新数据显示，尽管未来实用型量子计算机可能能够破解保护患者数据的加密算法，但医疗保健行业在准备过渡到后量子加密方面仍然落后。联网医疗设备的滞后尤为明显，其中只有6%具备应对未来量子攻击的适当防护能力，而信息技术系统的这一比例为50%。
Forescout旗下威胁研究部门对分布在50多家医疗机构中的250多万台设备进行了分析。分析对象包括输液泵、患者监护设备，以及工作站和服务器。尽管信息技术系统占医疗保健环境联网设备的66%，但医疗设备可能成为一个重要薄弱点，因为这类设备难以更新，且医疗服务直接依赖于它们。
长生命周期数据成为诱人目标
医疗记录、诊断影像、实验室结果和处方历史属于最容易受到威胁的数据类型，因为它们在很长时间内仍具有敏感性和价值。报告还发现，在超过5,500个暴露于互联网的医疗系统中，只有31%支持能够承载后量子加密的加密协议。这些系统包括患者门户和部分应用程序编程接口。
这并不意味着攻击者明天就会使用量子计算机攻击医院。但Forescout运营技术与医疗保健解决方案及网络安全风险副总裁丹尼尔·特雷维利托警告称，攻击者可能采取“现在收集、以后解密”的策略：今天存储窃取的加密数据，等待量子计算具备解密能力。
实际情况会发生什么变化？
Forescout建议，机构应开始盘点高风险资产和系统，并将量子计算准备工作纳入技术更新周期、采购流程和系统替换计划，而不是等待实用型量子计算机出现。美国国家标准与技术研究院（NIST）已经发布了第一套后量子加密标准，为此提供了现成的起点，该标准于2024年发布。
在一个本已遭受大规模攻击的行业中，这一步的重要性更加突出。Forescout在所述年份的1月至8月期间，监测到全球医疗机构公开声称遭受勒索软件攻击的事件有461起，比上年同期增加47%，其中超过60%的受害机构位于美国。根据IBM的数据，医疗保健数据泄露的平均成本约为664万美元。
这里的编辑结论并不是量子危机即将发生，而是医疗数据生命周期长、设备更新困难，使得这一过渡过程缓慢，无法推迟规划。目前仍不确定监管机构会对医疗保健行业强制提出具体的后量子加密要求，还是将其纳入现有的网络安全义务。