באבטחת מכשור רפואי

אבטחת מכשור רפואי – מבט של מקצוען

טיפים להתייחסות לסיכונים. מאת: Freisal Nanji. תאריך: 5 אוגוסט 2013

קישור: http://www.healthcareinfosecurity.com/blogs/medical-device-security-2-key-steps-p-1528/op-1
Feisal Nanji הנו מנכ"ל חברת  Techumen, חברת אבטחת מידע המתמחה באבטחת מידע רפואי.

מכשור ביו-רפואי (Biomedical devices) משולב כיום בבתי חלים ובסביבות טיפול רפואיות אחרות. מכשור זה חיוני על מנת לספק טיפול רפואי ברמה גבוהה.

תוך כדי ביצועו של סקר הערכת סיכונים בבית חולים בן 400 מיטות, נמצאו כ-5,000 מכשירים רפואיים, רבים מהם חייבו קישור לרשת על מנת לדווח ליישום אחר המצוי בשלב שונה בתהליך העבודה (תיק רפואי לדוגמא) או לגישה מרוחקת של ניהול טכנולוגיית המידע.
כמו כן, נמצא מגוון גדול מאד של סוגי מכשירים, החל מציטומטרים ומשאבות הזנה למוניטורים לקצב לב ומנשימים.
עבור העוסקים באבטחת מידע מכשירים אלו הנם בהרבה מקרים אויב.
מסיבות שונות, כולל רגולציה לא ברורה, מכשירים ביו-רפואיים רבים משתמשים במערכות הפעלה שכבר אינן נתמכות ועל כן אמורות לצאת משימוש, והיישומים המורצים בהם אינם כוללים כל מרכיב של אבטחת מידע בתוכנה. כתוצאה מכך, מכשירים אלו "בשלים" למתקפות של קוד זדוני.
ומה שמטריד עוד יותר, רוב המכשירים מקושרים בבתי חולים לרשת התקשורת המרכזית של בית החולים. מצאנו כי ברוב בתי החולים נדיר למצוא שמכשירים אלו מופרדים
ב-VLANs המהווים אמצעי נוסף להגברת האבטחה. מסיבה זו, ברוב בתי החולים, וירוס אשר יחדור באמצעות למשל, משאבת הזנה ישנה שבה מורצת גרסה לא מוטלאת (Unpatched) של מערכת ההפעלה חלונות 2000 יוכל להתפשט כמו אש בשדה קוצים, ולגרום בכך להאטה עד להשבתה של רשת התקשורת המרכזית של בית החולים.
דוגמה נוספת לכשל אבטחה הנו שימוש בקישורי אלחוט שאינם מאובטחים כלל או מאובטחים באופן רשלני הניתן לשימוש לרעה בקלות ע"י פצחן (Hacker) בעל ציוד בסיסי לפריצת רשתות אלחוט.
ברור שההשלכות לבית חולים (או מוסד רפואי אחר), הנן בעלות משמעות. מידע הוא סם החיים של בית חולים מודרני, אשר איננו יכול לפעול ללא אספקה סדירה של טכנולוגיית מידע אמינה.

צעדים הכרחיים

מכשור רפואי מציב אם כך סיכונים מהותיים. מה מומלץ שיינקט ע"י העוסקים באבטחה?
כותב המאמר ממליץ על שני צעדים:

1.   צור צוות בין תחומי של מהנדסי מכשור ביו-רפואי ומומחי טכנולוגיית מידע על מנת לנהל את כל המכשירים.

היסטורית, מחלקות ההנדסה הקליניות היו אחראיות לניהול המכשור הביו-רפואי. שכיח שהן מופרדות ממומחי טכנולוגיית המידע האחראים לכל בית החולים. כתוצאה מכך, שיתוף המידע בין הקבוצות כמעט איננו קיים, ושתי הקבוצות בנו לעצמן "איי ידע ומומחיות" נפרדים. תאום בין שתי קבוצות נפרדות אלו יאפשר תכנון נכון של רשתות, שילוב דרישות לבידול (segregation) ניהול האלחוט וכד'.

הרבה יותר קשה לתקן כשלים טכנולוגיים כאשר המערכת פועלת בייצור שוטף מאשר לתקן את הכשל בשלב התכנון. על שתי קבוצות אלו להיפגש לעתים קרובות על מנת לדון בפתרונות לבעיותיהם. לדוגמה, מומחי ה-IT עשויים להמליץ שכל המכשור הביו-רפואי ייכלל במסגרת VLAN's על מנת שלא לשתף אותם באותה רשת מרכזית.

2.   להכין ולתחזק רשימת מצאי מלאה של המכשור הרפואי. על רשימה זו לכלול את הנתונים הבאים עבור כל מכשיר:

2.1.        מערכת ההפעלה שבה נעשה שימוש,

2.2.       שימוש באלחוט (פרטי השימוש),

2.3.       יישום/יישומים המורץ/מורצים במכשיר,

2.4.       למי (מערכת) מועברים הנתונים מהמכשיר (ממשקים)

2.5.       אמצעי האבטחה שבשימוש במכשיר ובממשקים.

שני צעדים אלו הנם הכרחיים על מנת לשפר את רמת האבטחה במכשירים הביו-רפואיים שחובה לקשרם לרשת. באמצעות שני תהליכים פורמליים אלו, כל תחומי הבעיות (כלומר, הזדמנויות לשיפור), יצופו, וניתן יהי לפתור את הבעיות באמצעות תהליך מיון ראשוני – צמצום קודם כל של הבעיות המסוכנות ביותר והיקרות ביותר לתיקון.

גישת ניהול סיכונים

אנו ממליצים שבתי חולים ישלבו את גישת ה-American National Standards Institute's המתוארת ב:
 

 ANSI: Application of risk management for IT networks incorporating medical devices, Part 1: Roles, responsibilities and activities.

מסמך זה מספק תבנית בהירה תמציתית וברורה שרוב בתי החולים יכולים להשתמש בה.
מכשור ביו-רפואי, במיוחד זה המקושר לרשתות טכנולוגיית המידע, לא ייעלם. אנו חיים בעולם מקושר אשר בו יישומים או מכשירים נדרשים לתקשר עם מכשירים ויישומים רבים "במעלה או במורד" הדרך במטרה לספק טיפול בטוח. חובה עלינו להתייחס למכשור הביו-רפואי כחלק אינטגראלי של תשתיות המידע ולטפל באבטחתם. לעשות זאת בצורה מסודרת, ברורה ובשלבים הינה התחלה נכונה.
איננו יכולים להמשיך ולהתעלם מהאיום לביטחונם של מטופלים.