0 
0 Proteger a propriedade intelectual (PI) sempre foi uma prioridade para os fabricantes de dispositivos médicos, pois concorrentes e até estados-nação estão constantemente tentando comprometer ou roubar IP. Por exemplo, em janeiro de 2019, um cidadão chinês que roubou segredos enquanto trabalhava para empresas de dispositivos médicos, incluindo Medtronic e Edwards, foi condenado a mais de dois anos de prisão federal. Com o tempo, Wenfeng Lu copiou vários documentos pertencentes a seus empregadores que continham informações técnicas e segredos comerciais, os levou para casa e os colocou em seu laptop pessoal. Ele foi preso enquanto se preparava para embarcar em um avião para a RPC.
Nunca foi mais fácil ou mais rentável hackear dispositivos para seu IP. Cada vez mais dispositivos médicos foram transformados de dispositivos mecânicos com software limitado, para dispositivos embalados por software. As empresas gastam bilhões de dólares em P&D por anos após anos, apenas para deixar vulnerabilidades no software e firmware dos dispositivos, abrindo a porta para os hackers entrarem e roubarem seu IP. Algo está terrivelmente errado com este cenário.
Às vezes, as vulnerabilidades são criadas durante o processo de desenvolvimento, e às vezes elas vêm parte e parcela dos componentes recebidos de seus provedores da cadeia de suprimentos. Amplificar o desafio é a escassez de peças e componentes causados em parte pela pandemia. Isso está levando muitos fabricantes a procurar fornecedores alternativos que possam produzir suprimentos constantes. Com novos fornecedores vem o risco adicional de novos componentes não testados e o potencial para muitas novas ameaças e vulnerabilidades.
As organizações que desejam proteger seu IP contra roubo e uso indevido precisam fazer um trabalho muito melhor para proteger os dispositivos que produzem.
O que está em jogo
A propriedade intelectual roubada permite que hackers reprojetem e vendam o mesmo dispositivo com uma fração do investimento em P&D. Wenfeng Lu, por exemplo, obteve financiamento e estava se preparando para abrir uma empresa na RPC que fabricava dispositivos usados para tratar problemas vasculares e usaria a tecnologia que havia roubado de seus empregadores americanos, de acordo com documentos judiciais.
A Comissão sobre o Roubo da Propriedade Intelectual Americana estima que os custos anuais com perdas de IP variam de US$ 225 bilhões a US$ 600 bilhões. A infração ip pode afetar significativamente a receita de uma empresa e pressionar seus preços para baixo. Se um concorrente rouba os segredos comerciais de produtos de uma empresa, pode bater essa empresa para comercializar com um produto novo e inovador, diminuindo a participação de mercado da vítima.
As empresas de dispositivos médicos enfrentam um ambiente muito competitivo, aumentando o incentivo ao roubo de IP. Roubar IP usando técnicas de hacking on-line tornou-se mais difundido e prejudicial devido aos baixos custos, à difícil atribuição e à capacidade de hackear sistemas remotamente.
O dispositivo é o alvo
Embora seja verdade que o IP pode vazar de fontes internas e ameaças internas, o IP está sendo hackeado cada vez mais através de ataques cibernéticos no próprio dispositivo. Por exemplo, um caso recente foi relatado onde uma empresa de engenharia de dispositivos médicos de Massachusetts experimentou a invasão de código fonte para seus dispositivos médicos e algoritmos, essenciais para operar os dispositivos. Os dispositivos residem na localização do cliente e muitas vezes podem ser acessados, investigados e projetados reverso no lazer do invasor.
Novas Vulnerabilidades e Exposições Comuns (CVEs) aparecem frequentemente e as avaliações de risco são muitas vezes executadas apenas esporadicamente durante o processo de desenvolvimento, e não são feitas após o lançamento do produto. Isso significa que há períodos de tempo significativos em que os dispositivos estão abertos a hacks, permitindo que hackers roubem algoritmos de software e firmware e desapareçam, sem que ninguém saiba que eles estavam lá.
Endurecendo o dispositivo
Proteger ativos IP é uma tarefa crítica para os negócios. Proteger o IP em um dispositivo requer uma abordagem holística para a segurança do dispositivo. Bloquear as interfaces, além de proteger o código de software e o firmware, é crucial para se defender contra o roubo de IP. Embora não haja garantia de proteção, o objetivo é aumentar o nível de dificuldade ao ponto de haver muito mais obstáculos, e mais tempo e custo necessários para hackear o dispositivo.
É imperativo que os fabricantes médicos se defendam do roubo de IP, incluindo ataques cibernéticos direcionados. Para proteger o IP, as empresas precisam de sistemas de segurança de produtos que monitorem automaticamente e continuamente o software e o firmware de dispositivos médicos, descobrindo vulnerabilidades conhecidas e sem dias.
Protegendo o código
O software e o firmware que executam o dispositivo são um alvo valioso para os atacantes. Adicionar camadas de proteção para tornar o código menos acessível aos atacantes é essencial para proteger o IP. Isso inclui descobrir erros no código que poderiam permitir a entrada de invasores, criptografia dos dados e armazenamento e usar técnicas de ofuscação para tornar a engenharia reversa mais desafiadora.
Os fabricantes devem empregar avaliações contínuas de vulnerabilidade do software implantado em dispositivos médicos, usando bancos de dados de vulnerabilidade. Eles devem garantir que a plataforma de segurança cibernética que eles alistam também seja capaz de detectar vulnerabilidades de zero-day. O monitoramento deve se estender por todo o ciclo de vida desde o design até o fim da vida útil do dispositivo. A solução também deve ser capaz de produzir projeto de lei de software de materiais (SBOM) ou conta cibernética de materiais (CBOM) e opções de correção para quaisquer ameaças ou vulnerabilidades descobertas.
Manter os produtos seguros
Uma das maneiras mais eficazes de proteger o IP em um dispositivo é eliminar o método mais fácil para hackear o dispositivo, vulnerabilidades conhecidas. Os atacantes verificam alvos de vulnerabilidades conhecidas e publicadas para usar como pontos de partida para ataques. O gerenciamento de vulnerabilidades requer monitoramento contínuo de ameaças e vulnerabilidades durante todo o ciclo de vida do produto. A descoberta tardia ou a falta de remediação adequada das vulnerabilidades descobertas podem levar a recalls caros e danos à marca e ao resultado final.
O monitoramento de vulnerabilidades não se trata de tirar um instantâneo SBOM ou CBOM único, mas as equipes de segurança de produtos precisam estabelecer processos e políticas contínuas para gerenciar de forma proativa e colaborativa as ameaças cibernéticas em dispositivos médicos, juntamente com suas equipes de desenvolvimento e fornecedores. Eles precisam de visibilidade e compreensão da make e características de seu inventário de ativos de software, dados confiáveis e oportunos de vulnerabilidade, fluxos de trabalho automatizados, que conduzirão a segurança cibernética dentro da organização e o gerenciamento contínuo de vulnerabilidades, bem depois que os equipamentos médicos forem vendidos e implantados. Colocar essas salvaguardas no lugar pode não fornecer um selo hermético contra ataques, mas certamente tornará muito mais difícil para o hacker obter acesso e causar danos.
Saiba mais sobre cybellum em www.cybellum.com.
FONTE: HELPNET SECURITY