互联医疗设备的监管格局正在朝着积极的方向迅速发展

传统的医疗物联网设备可能缺少安全功能，但是围绕商品组件构建的较新设备可能具有整套不同的漏洞，攻击者可以更好地理解这些漏洞。

对于使医疗保健网络更容易受到网络攻击的损害，专家们的分歧在于旧的连接的医疗设备还是更新的医疗设备。

不安全的物联网的经典叙述集中在将旧设备集成到网络中。 在某些行业中，这些设备要比Internet早一些，有时要花相当长的时间，因此，在保护其免受远程入侵的威胁方面，企业面临很多挑战也就不足为奇了。

即使这些设备还不是很旧，它们通常也缺少关键功能，尤其是远程软件更新和可配置的密码保护，这些功能将帮助IT人员防御现代威胁。

医疗物联网安全初创公司Cylera的首席安全策略师Richard Staynings认为，就医疗领域而言，这可能并非完全正确。他认为，近年来医疗物联网设备的数量和种类呈爆炸式增长，其中许多小工具至少与该领域真正的传统设备一样不安全。

Staynings说，在某些情况下，较旧的设备实际上可能比较新的设备安全得多。特别是那些基于过时技术的产品，例如电可擦可编程只读存储器（EEPROM）的旧版本。

他说：“较早的系统是用EEPROM编写的-您需要一个EEPROM读取器才能将它们弄乱。” “代码库不在Internet上供黑客查看，您需要对EEPROM进行物理访问才能重写它。”

相反，较新的设备经常使用潜在攻击者更加熟悉的软件和硬件组件。 “他们在设计和构造上更普遍-他们使用［消费者现成的］操作系统，例如Windows Embedded，无论您信不信由你，该操作系统仍在使用，并且与传统相比，它们更容易受到攻击系统”，Staynings说。

当前一代医疗物联网硬件的不安全性还可能带来持续存在的问题，而不仅仅是紧迫的问题。尽管IT资产得到快速更换，但IoT设备的更换周期通常更长。 Staynings说：“医疗器械具有of的半衰期。” “他们只是不会消失。”

在Staynings对医疗物联网威胁的描述中，其他专家则鲜为人知，他们认为，新设备要比旧设备构成更大威胁的想法在面对最近使它们更安全的努力时就不成立了。基思·穆拉尔斯基（Keith Mularski）指导安永咨询公司的网络安全咨询业务，并将Staynings的主张描述为“令人惊讶”，并指出互联医疗设备的监管格局正在朝着积极的方向迅速发展标准。

“ FDA有一些相当严格的指导原则，在设备投入市场之前，您需要将威胁建模放在一起，因此要研究安全架构，向量等，然后除了FDA准备准备要求上市前提交文件中的第三方笔测试，” Mularski说。 “使用旧版设备，这些上市前提交的申请就不那么完整了。”

Mularski确实承认，某些特别易受攻击的旧设备通常在设计上通常与网络更加隔离，部分原因是它们更容易识别为易受攻击的资产。例如，Windows 95老式X射线机很容易被发现为坏演员的潜在目标。

他说：“在大多数情况下，我认为在大多数医院环境中，他们在认识到自己拥有这些旧设备以及较脆弱的设备方面做得很好。”

这强调了大多数专家讨论的主题–对给定网络上潜在的安全漏洞的简单认识对于保护医疗网络至关重要。 Greg Murphy是Ordr的首席执行官，Ordr是一家总部位于圣塔克拉拉的网络可见性和安全性初创公司。他说，穆拉尔斯基和斯廷宁斯都表示赞成。

他说：“将遗留设备问题降到最低的任何人都必须走医院的生物医学工程部门的步伐，”。 “ 但是，另一方面，连接到网络的新设备本身也具有巨大的漏洞。许多制造商本身都不知道他们的设备存在哪些漏洞。”

Murphy说，解决问题的唯一真正方法是在网络级别上-试图在设备级别上确保所有内容的安全在许多情况下几乎是不可能的，甚至无法准确了解连接到网络的每个设备的情况。通常需要使用自动化解决方案。

他说：“这不再是人类规模的问题。”

Mularski和Staynings都同意这一点。无论特定网络上的哪些设备最容易受到攻击，都应记住，网络犯罪分子通常不会特别关注其危害，只要他们能够获得访问权限即可。

Mularski说：“可能有攻击者横穿这些设备，进行扫描并偶然发现［漏洞］，但我们确实还没有看到针对医疗设备的特定目标。” “确保具有医疗设备的公司枚举其网络，跟踪其设备，这一点很重要。”
责任编辑：tzh