Thiết bị đầu cuối tiện dụng và đồng hồ thông minh. Quyết toán không dùng tiền mặt.

Phần thứ hai trong loạt bài gồm bốn phần xem xét những gì nhà cung cấp dịch vụ chăm sóc sức khỏe cần làm khi triển khai nhận dạng tần số vô tuyến vì bản thân nó không đủ an toàn.

Nếu bạn xem TV trong bất kỳ khoảng thời gian nào, bạn sẽ nhận thấy rằng có rất nhiều quảng cáo về ví và thiết bị bảo vệ thẻ của bạn khỏi bị RFID đọc. Giống như các thiết bị y tế, RFID được thiết kế trước khi bảo mật được ưu tiên như bây giờ. Mặc dù mã hóa được hỗ trợ và là tiêu chuẩn ISO (14443-4), vẫn chưa có nhiều cách bao gồm bảo mật và xác thực trong chính RFID.

RFID không an toàn như nó cần phải có. Do nhiều triển khai trên mạng, có một nhận thức rằng mọi người sẽ đọc thông tin mà không bị truy tìm và gây ra hành vi trộm cắp danh tính. Điện thoại di động Android đã được sửa đổi để lấy cắp thông tin thẻ tín dụng không tiếp xúc bằng ứng dụng NFCProxy. Bài thuyết trình về UniProxy tại DEFCon 25 cho thấy rằng có thể giả mạo thẻ tín dụng bằng cách sử dụng phần cứng chuyên dụng giá rẻ. Cũng có thể sao chép mã thông báo RFID để truy cập hệ thống vật lý hoặc máy tính.

Do những phát hiện này, cần phải xây dựng bảo mật cho hệ sinh thái hỗ trợ nó và đề phòng một số kiểu tấn công chính. Có hai loại tấn công có thể gây ra các vấn đề lớn cho một doanh nghiệp y tế, đó là đánh chặn trái phép thông tin bệnh nhân và tấn công vào chuỗi cung ứng và các hệ thống liên quan.

[Phần 1: Bảo mật RFID cho bệnh viện: Các trường hợp sử dụng là gì?]

Mối quan tâm lớn nhất là đề phòng việc đánh cắp thông tin bệnh nhân. Khi các thiết bị y tế và thiết bị cấy ghép bắt đầu sử dụng RFID, khả năng liên kết giữa thiết bị với bệnh nhân sẽ tăng lên. Đây đã là mối quan tâm với thiết bị phẫu thuật và theo dõi dụng cụ vì những ID này có thể được sử dụng để kết hợp thiết bị với bệnh nhân. Chúng ta cần cách ly thông tin bệnh nhân bằng cách thiết kế thông tin bệnh nhân khỏi đầu đọc và thiết bị RFID càng nhiều càng tốt để giảm rủi ro. Chúng ta cũng cần giải quyết các mối quan tâm về sự liên kết của các thiết bị và công cụ với bệnh nhân. Với sự nhấn mạnh về quyền riêng tư xuất phát từ GDPR, điều này thậm chí còn được đặt lên hàng đầu so với trước đây.

Mối quan tâm lớn thứ hai là đề phòng các cuộc tấn công vào chuỗi cung ứng. Nói chung, họ sử dụng một số lượng lớn các thiết bị cầm tay và không dây. Nhiều người trong số họ chạy Android hoặc các phiên bản Linux cũ hơn. Một số thậm chí vẫn chạy Windows CE, một hệ điều hành cũ hơn nhiều được nhớ đến nhiều nhất vì đã được sử dụng trong điện thoại thông minh có trước Android hoặc iOS. Nhiều thiết bị trong số này chưa được vá và có nhiều thiết bị chạy phiên bản Android cũ hơn dễ bị tấn công bởi các lỗ hổng như KRACK hoặc thậm chí Heartbleed. Dễ dàng tấn công hoặc chặn lưu lượng truy cập trên các thiết bị không được vá các lỗ hổng bảo mật gần đây. Việc tấn công các mạng và hệ thống không được thiết kế để bảo mật thậm chí còn dễ dàng hơn.

Thông thường, nhiều thiết bị cầm tay này giao tiếp trực tiếp với các hệ thống back-end hỗ trợ chuỗi cung ứng, cụ thể là các ứng dụng Quản lý hàng tồn kho và Hoạch định nguồn lực doanh nghiệp (ERP). Nhiều người trong số này có một số lượng lớn các lỗ hổng và các cuộc tấn công cụ thể chống lại một số nhà cung cấp đã được tiết lộ trong năm qua. Các hệ thống ERP, do tính chất nghiêm trọng của chúng, có thể không nhận được các bản cập nhật nhiều như một máy tính để bàn tiêu chuẩn. Tuy nhiên, chúng là động lực chính giúp tự động hóa sự phức tạp của chuỗi cung ứng bệnh viện và quản lý đơn hàng. Sự hỏng hóc của RFID hoặc các hệ thống hỗ trợ của nó có thể tiềm ẩn tác động làm hỏng hệ thống tài chính, quản lý hàng tồn kho hoặc quản lý tài sản.

Để bắt đầu bảo vệ khỏi các cuộc tấn công này, chúng ta cần hiểu các luồng dữ liệu. Chúng tôi không thể bảo vệ khỏi các cuộc tấn công nếu chúng tôi không hiểu luồng dữ liệu đang diễn ra ở đâu. Chúng tôi cần hiểu nơi thông tin có thể bị xâm phạm để chúng tôi có thể bảo vệ thông tin đó. Chúng ta cũng cần biết nơi để tìm ra sự khác biệt và tại sao. Nếu có vấn đề, chúng tôi cần ghi lại vấn đề đó và hiển thị các quy trình có thể bảo vệ được để đảm bảo tính bảo mật, tính toàn vẹn và tính sẵn có của dữ liệu.

Chúng tôi không thể ngăn chặn việc đọc trái phép các thẻ hoặc thông tin RFID nhưng chúng tôi có thể hạn chế sự liên kết của các thẻ này với thông tin bệnh nhân, đặc biệt là thẻ ID. Chúng tôi có thể bảo vệ các hệ thống lưu trữ và xử lý dữ liệu và làm cho việc giả mạo hoặc đưa vào dữ liệu xấu khó hơn bằng cách phân đoạn thu thập dữ liệu từ quá trình xử lý cốt lõi trong hệ thống ERP. Duy trì tốt các hệ thống và thận trọng trong việc xem xét dữ liệu đầu vào cũng sẽ giúp chúng an toàn hơn.

Nó không phức tạp hoặc không thể vượt qua. Trong bài viết tiếp theo, chúng ta sẽ xem xét sáu bước cần thiết để có cơ sở bảo mật RFID tốt và thiết lập nền tảng tốt cho một chương trình bảo mật. Chúng tôi sẽ kết thúc loạt bài này với sáu bước để triển khai an toàn (hợp lý) và thảo luận về những lợi ích mà bạn có thể mong đợi thấy được từ nó.

Nguồn: https://www.healthcareitnews.com/