本文聚焦醫(yī)療物聯(lián)網(wǎng)(IoMT)設(shè)備供應(yīng)鏈的網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，揭示了植入式心臟設(shè)備(ICD)、胰島素泵等醫(yī)療設(shè)備存在的硬件后門(CVE-2024-12248)和遠(yuǎn)程操控漏洞。研究團(tuán)隊(duì)提出采用信任根(Root of Trust)、零信任架構(gòu)(Zero Trust)等技術(shù)方案，結(jié)合歐盟《網(wǎng)絡(luò)彈性法案》等監(jiān)管框架，為醫(yī)療設(shè)備全生命周期安全提供系統(tǒng)性解決方案。該研究發(fā)表于《npj Digital Medicine》，對(duì)保障遠(yuǎn)程患者監(jiān)測(RPM)和居家醫(yī)院(HaH)模式的安全實(shí)施具有重要指導(dǎo)意義。
隨著醫(yī)療物聯(lián)網(wǎng)(IoMT)設(shè)備的普及，從智能胰島素泵到植入式心臟復(fù)律除顫器(ICD)，這些設(shè)備正在重塑現(xiàn)代醫(yī)療模式。然而，2012年美劇《國土安全》中虛構(gòu)的遠(yuǎn)程謀殺情節(jié)，與2008年首個(gè)ICD網(wǎng)絡(luò)安全漏洞研究報(bào)告形成戲劇性呼應(yīng)——現(xiàn)實(shí)中的威脅雖不致命，卻同樣令人擔(dān)憂。更嚴(yán)峻的是，2024年曝光的Contec CMS8000患者監(jiān)護(hù)儀后門漏洞(CVE-2024-12248)表明，硬件供應(yīng)鏈已成為地緣政治博弈的新戰(zhàn)場。
德國德累斯頓工業(yè)大學(xué)Else Kr?ner Fresenius數(shù)字健康中心的研究團(tuán)隊(duì)在《npj Digital Medicine》發(fā)表研究，系統(tǒng)分析了IoMT設(shè)備從設(shè)計(jì)到部署的全鏈條風(fēng)險(xiǎn)。通過案例研究揭示：十年前設(shè)備漏洞多源于設(shè)計(jì)缺陷，而現(xiàn)代風(fēng)險(xiǎn)則來自全球化供應(yīng)鏈——單個(gè)醫(yī)療設(shè)備可能包含來自數(shù)十個(gè)國家的數(shù)百個(gè)組件，其中中國制造的硬件組件尤其引發(fā)英美監(jiān)管機(jī)構(gòu)警惕。
研究采用供應(yīng)鏈安全分析、漏洞數(shù)據(jù)庫(CVE)追蹤、法規(guī)對(duì)比等方法，重點(diǎn)考察了歐盟《醫(yī)療器械法規(guī)》(MDR)與美國《聯(lián)邦食品、藥品和化妝品法案》(FD&C Act)的差異。結(jié)果顯示：硬件層面的信任根(嵌入安全芯片實(shí)現(xiàn)加密認(rèn)證)和零信任架構(gòu)(持續(xù)驗(yàn)證設(shè)備身份)可有效阻斷90%的已知攻擊路徑。典型案例包括：2016年雅培心臟設(shè)備因"電池耗盡"漏洞導(dǎo)致50萬臺(tái)設(shè)備召回，以及2025年英國議會(huì)警告中國組件可能成為網(wǎng)絡(luò)攻擊跳點(diǎn)。
研究結(jié)果分為三個(gè)維度：
威脅演變：攻擊目標(biāo)從軟件擴(kuò)展到硬件供應(yīng)鏈，如以色列對(duì)真主黨尋呼機(jī)的硬件攻擊證明物理級(jí)破壞可行。
技術(shù)對(duì)策：芯片級(jí)隔離技術(shù)(Chiplets)和軟件最小權(quán)限原則(Principle of Least Authority)可降低75%的橫向滲透風(fēng)險(xiǎn)。
監(jiān)管缺口：歐盟《網(wǎng)絡(luò)彈性法案》要求提供軟件物料清單(SBOM)，但美國尚未明確硬件組件的溯源要求。
結(jié)論指出，醫(yī)療設(shè)備安全已進(jìn)入"防御者劣勢"階段——制造商需在設(shè)備生命周期早期集成信任根，而監(jiān)管機(jī)構(gòu)應(yīng)強(qiáng)制實(shí)施供應(yīng)鏈透明度。該研究為正在興起的居家醫(yī)院(HaH)模式提供了安全框架，其提出的"安全設(shè)計(jì)四步法"(需求澄清→硬件加固→供應(yīng)鏈追溯→持續(xù)監(jiān)測)已被歐盟CYMEDSEC項(xiàng)目采納為行業(yè)標(biāo)準(zhǔn)。隨著遠(yuǎn)程患者監(jiān)測(RPM)設(shè)備年增長率達(dá)34%，這項(xiàng)研究為平衡醫(yī)療創(chuàng)新與國家安全樹立了關(guān)鍵路標(biāo)。
特別聲明：智慧醫(yī)療網(wǎng)轉(zhuǎn)載其他網(wǎng)站內(nèi)容，出于傳遞更多信息而非盈利之目的，同時(shí)并不代表贊成其觀點(diǎn)或證實(shí)其描述，內(nèi)容僅供參考。版權(quán)歸原作者所有，若有侵權(quán)，請(qǐng)聯(lián)系我們刪除。
凡來源注明智慧醫(yī)療網(wǎng)的內(nèi)容為智慧醫(yī)療網(wǎng)原創(chuàng)，轉(zhuǎn)載需獲授權(quán)。
智慧醫(yī)療網(wǎng) ? 2022 版權(quán)所有 ICP備案號(hào)：滬ICP備17004559號(hào)-5
