1. Введение

МИС становятся неотъемлемой частью коммерческих и государственных медицинских учреждений. Сведения, обрабатываемые МИС, нуждаются в постоянной защите, так как они представляют ценность для злоумышленника. Поиск УБИ в программном обеспечении МИС безусловно является обязательным, ввиду того, что наличие УБИ может привести к нарушению конфиденциальности, доступности и целостности защищаемой информации [1]. Более того, из всего многообразия УБИ наиболее распространёнными для МИС являются следующие УБИ: недостаточная аутентификация и авторизация, социальная инженерия, неверная конфигурация систем, недостаточный мониторинг и аудит, уязвимости в сторонних приложениях.

К статистическим данные о кибератаках на МИС в России относится то, что чаще всего хакеры атаковали клиники, пытаясь обойти средства защиты. Далее были отмечены сетевые атаки и попытки внедрения в МО вредоносного ПО. К утечке конфиденциальной информации привел большой процент результативных атак.

Тренды цифровизации здравоохранения — это увеличение объёмов обрабатываемой в МИС информации, рост киберугроз и применение новых методов для выявления УБИ.

Международные требования GDPR и HIPAA применяются для обеспечения безопасности данных, но имеют некоторые различия. HIPAA используется для защиты данных МИС в США, GDPR описывает спектр персональных данных, включающий не только медицинские сведения.

Специалисты по информационной безопасности рассматривают разные способы классификации УБИ, помогающие реализовать процессы выявления и митигации рисков. К наиболее распространенным классификациям можно отнести по типу уязвимости, то есть УБИ программного обеспечения. Например, нарушение конфигурации или версионности, а также ошибки программного кода. Рассуждая о классификации УБИ аппаратного обеспечения, важно подчеркнуть недостатки в функционале и производстве оборудования. Если рассмотреть УБИ процессов, то это некомпетентность обслуживающего персонала и недостатки управления доступом. Определяя классификацию по степени воздействия, выделяют низкий, средний и высокий уровни, для которых характерны незначительное, умеренное и серьёзное воздействие соответственно. УБИ по способам эксплуатации делятся на требующие аутентификации, для которых доступ возможен только для авторизованных пользователей, а также не требующие аутентификации, для которых достаточно общедоступных ресурсов. Для классификации УБИ по времени обнаружения характерны известные, которые уже задокументированы и для них существуют возможные меры по устранению, и новые УБИ, которые ещё не внесены банк данных регулятора. В вопросах классификации УБИ по источнику уязвимости выделяют внутренние, которые ставятся следствием ошибок или недостатков внутри организации, и внешние, которые происходят из-за атак со сторонних злоумышленников [2].

К общепризнанной классификации по сфере воздействия относят УБИ, соответствующие триаде информационной безопасности: конфиденциальности, целостности и доступности. Где для УБИ, затрагивающих конфиденциальность, характерны утечки сведений или данных, для УБИ, затрагивающих целостность, характерна модификация информации, и для УБИ, касающиеся доступности, характерны DDoS-атаки.

Приведённые выше типы классификации УБИ помогают идентифицировать риски, связанные с УБИ, и реализовать адекватные меры по их минимизации и предотвращению. Данные классификации помогают организациям лучше понять риски, связанные с уязвимостями, и разработать соответствующие меры по их устранению и предотвращению.

В данной работе мы предлагаем адаптированную для МИС классификацию УБИ.

Новизна заключается в выделении единых признаков для всех УБИ, характерных для МИС и классификация УБИ на основе этих признаков.

Актуальность исследования заключается необходимости создания единой классификации УБИ для МИС для дальнейшего использования при разработке специального программного обеспечения для обнаружения УБИ в МИС.

2. Метод

Классификация занимает особое место в теории познания. Объекты упорядочиваются через их объединения в классы по определенным признакам (свойствам, характеристикам), которые позволяют установить их сходство или различие. В основе методологии классификации лежит трехуровневая иерархия научного знания, включающая философский, системологический (общенаучный) и специально-научный уровни. Основная цель любой классификации «состоит в том, чтобы свернуть всю доступную нам информацию о рассматриваемых сложных объектах, процессах или явлениях произвольной природы в компактную, но емкую и удобную для познания форму, идентифицирующую и отображающую сущность этих объектов» [3].

Для классификации были выбраны только те УБИ, которые наиболее характерны для МИС [4]. УБИ отбирались на основе анализа уязвимостей следующих МИС: «Ариадна», «Медиалог», «Реновацио Софт», «Меганом‑Дата», «Симплекс», «MedIdea» и других, интегрированных с компанией «Нетрика Медицина» с 2020 по 2024 год. Данные МИС наиболее распространены среди медицинских учреждений в Санкт-Петербурге и Ленинградской области. Количество пользователей этих МИС насчитывает порядка пяти миллионов человек. Все эти МИС имеют сходный функционал и интегрируются с единой государственной информационной системой здравоохранения при помощи протокола FHIR. В таблице 1 представлены наиболее часто встречающиеся в МИС УБИ. Представлена вероятность обнаружения УБИ в исследуемых МИС, которая была выявлена опытным путём.

