INFORMATION SECURITY VULNERABILITIES OF MEDICAL INFORMATION SYSTEMS

МИС становятся неотъемлемой частью коммерческих и государственных медицинских учреждений. Сведения, обрабатываемые МИС, нуждаются в постоянной защите, так как они представляют ценность для злоумышленника. Поиск УБИ в программном обеспечении МИС безусловно является обязательным, ввиду того, что наличие УБИ может привести к нарушению конфиденциальности, доступности и целостности защищаемой информации

К статистическим данные о кибератаках на МИС в России относится то, что чаще всего хакеры атаковали клиники, пытаясь обойти средства защиты. Далее были отмечены сетевые атаки и попытки внедрения в МО вредоносного ПО. К утечке конфиденциальной информации привел большой процент результативных атак.

Тренды цифровизации здравоохранения — это увеличение объёмов обрабатываемой в МИС информации, рост киберугроз и применение новых методов для выявления УБИ.

Международные требования GDPR и HIPAA применяются для обеспечения безопасности данных, но имеют некоторые различия. HIPAA используется для защиты данных МИС в США, GDPR описывает спектр персональных данных, включающий не только медицинские сведения.

Специалисты по информационной безопасности рассматривают разные способы классификации УБИ, помогающие реализовать процессы выявления и митигации рисков. К наиболее распространенным классификациям можно отнести по типу уязвимости, то есть УБИ программного обеспечения. Например, нарушение конфигурации или версионности, а также ошибки программного кода. Рассуждая о классификации УБИ аппаратного обеспечения, важно подчеркнуть недостатки в функционале и производстве оборудования. Если рассмотреть УБИ процессов, то это некомпетентность обслуживающего персонала и недостатки управления доступом. Определяя классификацию по степени воздействия, выделяют низкий, средний и высокий уровни, для которых характерны незначительное, умеренное и серьёзное воздействие соответственно. УБИ по способам эксплуатации делятся на требующие аутентификации, для которых доступ возможен только для авторизованных пользователей, а также не требующие аутентификации, для которых достаточно общедоступных ресурсов. Для классификации УБИ по времени обнаружения характерны известные, которые уже задокументированы и для них существуют возможные меры по устранению, и новые УБИ, которые ещё не внесены банк данных регулятора. В вопросах классификации УБИ по источнику уязвимости выделяют внутренние, которые ставятся следствием ошибок или недостатков внутри организации, и внешние, которые происходят из-за атак со сторонних злоумышленников

К общепризнанной классификации по сфере воздействия относят УБИ, соответствующие триаде информационной безопасности: конфиденциальности, целостности и доступности. Где для УБИ, затрагивающих конфиденциальность, характерны утечки сведений или данных, для УБИ, затрагивающих целостность, характерна модификация информации, и для УБИ, касающиеся доступности, характерны DDoS-атаки.

Приведённые выше типы классификации УБИ помогают идентифицировать риски, связанные с УБИ, и реализовать адекватные меры по их минимизации и предотвращению. Данные классификации помогают организациям лучше понять риски, связанные с уязвимостями, и разработать соответствующие меры по их устранению и предотвращению.

В данной работе мы предлагаем адаптированную для МИС классификацию УБИ.

Новизна заключается в выделении единых признаков для всех УБИ, характерных для МИС и классификация УБИ на основе этих признаков.

Актуальность исследования заключается необходимости создания единой классификации УБИ для МИС для дальнейшего использования при разработке специального программного обеспечения для обнаружения УБИ в МИС.

Классификация занимает особое место в теории познания. Объекты упорядочиваются через их объединения в классы по определенным признакам (свойствам, характеристикам), которые позволяют установить их сходство или различие. В основе методологии классификации лежит трехуровневая иерархия научного знания, включающая философский, системологический (общенаучный) и специально-научный уровни. Основная цель любой классификации «состоит в том, чтобы свернуть всю доступную нам информацию о рассматриваемых сложных объектах, процессах или явлениях произвольной природы в компактную, но емкую и удобную для познания форму, идентифицирующую и отображающую сущность этих объектов»

Для классификации были выбраны только те УБИ, которые наиболее характерны для МИС

Признаком для классификации послужили этапы создания самих МИС от разработки на уровне алгоритмов до интеграции МИС с другими программными продуктами.

