Advarselen sier at systemet er sårbart for cybersecurity hacks som kan kontrollere dosering

FDA har utstedt et varsel, advarsel om sikkerhetsproblemer i cybersecurity i Symbiq Infusion pumpen som kan tillate hackere å overstyre kontrollen av pasientmedisinering. Hospira Symbiq Infusion System er en datastyrt pumpe som gir kontinuerlig levering av generell infusjonsbehandling for en bred pasientpopulasjon.

Varselet varsler helsevesenet ved hjelp av dette systemet med potensiell uautorisert tilgang og kontroll av disse systemene, og inkluderer en anbefaling om at brukere overgår til alternative infusjonssystemer og avbryter bruken av de berørte pumpe til videre varsel. Advarselen sier delvis: "FDA, US Department of Homeland Security's Industrial Control Systems Cyber ​​Emergency Response Team (CS-CERT), og Hospira er klar over sikkerhetsproblemer knyttet til cybersikkerhet knyttet til Symbiq Infusion System. Hospira og en uavhengig forsker bekreftet at Hospira's Symbiq Infusion System kunne nås eksternt via et sykehus nettverk, "en handling som potensielt kunne" tillate en uautorisert bruker å kontrollere enheten og endre doseringen pumpen leverer, noe som kan føre til over- eller under-infusjon av kritiske pasientterapier. "

Forsker Billy Rios oppdaget feilene i en rekke Hospira-infusjonssystemer, inkludert Plum A +, Lifecare PCA og Symbiq-produkter, ifølge Sikkerhetsuke. Hittil er det ingen indikasjon på at slike tiltak har skjedd, og ingen bevis for pasientens uønskede hendelser eller uautorisert tilgang.

Ved overgang til et alternativt infusjonssystem, bør helsetjenester ta følgende skritt for å redusere risikoen for uautorisert systemtilgang:

• Koble det berørte produktet fra nettverket. Vær oppmerksom på at koble det berørte produktet fra nettverket, vil det få operasjonelle konsekvenser, og det vil kreve at medisinbibliotekene oppdateres manuelt. Manuelle oppdateringer til hver pumpe kan være arbeidskrevende og utsatt for oppføringsfeil.
• Kontroller at ubrukte porter er stengt, inkludert Port 20 / FTP og Port 23 / TELNET.
• Overvåk og logg all nettverkstrafikk som forsøker å nå det berørte produktet via Port 20 / FTP, Port 23 / TELNET og Port 8443. Kontakt Hospiras tekniske support for å endre standard passord som brukes til å få tilgang til Port 8443 eller lukke den.

Hospira har avsluttet produksjonen og distribusjonen av de berørte infusjonssystemene, på grunn av ikke-relaterte problemer, og jobber for tiden med sine kunder for å overgå til alternative systemer, og FDA oppfordrer sterkt disse overgangene så snart som mulig. Hospira har også gitt a programvare oppdatering for å minimere sårbarheter under overgangen.

"Hospira har vært en del av pågående diskusjoner med FDA og Department of Homeland Security vedrørende nyere utviklinger rundt cybersecurity, sier Hospira. SecurityWeek i mai. "Det er også verdt å merke seg at utnyttelse av sårbarheter krever at flere lag med nettverkssikkerhet håndheves av sykehusinformasjonssystemet, inkludert sikre brannmurer. Disse nettverkssikkerhetstiltakene fungerer som den første og sterkeste forsvarslinjen mot manipulering, og pumper og programvare gir et ekstra lag med sikkerhet. "

Blant de sårbarhetene som er oppdaget i Hospira, er infusjonssystemer en bufferoverløp, feil autorisasjon, utilstrekkelig verifisering av dataintegritet, hardkodede passord, feil lagring av sensitiv informasjon, ukontrollert ressursforbruk, problemstillinger for nøkkel og sertifikatbehandling og bruken av sårbar tredjeparts programvare.