網路資安威脅
S4x23 資安大會回顧：疫情與網攻雙面夾擊的醫療業
本文聚焦醫療業。過去兩年，醫療業因為新冠肺炎(COVID-19)疫情的關係而隨時處在緊繃的狀態，而且除了經常登上媒體版面之外，也時時遭到網路攻擊的威脅，例如勒索病毒。
本文是 S4x23 大會回顧系列的第 3 篇，這次我們將聚焦醫療業。過去兩年，醫療業因為 COVID-19 疫情的關係而隨時處在緊繃的狀態，而且除了經常登上媒體版面之外，也時時遭到網路攻擊的威脅，例如勒索病毒(勒索軟體,Ransomware) 。我們特別挑選出兩場演講來談談這次疫情帶給我們哪些啟示以及風險管理與網路資安的重要。
從需求金字塔看關鍵服務
Exiger 資深總監 Munish Walther-Puri
身為紐約市網路指揮中心網路資安風險總監的 Munish 在關鍵基礎設施安全與事件回應方面擁有最直接的第一手經驗。基於這些經驗，他提出了一套框架及條件來判斷服務的重要性，例如：事件是否直接影響關鍵服務並衝擊營運，以及是否同時衝擊多個產業。
他表示，原本這些問題對於個人的影響有限，但由於疫情的關係，我們被迫重新思考優先次序的意義。根據馬斯洛 (Maslow) 的需求金字塔理論，人類最基本的需求是生理需求，再往上一層是安全需求。我們在決定一個服務的優先次序時，必須看它是否會造成持續性的衝擊，以及它有多重要。例如，電力或汽油供應突然中斷，會造成立即的衝擊，但若是垃圾車無法清運垃圾，就沒這麼急迫。
他們在制定紐約市服務中斷應變計畫時曾面臨四個挑戰：
- 所謂關鍵基礎設施的定義：美國、加拿大及澳洲遭到攻擊的產業並不盡相同。
- 服務並不一定只涵蓋單一產業：即使是在定義國家層級的服務，也離不開地區性服務的供應。
- 所有服務可劃分成 55 項關鍵功能，但有必要針對其相對重要性預先達成共識。
- 故障連鎖效應：以個別產業為本為的作法，將忽略彼此之間的依賴性。
在資源分配方面，他認為重點在於服務而非產業，並依此定義出一些判斷服務重要性的條件，例如：是否直接影響關鍵服務，以及是否同時影響多個產業。他認為真正關鍵的服務可分為三個層次：
- 生命安全：緊急服務、執法、公共醫療、衛生、自來水。
- 照護與社會責任：教育、選舉、健康照護、庇護、矯正。
- 處理與管理：稅收、費用與支付、薪資、許可證。
只要確保這些服務的供應，就能保障公共安全與緊急服務、公共衛生與福利、社區服務、金融穩定以及經濟健全。此外，他將電信、資料、電力、貨運定義為高關鍵性服務，以確保彼此之間的依賴性。
他所提出的框架雖然只是紐約市的個案，但可當成人口稠密的大型都會環境服務治理範例。他表示，資源能否適當分配的關鍵在於網路防禦的優先次序與彼此的協助和支援。
CISA COVID 工作小組的經驗與啟示
I am the Cavalry 創辦人 Josh Corman
Joshua Corman 是「I Am the Cavalry」這個草根性組織的創辦人，該組織致力於數位安全、公共安全以及人類生活的交錯關係。他曾經擔任美國網路資安與基礎設施安全局 (Cybersecurity and Infrastructure Security Agency，簡稱 CISA) COVID 工作小組 (COVID Task Force) 的首席策略師，專門為 CISA 的產業整合工作提供諮詢，並支援疫情回應，提供有關醫療基礎設施網路資安專業，同時也支援該局的控制系統與生命安全計畫。
他在會中分享了一些故事以及他參加 COVID 工作小組的經歷所帶給他的啟示。
COVID 工作小組
2017 年，在疫情爆發之前，他以醫療業網路資安工作小組 (Healthcare Cybersecurity Task Force) 成員的身分參與了一份致力提升醫療業網路資安的報告。