Признаком для классификации послужили этапы создания самих МИС от разработки на уровне алгоритмов до интеграции МИС с другими программными продуктами.

Существующие классификации уязвимостей, описанные в национальном стандарте Российской Федерации «Защита информации. Уязвимости информационных систем. Классификация уязвимостей информационных систем» (ГОСТ Р 56546-2015), на сегодняшний день не включают в себя уязвимости интеграционных протоколов. По данному стандарту устанавливается классификация уязвимостей информационных систем по области происхождения уязвимостей, типах недостатков ИС и местах их возникновения (проявления). Для МИС вопрос безопасной интеграции с другими системами остро стоит. Разработчики МИС часто не обращают внимание на безопасность интеграции, оценивая лишь риски уязвимостей ПО и алгоритмов. Задача же специалистов по информационной безопасности обнаружить новые места появления уязвимостей и указать на них. Таким образом, по сравнению с вышеперечисленными и описанными классификациями, выработанная в данном исследовании классификация имеет преимущество, которое позволяет выйти за рамки непосредственно ПО и посмотреть в сторону интеграции одного ПО с другим. Эта интеграция часто остается без внимания с точки зрения безопасности и использование данной классификации при разработке модели угроз позволит избежать проблем в будущем.

3. Результаты и обсуждение

Таким образом, было выделено три метрики:

- метрика «А» — УБИ алгоритмов МИС;

- метрика «Б» — УБИ программного обеспечения МИС;

- метрика «В» — УБИ протокола FHIR.

Прежде чем начать процесс реализации программного обеспечения МИС, то есть создания исполняемого файла, необходимо тщательно продумать функциональную составляющую. Она закладывается в МИС при составлении уникального алгоритма реализации, который не зависит от конечной формы представления, а именно языка программирования [5]. Описывая главные характеристики для метрики «А», важно упомянуть корректность, скорость и уникальность реализации, задающие главные направления векторов процесса программирования [6].

В таблице 2 представлены основные УБИ алгоритмов МИС.

Каждое программное обеспечение МИС проходит этап разработки, который начинается с формирования общих идей о будущих выполняемых задачах, затем идёт алгоритмическая составляющая и завершается написанием кода для создания исполняемого файла [7]. Недоработки программного обеспечения МИС, включая уязвимости, могут появляться на любом этапе этого цикла, изменяясь и интегрируясь в программное обеспечение в ходе его разработки. Таким образом, ошибки, связанные с основами работы продукта, будут трудно выявляемыми в представлении его в виде машинного кода, так как они основаны на абстрактных концепциях и универсальны по сравнению с процессом написания кода на языках программирования.

Наиболее ярким примером уязвимости алгоритма, характерной для МИС, является BDU:2023-01027, относящаяся к микропрограммному обеспечению маршрутизаторов TP-Link. Эксплуатация данной УБИ возможна, так как в функционале сетевого оборудования применяется устаревший криптографического алгоритма MD5, который может позволить злоумышленнику получить несанкционированный доступ к защищаемой информации или инициировать инцидент информационной безопасности, связанный с отказом в обслуживании субъекту МИС, имеющему право доступа. Максимальный процент обнаружения данной УБИ из представленных в таблице 2 свидетельствует о значительной частоте выявления.

Практические рекомендации по устранению уязвимостей Метрики «А» (алгоритмов) медицинских информационных систем — это защита специализированного медицинского оборудования. В частности, системы лучевой диагностики и терапии требуют особых мер безопасности, так как напрямую влияют на постановку диагноза и ход лечения пациентов. Рекомендуется внедрить многофакторную аутентификацию для доступа к такому оборудованию и обеспечить шифрование передаваемых данных.

Главной характеристикой для метрики «Б» является зависимость значения неопределённости реализации программного обеспечения от фактического рабочего времени тестировщиков, программистов и аналитиков.

В таблице 3 представлены основные УБИ программного обеспечения МИС.

Наиболее ярким примером уязвимости программного обеспечения, характерной для МИС, является BDU:2023-05980, относящаяся к программному обеспечению для управления медицинской организацией OpenEMR. Эксплуатация данной УБИ возможна, так как в функционале инструмента для управления цифровыми медицинскими записями возможно осуществить удалённому нарушителю HTML-инъекцию в процессе некорректной проверки данных, которые вводит пользователь при авторизации. Подобные действия злоумышленника могут привести модификации структуры данных пользователя МИС. Максимальный процент обнаружения данной УБИ из представленных в таблице 3 свидетельствует о значительной частоте выявления.

Практические рекомендации по устранению уязвимостей Метрики «Б» (программного обеспечения) медицинских информационных систем — это регулярное обновление операционных систем, антивирусных баз и сигнатур, системного и прикладного ПО. Причиной многих атак становятся именно уязвимости устаревших решений.

