Yeni veriler, pratik kuantum bilgisayarların gelecekte hasta verilerini koruyan şifreleme algoritmalarını kırabilmesine rağmen sağlık sektörünün kuantum sonrası şifrelemeye geçişe hazırlık konusunda hâlâ geride kaldığını ortaya koyuyor. Gecikme, bağlı tıbbi cihazlarda daha belirgin görülüyor; bu cihazların yalnızca %6’sı gelecekteki kuantum saldırılarına karşı uygun korumaya sahipken, bilgi teknolojisi sistemlerinde bu oran %50.
Forescout’un tehdit araştırma birimi, 50’den fazla sağlık kuruluşuna dağılmış 2,5 milyondan fazla cihazı analiz etti. Analize infüzyon pompaları ve hasta monitörleri gibi cihazların yanı sıra iş istasyonları ve sunucular da dahil edildi. Bilgi teknolojisi sistemleri sağlık ortamlarındaki bağlı cihazların %66’sını oluştursa da tıbbi cihazlar, güncellenmelerinin zor olması ve sağlık hizmetlerinin doğrudan bunlara dayanması nedeniyle önemli bir zayıf nokta olabilir.
Uzun ömürlü veriler cazip bir hedef
Tıbbi kayıtlar, tanısal görüntüler, laboratuvar sonuçları ve reçete geçmişi, uzun süreler boyunca hassas ve değerli kalmaları nedeniyle en fazla risk altında olan veri türleri arasında yer alıyor. Rapora göre ayrıca, internet üzerinde açıkta bulunan 5.500’den fazla sağlık sisteminin (hasta portalları ve bazı uygulama programlama arayüzleri gibi) yalnızca %31’i kuantum sonrası şifrelemeyi destekleyebilecek bir şifreleme protokolünü destekliyor.
Bu, saldırganların yarın hastanelere saldırmak için kuantum bilgisayarlar kullanacağı anlamına gelmiyor. Ancak Forescout’ta operasyonel teknoloji ve sağlık çözümleri ile siber güvenlik risklerinden sorumlu başkan yardımcısı Daniel Trevelito, bugün çalınan şifreli verilerin kuantum bilişim bunu mümkün kıldığında çözülmesi umuduyla saklandığı “şimdi topla, sonra çöz” stratejisine karşı uyarıda bulundu.
Uygulamada ne değişiyor?
Forescout, kuruluşların yüksek riskli varlıkları ve sistemleri envanterlemeye başlamasını, kuantum hazırlığını pratik kuantum bilgisayarların ortaya çıkmasını beklemek yerine teknoloji güncelleme döngülerine, satın alma süreçlerine ve sistem yenilemelerine dahil etmesini öneriyor. Ulusal Standartlar ve Teknoloji Enstitüsü (NIST), 2024 yılında kuantum sonrası şifreleme standartlarından oluşan ilk seti yayımlayarak mevcut bir başlangıç noktası sunuyor.
Bu adım, hâlihazırda geniş çaplı saldırılara maruz kalan bir sektörde daha da önem kazanıyor. Forescout, ilgili yılın ocak-ağustos döneminde dünya genelindeki sağlık kuruluşlarına yönelik 461 kamuya açık fidye yazılımı saldırısı iddiası tespit etti; bu sayı önceki yılın aynı dönemine göre %47 artış gösterdi ve saldırıların %60’tan fazlası ABD’deki kuruluşları hedef aldı. IBM’e göre sağlık hizmetleri verilerinin ihlal edilmesinin maliyeti ortalama yaklaşık 6,64 milyon dolar.
Editoryal sonuç, kuantum krizinin yakın olduğu değil, tıbbi verilerin uzun ömürlü olması ve cihazların güncellenmesinin zorluğu nedeniyle geçişin ertelenemeyecek bir planlama gerektiren yavaş bir süreç olduğudur. Düzenleyici kurumların sağlık sektörüne kuantum sonrası şifreleme için özel gereklilikler getirip getirmeyeceği ya da bu gereklilikleri mevcut siber güvenlik yükümlülüklerine dahil edip etmeyeceği ise hâlâ kesinleşmiş değil.