Существующие классификации уязвимостей, описанные в национальном стандарте Российской Федерации «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем» (ГОСТ Р 56546-2015), на сегодняшний день не включают в себя уязвимости интеграционных протоколов. По данному стандарту устанавливается классификация уязвимостей информационных систем по области происхождения уязвимостей, типах недостатков ИС и местах их возникновения (проявления). Для МИС вопрос безопасной интеграции с другими системами остро стоит. Разработчики МИС часто не обращают внимание на безопасность интеграции, оценивая лишь риски уязвимостей ПО и алгоритмов. Задача же специалистов по информационной безопасности обнаружить новые места появления уязвимостей и указать на них. Таким образом, по сравнению с вышеперечисленными и описанными классификациями, выработанная в данном исследовании классификация имеет преимущество, которое позволяет выйти за рамки непосредственно ПО и посмотреть в сторону интеграции одного ПО с другим. Эта интеграция часто остается без внимания с точки зрения безопасности и использование данной классификации при разработке модели угроз позволит избежать проблем в будущем.

Таким образом, было выделено три метрики:

- метрика «А» — УБИ алгоритмов МИС;

- метрика «Б» — УБИ программного обеспечения МИС;

- метрика «В» — УБИ протокола FHIR.

Прежде чем начать процесс реализации программного обеспечения МИС, то есть создания исполняемого файла, необходимо тщательно продумать функциональную составляющую. Она закладывается в МИС при составлении уникального алгоритма реализации, который не зависит от конечной формы представления, а именно языка программирования

В таблице 2 представлены основные УБИ алгоритмов МИС.

Каждое программное обеспечение МИС проходит этап разработки, который начинается с формирования общих идей о будущих выполняемых задачах, затем идёт алгоритмическая составляющая и завершается написанием кода для создания исполняемого файла

Наиболее ярким примером уязвимости алгоритма, характерной для МИС, является BDU:2023-01027, относящаяся к микропрограммному обеспечению маршрутизаторов TP-Link. Эксплуатация данной УБИ возможна, так как в функционале сетевого оборудования применяется устаревший криптографического алгоритма MD5, который может позволить злоумышленнику получить несанкционированный доступ к защищаемой информации или инициировать инцидент информационной безопасности, связанный с отказом в обслуживании субъекту МИС, имеющему право доступа. Максимальный процент обнаружения данной УБИ из представленных в таблице 2 свидетельствует о значительной частоте выявления.

Практические рекомендации по устранению уязвимостей Метрики «А» (алгоритмов) медицинских информационных систем — это защита специализированного медицинского оборудования. В частности, системы лучевой диагностики и терапии требуют особых мер безопасности, так как напрямую влияют на постановку диагноза и ход лечения пациентов. Рекомендуется внедрить многофакторную аутентификацию для доступа к такому оборудованию и обеспечить шифрование передаваемых данных.

Главной характеристикой для метрики «Б» является зависимость значения неопределённости реализации программного обеспечения от фактического рабочего времени тестировщиков, программистов и аналитиков.

В таблице 3 представлены основные УБИ программного обеспечения МИС.

Наиболее ярким примером уязвимости программного обеспечения, характерной для МИС, является BDU:2023-05980, относящаяся к программному обеспечению для управления медицинской организацией OpenEMR. Эксплуатация данной УБИ возможна, так как в функционале инструмента для управления цифровыми медицинскими записями возможно осуществить удалённому нарушителю HTML-инъекцию в процессе некорректной проверки данных, которые вводит пользователь при авторизации. Подобные действия злоумышленника могут привести модификации структуры данных пользователя МИС. Максимальный процент обнаружения данной УБИ из представленных в таблице 3 свидетельствует о значительной частоте выявления.

Практические рекомендации по устранению уязвимостей Метрики «Б» (программного обеспечения) медицинских информационных систем — это регулярное обновление операционных систем, антивирусных баз и сигнатур, системного и прикладного ПО. Причиной многих атак становятся именно уязвимости устаревших решений.

