你可能听过“你的健康就是你的财富”这句话，这也是美国仅在2015年就在医疗保健上花费超过3.2万亿美元的原因之一。

有这么多的资金在流动，很多企业进入医疗市场是很自然的，包括科技公司。

医疗技术有时让人觉得过时了，但公司有意将这些设备拖到21世纪。虽然互联网连接似乎是一个很好的功能，但有一些真正的危险和问题可能会让你感到惊讶。

什么是医疗器械(medical devices)？

世界卫生组织（世卫组织）将医疗器械定义为“任何仪器、器械、工具、机器、器具、植入物、体外使用的试剂、软件、材料[…]，**商打算[…]用于人类的一个或多个[…]特定医疗目的”。

虽然这听起来很复杂，但它只是指任何可能用于医疗目的的设备或软件。

美国食品药品监督管理局（FDA）负责对医疗器械进行监管，并将其分为三类：一类、二类和三类。一类器械的监管较轻，大多数控制仅针对其**和销售方式。第二类增加了更为具体的规定，而第三类则保留用于支持或维持人类生命的装置。

然而，正如世界各地的典型情况一样，FDA一直在努力跟上创新的步伐。很少有人提到现代互联网连接设备应该如何监管。

**商应该采取什么措施来确保这些设备的安全性？2016年12月，FDA发布了医疗器械安全指南，但这些指南在法律上没有强制执行力。这就让**商决定是否遵循建议。

（医学）物联网

这使得联网医疗设备与更广泛的物联网（IoT）类别的医疗设备处于同一条船上。物联网医疗设备有很多好处，但缺乏可执行的法规意味着**商不太可能投入大量资源来保护它们。

这只是物联网成为安全噩梦的众多原因之一。此外，我们将我们的生活置于医疗物联网设备的手中。因此，风险甚至比常规物联网设备更高。

医疗保健是一项昂贵的业务，不仅对病人，而且对提供者本身。公司对新设备和技术支持收取巨额费用。这意味着医院和其他医疗机构是一堆杂乱无章的工具——有些是新的，有些是旧的，有一系列不同的操作要求。旧的硬件、旧的软件和专有的接口结合在一起，使得适当地保护系统成为提供商IT部门的噩梦。

例如：窃听医疗泵

软件和硬件之间的接口经常暴露出可利用的漏洞，正如Saurabh Harit在Black Hat Europe 2017上所展示的那样。他获得了一个静脉输液泵，可以将药物注射到病人的血液中，可以对其进行编程和远程操作。

在使用在线默认密码进入水泵的管理模式后，他可以使用装置的红外线和从eBay购买的旧PDA将其Wi-Fi凭据导入水泵的网络设置。

Harit使用Wireshark（许多开源网络安全工具之一）检查数据包，查看患者数据，如药物剂量、医务人员、姓名、位置和路线。令人惊讶的是，他甚至能够访问主药物清单，其中设置和保持规定的剂量。

示例列表继续。。。

如果这些漏洞仅限于这一个泵，那就足够令人震惊了，但研究人员经常会发现新的漏洞。其中一个小组能够使用CT扫描仪，这种设备可以给你一小剂量的辐射，从而在你的身体内部建立3D模型。

2017年8月，美国食品和药物管理局召回了46.5万个因黑客问题而由雅培生产的起搏器。雅培没有强迫近50万人接受侵入性手术，而是发布了一个固件补丁，医务人员可以将其应用到起搏器上。

早在2014年，国土安全部（DHS）就开始调查24台涉嫌严重缺陷的设备。这些设备包括来自Hospira公司的输液泵和来自Medtronic和St Jude Medical的植入式心脏设备。

遗留医疗设备和安全性差

如果你曾经在办公室工作过，你就会知道很多企业都依赖于遗留软件。这必然需要较旧的操作系统、驱动程序和外围设备，这使得它们非常不安全。成本通常是决定是否更新的一个因素，许多人认为他们无法证明费用的合理性。如果它没坏，就别修了，对吧？

企业往往很难优先考虑网络安全，普遍的态度是，如果攻击还没有发生，那么它就不会发生。不幸的是，医疗保健提供者也不能幸免这种想法。2017年5月，一个名为WannaCry的勒索软件攻击几乎同时感染了30万台电脑，其中许多电脑属于英国国家卫生局（NHS）。

勒索软件影响了全国40多个NHS信托机构，减少了病人护理，关闭了手术室，甚至关闭了医院。攻击的影响使患者处于危险之中，并可能破坏他们数据的安全性。可悲的是，微软在攻击前一个月发布了一个补丁，这将阻止WannaCry占领市场。不仅更新没有推出，而且许多电脑仍然运行WindowsXP。

尽管在攻击发生前两年已经结束的15年操作系统得到了广泛的支持。

医疗器械的未来让我抓狂

科技继续在医疗领域取得重大进步，但这并不像英国国家医疗服务系统（NHS）发现的那样是医疗行业的救星。据**卫生部长杰里米·亨特（Jeremy Hunt）称，由于“计算机算法错误”未能邀请45万名妇女定期进行乳腺癌筛查，可能有多达270名妇女死亡。

与其他许多受科技进步影响的领域不同，医疗器械可能是生死攸关的问题。随着摩尔定律使更多的设备在未来几年上线，**商必须优先考虑安全问题。毕竟，如果设计一个“**特性”是一个极其准确的描述，那是没有用的。