La seguridad de los dispositivos eHealth en entredicho

Escribo hoy en el blog ThinkBig de Telefónica, con un artículo de opinión sobre la poca seguridad de los dispositivos eHealth que hay en el mercado, aprovechando uno de los últimos estudios que han llegado a mis manos.

 

Hace relativamente poco leía un artículo sobre el futuro de la medicina pasa por el eHealth (ES), por la sencilla razón que dota de capacidades tan interesantes como la inclusión del “Yo Cuantificado” o la ruptura del espacio como elemento restrictivo, con la llegada de las teleconsultas y el tráfico de información inmediato por la red.

eHealth

Y un servidor es partidario de todas estas ventajas, pero también creo oportuno señalar que, como ya ha ocurrido con otras disciplinas aún en auge, se tiende a evolucionar el concepto obviando una parte de él tan necesaria como es la seguridad, más si cabe cuando hablamos de dispositivos cuyo uso en algunos casos es crítico (marcapasos, glucómetros,…).

En esta entrada no vamos a hablar de hipotéticos ataques masivos de malware que acaban con la vida de miles de personas, sino de cómo el eHealth ofrece un discurso negativo en tanto en cuanto toda esa información viaja por la red sin seguir en muchos casos protocolos básicos de seguridad, y contiene en su esencia datos personales tan accesibles como potencialmente peligrosos de cara a ataques sofisticados que ya no solo involucren nuestro dinero, sino la propia identidad que nos ha sido otorgada biológicamente.

La Administración de Alimentos y Medicamentos (FDA) publicaba hace escasos días un estudio (EN) donde ponía en entredicho la seguridad de 300 de los dispositivos más usados en medicina en la actualidad, pertenecientes a más de 40 compañías diferentes, y que tienen en su haber vulnerabilidades que podrían ser aprovechadas por un atacante.

El Equipo de Respuesta de los Sistemas de Control Industrial ICS-CERT (EN) iba un poco más allá, dando algunas pautas para normalizar el desarrollo de estas tecnologías y evitar así los exploits que amenazan la integridad de las personas que los usan.

ICS-CERT y FDA no tienen consciencia de que esta vulnerabilidad haya sido explotada ni de que algún paciente haya sufrido daños por este tipo de vulnerabilidades

Lo cual no quiere decir que el peligro no sea real. Y no hay más que ver la prueba de concepto que presentó el investigador Barnaby Jack, que conseguía sobrescribir el firmware de un modelo de marcapasos, permitiéndole realizar descargas eléctricas de 830 voltios en un radio de 9 metros, lo que en la práctica causaría la muerte de todos los usuarios de dicho dispositivo eHealth que estuvieran en la cercanía.

Entre las medidas de mitigación de daño expuestas por el ICS-CERT, quería resaltar las siguientes:

  • El acceso a dispositivos y red hospitalaria únicamente a personal autorizado: Mi madre trabaja en un hospital, y es lamentable que desde un ordenador cualquiera conectado a la red se tenga acceso a todo el historial, ya ni digamos a los almacenes de material. Desarrollar entornos seguros mediante software específico según el usuario es cada vez más una obligación que una alternativa.
  • La actualización de firmware firmado: Otro de los aspectos en los que tiende a pecarse en eHealth. Un producto funciona a las mil maravillas, para qué vamos a actualizarlo. El fabricante debería no solo desarrollar el dispositivo, sino ofrecer actualizaciones continuas que parcheen posibles vulnerabilidades en los mismos, y ofrecerlas de la forma más sencilla al cliente (a poder ser mediante actualización inmediata y transparente al usuario).
  • Dispositivos y tecnologías capadas de funciones críticas: La programación modular permite generar permisos que sean accesibles por el usuario (o el atacante) y otras que no lo sean (al menos a priori). En este segundo grupo, deberían considerarse aquellos elementos críticos del sistema que harían peligrar el buen quehacer de la tecnología eHealth.
  • Cuando todo falla, un plan alternativo: Si algo puede estropearse, ten claro que tarde o temprano ocurrirá. Para cuando esto ocurra, es importante tener planes de contingencia y sistemas auxiliares que eviten males mayores, mientras podemos restaurar el funcionamiento correcto de la tecnología.

Por supuesto, y como ya he dejado claro al principio del artículo, con la evolución del eHealth ganamos mucho más de lo que perdemos, y para muestra esa nueva tendencia hacia el biohacking ético (ES) y el aumento de la esperanza de vida. Pero una casa no se empieza por el tejado, y si partimos de una base robusta, el futuro será aún más prometedor.

 

Edit a día 24 de Junio del 2013: El Centro Centro de Investigación para la Gestión Tecnológica del Riesgo (CIGTR) se hace eco en el día de hoy de nuestro artículo. A saber:

Pablo F. Iglesias nos cuenta con qué medidas básicas de seguridad deberían contar los centros de salud y hospitales para limitar el acceso a dispositivos y para administrarlos de manera más segura.

Está disponible en español (ES) e inglés (EN).