Протокол FHIR используется для стандартизированного взаимодействия в части интеграции МИС

Наиболее очевидные уязвимости протокола FHIR связаны, в большей мере, с его качественной реализацией, а не со структурой самого стандарта.

В исследуемых МИС за период с 2020 по 2024 гг. были выявлены только четыре УБИ. Однако, мы считаем необходимым добавить эту метрику в нашу классификацию, т.к. протокол FHIR в его русской адаптации FHIR RU-core используется в России недавно с 2014 года и прогнозируется рост использования этого протокола для интеграции МИС.

Практические рекомендации по устранению уязвимостей Метрики «В» (протокола FHIR) медицинских информационных систем — это регулярный аудит безопасности. Медицинским организациям необходимо проводить оценку защищённости информационных систем не реже одного раза в квартал. Это позволит своевременно выявлять и устранять потенциальные уязвимости в системах передачи и обработки данных пациентов.

В таблице 4 представлены УБИ протокола FHIR.

Примером использования разработанной методики определения УБИ стали исходные данные моделей угроз информационной безопасности МИС компании «Нетрика Медицина»: «N3. Здравоохранение», «Портал пациента», «Управление потоками пациентов», «Интегрированная электронная медицинская карта» и «Система управления доступом»

Метрика «А» относится к источнику негативных УБИ, внедренных злоумышленником с целью изменить логику работы программного обеспечения в свою пользу. Для того чтобы подтвердить данные УБИ, необходимо привлекать ряд экспертов, имеющих опыт работы как на этапах проектирования МИС, так и на этапах процесса функционирования после ввода в эксплуатацию.

Метрика «Б» относится к источнику случайных УБИ, возникающих из-за ошибок, допущенных программистом, а также не выявленных при тестировании. Основные постулаты написания программного кода представлены в стандартах языка и имеют четкую формализацию, что даёт возможность экспертам выявлять УБИ сканерами, которые точечно проверяют соблюдение правил.

Метрика «В» включает в себя перечни УБИ как самой структуры протокола FHIR, так и УБИ сторонних сервисов, сопутствующих цифровизации здравоохранения. Стандарт FHIR является международным и рекомендован для интеграционных процессов различных МИС, соответственно структура стандарта является защищенной. Но параметры метрики «В» нельзя рассматривать в отрыве от таких аспектов МИС как агрегаторы данных, мобильные приложения, стек сетевых технологий, атака «человек посередине»

Ограничения предложенного метода классификации УБИ связаны с банками уязвимостей ФСТЭК и NIST, где требуется проводить переоценку рисков, ведение отчетности, инвентаризацию активов и выстраивание процессов системы менеджмента информационной безопасности.

Аудит безопасности МИС с применением классификации УБИ на практике сводится к систематическому анализу МИС с целью выявления УБИ, входящие в метрики «А», «Б» и «В».

Направлением будущих исследований является разработка методов и алгоритмов выявления УБИ в МИС, где используются иные протоколы линейки стандарт HL7 (Health Level Seven International), к которому относится протокол FHIR.

В статье предложена новая классификация УБИ для МИС. В данную классификацию вошли три метрики А, Б и В. Основой классификации послужил принцип разработки МИС. Метрика А отражает УБИ на уровне алгоритмов МИС, метрика Б относится к программному коду, а метрика В фиксирует угрозы интеграции МИС, связанные с протоколом FHIR. В результате исследования выделены основные УБИ, которые встречались в МИС, разработанных компанией «Нетрика Медицина» за 2020-2024 гг. Предложенная классификация УБИ в МИС была опробована при разработке модели угроз информационной безопасности «N3. Здравоохранение», «Портал пациента», «Управление потоками пациентов», «Интегрированная электронная медицинская карта» и «Система управления доступом». Были получены следующие результаты: помимо учтённых в банке данных уязвимостей ФСТЭК для МИС актуальны УБИ, связанные с протоколом FHIR, которых нет в банке данных регулятора. В связи с этим при разработке новых МИС для определения перечня актуальных УБИ необходимо использовать классифицировать с помощью метода, описанного в настоящей статье.