Hospitalernes medikoudstyr kobles på nettet: Øger sårbarhed over for cyberangreb

For fem år siden chokerede en episode af den amerikanske tv-serie ‘Homeland’ seere verden over.

Den viste, hvordan en gruppe terrorister havde fremskaffet ID-nummeret på den amerikanske vicepræsidents pacemaker og brugte det til at hacke pacemakeren, så den udsendte elektriske chokbølger, der udløste et hjerteanfald.

Men kan den slags futuristiske terrorangreb reelt ramme i dagens Danmark?

Ja, er det korte svar, hvis man spørger amerikanske Joshua Corman, it-sikkerhedschef hos software-virksomheden PTC og stifter af sikkerhedsorganisationen I Am The Cavalry, der især fokuserer på internetopkoblede enheder i biler, medicinsk udstyr og i offentlige byrum. Altså det, vi i dag kender som Internet of Things (IoT).

»Vi har dræbt tre mennesker virtuelt i Phoenix, Arizona, for at vise, hvor alvorlige konsekvenser det kan have at opkoble medicinsk udstyr til internettet. Vi fik kontrol over en patients pacemaker og fik den til at give stød hele tiden, hvilket kan forårsage et hjertestop. Normalt kan man få pacemakeren tilbage i normal tilstand ved at placere en magnet over hjertet, men den funktion havde vi også frakoblet,« fortæller Joshua Corman.

Hullet it-sikkerhed

Det danske sundhedsvæsen er på en gigantisk indkøbstur til de kommende seks supersygehuse, hvor der skal indkøbes for milliarder af kroner udstyr. Meget bliver koblet online, og det øger risikoen for cyberangreb.

Han fortæller, at sundhedspersonalet ikke anede, hvordan de skulle håndtere det ondsindede angreb, og løb forvirrede rundt på operationsstuen.

»Lægerne vidste ikke, hvad de skulle gøre, og endte med at kortslutte pacemakeren fysisk, hvorefter patienten døde.«

Ikke kun teori

Selvom cyberangrebet på hospitalet i Phoenix kun var en øvelse, så har eksperimentet givet anledning til bekymring, i takt med at mange forskellige typer medicinsk udstyr kommer online.

Og øvelsens skrækscenarie er ikke grebet ud af den blå luft.

Sidste år måtte de amerikanske myndigheder tilbagekalde 465.000 pacemakers af mærket St. Jude, da der var behov for en softwareopdatering for at undgå, at udefrakommende kunne sikre sig adgang til at kontrollere pacemakerens indstillinger.

Ifølge den amerikanske lægemiddelmyndighed, FDA, var det nemlig muligt at hacke sig ind i de mange pacemakere med helt almindeligt tilgængeligt udstyr.

Den populære trådløse infusionspumpe Medfusion fra virksomheden Smiths Medical, der bruges til at dosere medicin, er også kommet i søgelyset, efter at man har fundet otte sårbarheder i pumpen.

Blandt andet kræver FTP-serveren på pumpen ikke autentifikation, hvilket kan give udefrakommende adgang til at ændre i medicindoseringen til patienter.

For to år siden måtte medikoproducenten Johnson & Johnson advare mod sårbarheder i virksomhedens insulinpumpe OneTouch Ping, som kunne hackes via en usikker wifi-forbindelse.

»Internet of Things-enheder og platforme skal behandles anderledes end traditionel it. Konsekvenserne ved nedbrud er store, levetiden er op til 30 år, og personalet, der håndterer udstyret, har ikke en it-faglig baggrund,« siger Joshua Corman.

Danske regioner køber stort ind

I Danmark er der endnu ingen kendte eksempler på cyberangreb mod medicinsk udstyr.

Langt størstedelen af det medicinske udstyr på landets hospitaler er da heller ikke koblet online og er derfor ikke udsat for cybertrusler.

Men i disse år bliver der indkøbt for milliarder af kroner nyt udstyr til de seks nye supersygehuse, der bygges i Aarhus, Aalborg, Odense, Herning, Køge og Hillerød.

Faktisk går op mod 25 procent af supersyge­husenes etableringsbudgetter til indkøb af ny teknologi.

I Region Syddanmark er man netop nu i gang med at købe en dataopsamlingsplatform, der skal samle data fra medicinsk udstyr.

I første omgang skal 1.500 forskellige fysiske enheder forbindes, og det tal forventes at stige til 9.000 i løbet de kommende syv år.

I Region Hovedstaden har man i dag flere lignende systemer, blandt andet en integrationsplatform, der gør det muligt at hente data fra godt 2.000 enheder og integrere disse data i Sundhedsplatformen.

Hos konsulentvirksomheden Genau & More, der arbejder med producenter af lægemidler og medicinsk udstyr og blandt andet rådgiver de danske regioner og sygehuse i arbejdet med at validere it-løsninger, oplever man ofte, at sygehusene bliver ladt alene med deres nyindkøbte robotter, medikoudstyr eller it-systemer, når udstyret skal valideres efter dansk lægemiddel­lovgivning, fortæller seniorkonsulent og adm. direktør Henrik Johanning:

»Det er de offentlige sygehuses ansvar, at det indkøbte udstyr overholder lovgivningen og er sikkert. Men vi oplever, at mange ikke får stillet de rigtige krav til leverandørerne, når de sender opgaver i udbud. Det er vigtigt, at leverandørerne tager et medansvar for, at udstyret eksempelvis sikkerhedspatches sikkert og under ændringskontrol. Vi skal sikre, at robotten efter patchningen stadig fungerer som tilsigtet, og ikke f.eks. begynder at dosere forkert. En kemo-robot skal dosere lige præcis det, lægen har ordineret, hverken mere eller mindre,« siger Henrik Johanning.

Standarder sakker bagud

Han mener også, at leverandørerne i højere grad burde tage et ansvar for, at deres løsninger allerede ved levering lever op til de grundlæggende krav, som myndighederne stiller til den givne løsning.

»Mange udstyrsproducenter har oprindeligt udviklet teknologi til andre brancher og er ikke vant til at arbejde med de ekstra skrappe standarder, der findes i mediko-branchen til eksempelvis dataflow. Der er stor forskel på at udvikle en robot til en fremstillingsvirksomhed og så en robot, der håndterer medicin. Det er patienters liv, der er på spil,« fortæller Henrik Johanning.

Ifølge sikkerhedseksperten Joshua Corman er det ikke nok at læne sig op ad de internationale standarder inden for cybersikkerhed.

»Der er mange standarder inden for cybersikkerhed, men fælles for de fleste er, at de er født ud af en forestilling om, at cyberkriminelle kun har et økonomisk rationale. I dag findes der et utal af andre motiver – statslig spionage, såkaldte scriptkiddies, der tester grænser, og mange andre. For det andet tager det ofte mellem seks og syv år, fra ideen til en standard fostres, til den er godkendt, og det er ofte længere tid, end meget software bliver understøttet,« siger Joshua Corman.

Han understreger at man ikke kan fjerne risikoen for cyberangreb, men at hospitaler skal være klare i spyttet, når de køber medicinsk udstyr.

»Som minimum kan man begrænse risikoen for skader ved at tillade såkaldte whitehats (sikkerhedseksperter, der hyres til at angribe it-systemer for at teste sårbarheder, red.) at teste det medicinske udstyr, ligesom man skal stille krav om løbende sikkerhedsopdateringer og ikke acceptere faste kodeord til udstyret,« siger Joshua Corman.

Denne artikel stammer fra den trykte udgave af avisen Ingeniøren.