該報告提出一些疑慮指出醫療業當前的情況相當嚴重，包括：資安人才嚴重缺乏、設備老舊、不成熟的連線或過度連線、系統漏洞影響病患的照護，以及已知漏洞存在的情況非常普遍。隨後，他以 CISA COVID 工作小組的身分投入了一些在疫情期間確保醫療照護不中斷的工作。
其中一項就是保護疫苗供應鏈。
首先，他們先對疫苗供應鏈進行一番分析。全部 7 支候選疫苗由 23 名工作人員來負責和 4,000 家供應商接洽。他們根據衝擊性、依賴性、替代方案可用性、供應短缺程度來判斷供應商的優先次序，最後整理出 66 家必須獲得保障的供應商。接著，他們幫忙為美國政府的 COVID 疫苗開發、製造與配送加速計畫「曲速行動」(Operation Warp Speed) 研究相關的風險。
這些風險包括：
- 開發與測試方面的間諜風險。
- 大規模生產的中斷風險。
- 實體配送障礙的風險。
- 疫苗相關的錯誤/造假/惡意訊息的風險，其中最特別的是需要冷鏈配送的疫苗。
乾冰短缺及空運量能不足就是其中的兩項風險，他們在分析完供應鏈之後，決定調用起司配送資源來維持乾冰的供應，並且從空運改成陸運。
醫療供應量能
要維持醫療機構的量能，意味著要能應付並處理醫療服務，而這必須仰賴三大要素來支撐：空間、器材及人員。
在疫情期間，這三項要素更交互影響，進一步使得整體量能變得更少。
第一，醫療照護的需求增加導致物資短缺，進而造成延遲和醫療照護減少。第二，物資短缺，如個人防護衣短缺，增加了醫療人員暴露於病毒的機會，造成人員暫時減少。第三，醫療照護需求增加使得醫療人員的暴露時間更長，造成感染而無法上班，使得治療量能減少。
此問題也造成了都市外圍鄉村醫院的連鎖效應，使得整個地區的人民生命都受到威脅。COVID 案例居高不下的地區，其死亡人數的增加並不單只因為感染 COVID 而死亡，死於其他非預期因素的人口也同樣增加，這在技術上有個專門術語叫做「超額死亡」。在 2020 年的超額死亡數字當中，死於 COVID 以外因素的人數大幅增加，包括：阿茲海默症、糖尿病、心臟疾病、腦血管疾病。
醫療技術
醫療技術必須在前述三大要素上支援負責救人的醫療服務。勒索病毒攻擊會破壞醫療技術進而妨礙這三大要素的量能，尤其是降低醫療人員的量能，危及人民的生命。事實上，2019 年美國阿拉巴馬州就有一名在出生時發生併發症的嬰兒因為醫院遭勒索病毒攻擊而使得醫師無法存取電子病歷和病患監控系統而喪命，我們不能再讓這樣的事情發生。
正如該工作小組的統計分析指出，醫療量能的問題會導致超額死亡。網路攻擊會對醫療量能造成短期和長期衝擊，甚至直接威脅病患安全、造成緊急服務中斷，以及無法存取病患資料 (包括檢視病例、檢驗結果、預約掛號)。此外還有一些對下游的長期影響：手術與癌症治療取消或延期、COVID 檢測站被迫關閉、無法提交 X 光片，無法與其他醫院通訊等等。結果，醫療人員必須將重症病患轉送到很遠的地方、使用紙本病歷、暫時不做高風險的醫療程序等等。
網路攻擊會讓醫療系統無法存取電子醫療記錄 (EHR) 以及執行需要詳細資訊的治療程序，例如心臟外科手術。這將大幅低量能，導致醫療人員無法收納新的病患。而且重症病患的轉診也比平常更花時間，並且會減少病床量能、降低占床率。
他表示，人們會因為機構之間無法彼此合作而喪命。在一個涵蓋眾多產業的關鍵服務價值鏈上，只要一個環節發生中斷，就會對整體造成連鎖衝擊。為了將關鍵基礎設施分層化，我們需要將攸關生命安全的服務歸類為「無法容忍延遲」、「延遲敏感」或者「比平常對延遲更敏感」，而這需要一套跨產業的框架。
我認為今日的醫療服務需仰賴各種技術來完成，而身處多重產業價值鏈上的醫院，本身就需要建立自己對抗網路威脅的韌性。趨勢科技專家舉辦了一場隨選網路研討會來探討當前的勒索病毒情勢、醫院內的網路資安挑戰，以及保護病患資料與關鍵營運的網路資安策略。詳情請參閱 此處。
在接下來的第 4 篇，我們探討製造業的工業物聯網 (Industrial IoT)。
參考資料：