Протокол FHIR используется для стандартизированного взаимодействия в части интеграции МИС [8]. Данный протокол — это открытый стандарт, который обеспечивает внешним программным приложениям возможность быстро находить и получать доступ к клинической информации из электронной медицинской карты, используя удобные для разработчиков методы, основанные на современных структурных стандартах [9]. Для того чтобы внешние программные приложения из состава МИС могли получить доступ к информации через протокол FHIR, им нужно активно отслеживать поток сообщений, которые описывают клинические события. Лишь после получения таких сообщений внешнее программное обеспечение сможет собирать и обрабатывать данные. Разработчикам программного обеспечения для МИС с новым функционалом доступны различные бесплатные и общедоступные ресурсы структуры FHIR.

Наиболее очевидные уязвимости протокола FHIR связаны, в большей мере, с его качественной реализацией, а не со структурой самого стандарта.

В исследуемых МИС за период с 2020 по 2024 гг. были выявлены только четыре УБИ. Однако, мы считаем необходимым добавить эту метрику в нашу классификацию, т.к. протокол FHIR в его русской адаптации FHIR RU-core используется в России недавно с 2014 года и прогнозируется рост использования этого протокола для интеграции МИС.

Практические рекомендации по устранению уязвимостей Метрики «В» (протокола FHIR) медицинских информационных систем — это регулярный аудит безопасности. Медицинским организациям необходимо проводить оценку защищённости информационных систем не реже одного раза в квартал. Это позволит своевременно выявлять и устранять потенциальные уязвимости в системах передачи и обработки данных пациентов.

В таблице 4 представлены УБИ протокола FHIR.

Примером использования разработанной методики определения УБИ стали исходные данные моделей угроз информационной безопасности МИС компании «Нетрика Медицина»: «N3. Здравоохранение», «Портал пациента», «Управление потоками пациентов», «Интегрированная электронная медицинская карта» и «Система управления доступом» [11]. Были проанализированы перечни устранённых актуальных УБИ, которые были выявлены смешанным способом идентификации.

Метрика «А» относится к источнику негативных УБИ, внедренных злоумышленником с целью изменить логику работы программного обеспечения в свою пользу. Для того чтобы подтвердить данные УБИ, необходимо привлекать ряд экспертов, имеющих опыт работы как на этапах проектирования МИС, так и на этапах процесса функционирования после ввода в эксплуатацию.

Метрика «Б» относится к источнику случайных УБИ, возникающих из-за ошибок, допущенных программистом, а также не выявленных при тестировании. Основные постулаты написания программного кода представлены в стандартах языка и имеют четкую формализацию, что даёт возможность экспертам выявлять УБИ сканерами, которые точечно проверяют соблюдение правил.

Метрика «В» включает в себя перечни УБИ как самой структуры протокола FHIR, так и УБИ сторонних сервисов, сопутствующих цифровизации здравоохранения. Стандарт FHIR является международным и рекомендован для интеграционных процессов различных МИС, соответственно структура стандарта является защищенной. Но параметры метрики «В» нельзя рассматривать в отрыве от таких аспектов МИС как агрегаторы данных, мобильные приложения, стек сетевых технологий, атака «человек посередине» [10], типов доступа, аутентификаций, идентификаций многого и другое.

Ограничения предложенного метода классификации УБИ связаны с банками уязвимостей ФСТЭК и NIST, где требуется проводить переоценку рисков, ведение отчетности, инвентаризацию активов и выстраивание процессов системы менеджмента информационной безопасности.

Аудит безопасности МИС с применением классификации УБИ на практике сводится к систематическому анализу МИС с целью выявления УБИ, входящие в метрики «А», «Б» и «В».

Направлением будущих исследований является разработка методов и алгоритмов выявления УБИ в МИС, где используются иные протоколы линейки стандарт HL7 (Health Level Seven International), к которому относится протокол FHIR.

4. Заключение

В статье предложена новая классификация УБИ для МИС. В данную классификацию вошли три метрики А, Б и В. Основой классификации послужил принцип разработки МИС. Метрика А отражает УБИ на уровне алгоритмов МИС, метрика Б относится к программному коду, а метрика В фиксирует угрозы интеграции МИС, связанные с протоколом FHIR. В результате исследования выделены основные УБИ, которые встречались в МИС, разработанных компанией «Нетрика Медицина» за 2020-2024 гг. Предложенная классификация УБИ в МИС была опробована при разработке модели угроз информационной безопасности «N3. Здравоохранение», «Портал пациента», «Управление потоками пациентов», «Интегрированная электронная медицинская карта» и «Система управления доступом». Были получены следующие результаты: помимо учтённых в банке данных уязвимостей ФСТЭК для МИС актуальны УБИ, связанные с протоколом FHIR, которых нет в банке данных регулятора. В связи с этим при разработке новых МИС для определения перечня актуальных УБИ необходимо использовать классифицировать с помощью метода, описанного в настоящей статье.

The additional file for this article can be found as follows: