加密与密钥管理 , 医疗保健 , 特定行业

医疗设备面临后量子安全差距

长期以来，对于大多数试图更好掌握设备网络安全的医疗机构来说，遗留医疗设备一直是一大棘手问题。但根据最新研究，这些供应商现在面临着另一个重大障碍——后量子密码学的转型过程可能漫长而艰巨，医疗设备和其他技术在支持抗量子安全方面的能力远落后于传统IT系统。

另见： 后量子截止日期：EO 14412对风险与合规意味着什么

根据Forescout Research旗下Vedere Labs周二发布的新研究，目前只有6%的医疗物联网(IoMT)设备和16%的操作技术(OT)设备使用了能够支持后量子密码学（PQC）的安全外壳(Secure Shell)实现版本。

该研究称，相比之下，50%的传统IT设备使用支持PQC的SSH实现。

在这项研究中，Forescout分析了50多家医疗机构的250多万台设备，平均每家供应商约5万台。该研究不仅调查了医疗行业对当前加密标准面临未来量子威胁的准备情况，还调查了哪些系统和类型的患者信息可能面临最大的风险。

Forescout确定的首要担忧之一是“现在收集，以后解密”攻击的前景，即对手现在或在短期内拦截加密信息并保留，直到有足够强大的量子计算机可以破解当前的加密。

Forescout表示，这种威胁与医疗行业尤其相关，因为病史、诊断图像、诊断结果、遗传生物标志物和其他敏感患者信息可以在数十年内保持其价值。与密码、支付卡或账号不同，大部分这些与健康相关的信息在泄露后无法简单地更改。

虽然目前尚不存在具有密码学意义的量子计算机，但近期的担忧是攻击者可能已经在收集加密的医疗通信以供未来解密。

“当务之急是了解现状，首先要对网络上每个连接的资产（包括医疗设备等）具有可见性，”Forescout旗下Vedere Labs安全研究副总裁Daniel dos Santos表示。

他说，一旦医疗机构识别出他们拥有的所有资产（这并非易事），他们就应该通过了解资产处理、存储或传输的敏感数据类型，以及这些数据的相关性将持续多久来评估风险。

他告诉ISMG，提供商还必须考虑该资产的暴露程度，无论是由于缺乏分段而暴露在内部网络中，还是暴露在与第三方的外部通信中。

“然后他们应该询问该设备是否已经支持PQC（这很罕见），是否有该设备支持PQC的路线图，或者他们是否必须开始规划降低风险，”他说。

他说：“为了降低风险，各机构应优先处理暴露在互联网上的连接，例如患者门户网站或面向外部的API，并尽可能强制执行TLSv1.3。对于无法升级的遗留资产，网络分段和安全远程访问网关等解决方案可以帮助遏制风险。”

暴露的系统

在研究中，Forescout研究人员还通过使用公开可用的网络指纹进行搜索，识别了50种不同类型医疗信息系统的5,500多个暴露在互联网上的实例。