CyberSecurity

Seguridad cibernética y privacidad

Un enfoque eficaz para proteger nuestras instituciones, empleados y pacientes requiere más que protección antivirus. Es una estructura y una sociedad. Es una estructura en el sentido de que hay una estrategia clara para proteger dispositivos y es una asociación en el sentido de que la colaboración con los usuarios aumentará la seguridad de todo el ecosistema. En el diseño de productos, hemos desarrollado un enfoque estratégico para la seguridad cibernética que puede resumirse en cinco aspectos principales:

Un enfoque estratégico general de GE Healthcare que llamamos DEPS (Ingeniería de proyectos de privacidad y seguridad)
Madurez en el desarrollo de software
Postura de seguridad del producto
Vigilancia de seguridad continua
Comunicación con el cliente

Madurez de desarrollo de software
Probar la seguridad en un sistema es como proteger un castillo de arena en la playa. Es fácil cerrar un agujero en el dibujo, pero es una tarea dificil al final. Es necesario comenzar con las habilidades básicas de seguridad del equipo de ingeniería y pensar fundamentalmente en seguridad desde el principio.

Comienza con ingenieros de software entrenados
Todos nuestros ingenieros de software deben completar el entrenamiento en técnicas de codificación seguras. Este es un concepto básico que es muy parecido al entrenamiento de ingenieros mecánicos para asegurarse de que una pieza de mobiliario no puede ser fácilmente derribado. Esta es una tarea continua. El equipo central de seguridad cibernética de GE está constantemente monitoreando nuevas amenazas y usa esa información para entrenar continuamente a nuestro equipo de proyecto. Aquí está la pregunta clave a hacer: "Los ingenieros de software se entrenan en codificación segura?" Nuestra respuesta, por supuesto, es "sí". A continuación, agregue herramientas estándar del sector para comprobar su trabajo.

Utilizamos herramientas muy maduras para comprobar fallos de seguridad cibernética en nuestro código de software básico. Esto incluye exploraciones de vulnerabilidades y análisis de código estático. En lenguaje simple, tenemos herramientas que analizan las líneas reales de software que nuestros ingenieros crean y las comprueban para codificar contenido y estilo que pueden abrir el software para riesgos cibernéticos. Cuando el software es realmente compilado y ejecutado en un sistema de muestra, intentamos atacar el sistema usando otras herramientas automatizadas.

Postura de seguridad del producto: Minimice la superficie de ataque
Un principio fundamental es minimizar las partes del sistema que están expuestas a amenazas. En el caso del producto, todos los servicios de software incorporados en el sistema operativo que no son explícitamente necesarios para ejecutar las aplicaciones médicas se quitan o se deshabilitan. No hay controladores de impresora remanentes o recursos de red no utilizados disponibles para admitir a un atacante potencial. Los puertos de red no utilizados se desconectan.

OS y todos los componentes se encuentran en las versiones más recientes

Una de las maneras más sencillas de mantener un sistema informático seguro es asegurarse de que la versión más reciente del sistema operativo esté instalada. El producto se basa en Windows 10, e hicimos provisiones para actualizar el sistema operativo con los parches de seguridad más recientes cuando Microsoft los proporciona y podemos evaluarlos en cuanto a la compatibilidad del sistema.

Sólo ejecute las cosas que usted reconoce
El producto incorpora McAfee Application Control, que impide que no se ejecute nada no reconocido.

Proteja la conexión USB
El producto se protege contra ataques transmitidos por USB desactivando la ejecución automática y la exploración del pendrive para amenazas d

e seguridad cuando se realiza una conexión USB.

Whitelisting
La lista de permisos es una forma de limitar las conexiones de red a los destinos identificados de antemano. Es como aceptar sólo llamadas telefónicas de personas que conoces. Con la lista de permisos, los propietarios de productos pueden limitar qué dispositivos de red pueden conectarse y

bloquear dispositivos desconocidos y potencialmente inseguros.

Mantener la seguridad de los datos del paciente

Proteger los sistemas contra malware y ataques similares es un aspecto de la seguridad del sistema, pero también es importante proteger la información contra el robo o la corrupción. Es aquí donde entra en juego la seguridad de los datos del paciente. Hemos incluido dos características principales para añadir confianza en este aspecto.

1. Cifrado de disco del paciente y del software. Encriptamos la información del paciente en el disco duro.

2. Transmisión de datos cifrados. DICOM TLS. DICOM es el lenguaje utilizado para transferir imágenes a un sistema PACS.

Vigilancia permanente de seguridad

Como usted puede ver, hemos hecho mucho para hacer el producto seguro, pero el mundo de la seguridad es dinámico. Parece que los bandidos son tan creativos como nuestros ingenieros a veces, así que tenemos que estar atentos.

Supervisión de nuevas amenazas

Una de las ventajas de una gran empresa como GE es que posee un fuerte equipo central de seguridad que está constantemente monitoreando nuevas amenazas a la seguridad. Este equipo central está en comunicación regular con nuestros diseñadores, por lo que el equipo de diseño del producto puede crear parches de seguridad adicionales para solucionar vulnerabilidades según sea necesario.

Instalación remota de las revisiones de seguridad

Cuando se necesitan nuevas correcciones para mantener la seguridad, GE puede implementar remotamente estas revisiones en su sistema en un método similar a las actualizaciones de software que recibe en su equipo de trabajo normal. Es importante mantenerse conectado a la red de GE para

soporte técnico regular e implementación oportuna de estas actualizaciones tan pronto como estén disponibles.

Plan de recuperación de desastres

Como se ha descrito anteriormente, el producto tiene un sistema de registro de seguridad que puede ser muy útil al recuperarse de una violación de seguridad. GE puede utilizar estos datos para ayudar a entender la naturaleza de la violación y los daños causados, pero usted y su equipo también deben tener un plan de prevención y recuperación de desastres. Aquí hay una pequeña lista de cosas que usted puede considerar para hacer su plan robusto:

Proteja su sistema con nombres de usuario y contraseñas no estándar. Por motivos de velocidad de acceso, usted puede decidir tener un amplio acceso al sistema, pero eso no es sabio desde una perspectiva estrictamente sensible a la seguridad.
Tenga un buen control físico sobre su sistema. En algunos casos, esto significa almacenar el sistema en un área de acceso limitado para que los usuarios no autorizados no intenten utilizar el sistema.
Configure su sistema para enviar imágenes e información del paciente a su PACS o EMR inmediatamente después de cada examen, y borrar copias locales. Esto garantizará que usted puede proteger los datos del paciente en un solo lugar, en lugar de dos.

Disclaimers

*Este documento detalla nuestro enfoque a la seguridad cibernética. Se complementa con nuestras revelaciones formales de seguridad cibernética encontradas en nuestro formulario MDS2, en nuestros manuales de operación y en nuestros manuales de servicio. Este documento se dirige a personas laicas que intentan comprender el enfoque de la seguridad sin toda la jerga técnica. Una entrevista de vídeo que acompaña a nuestro gerente de ingeniería de software también puede ser útil en este sentido.

¿Tiene alguna pregunta? Nos encantaría ayudarle.

Contáctenos