Ciberseguridad para los dispositivos electrónicos implantables de uso común en Cardiología
Nuestro colega y miembro del FIAI, Adrián Baranchuk y un grupo de sus colaboradores han publicado recientemente en el JACC un texto de palpitante actualidad cuál es el de la ciberseguridad para los dispositivos electrónicos implantables de uso común en Cardiología*.
Señalan los autores que los dispositivos médicos han sido objeto de piratería durante más de una década, y este problema de la ciberseguridad ha afectado a muchos tipos de dispositivos médicos.
Últimamente, el potencial de la piratería ha afectado a dispositivos cardíacos (marcapasos y desfibriladores) lo que fue objeto de atención de los medios de comunicación y de preocupación pàra los pacientes y los proveedores de atención médica.
Este es un problema creciente que enfrenta nuestro nuevo mundo conectado electrónicamente. En este documento del Consejo de la Sección de Electrofisiología del Colegio Americano de Cardiología, se discuten brevemente varios aspectos de esta amenaza relativamente nueva a la luz de recientes incidentes que involucraron a los dispositivos cardíacos implantables (CIED por sus siglas en inglés)
Se exploran también los posibles riesgos para los pacientes y el efecto de la reconfiguración de los dispositivo en un intento de frustrar las amenazas a la seguridad y se proporciona un resumen de lo que se puede hacer para mejorar la ciberseguridad desde el punto de vista del fabricante, el gobierno, las sociedades profesionales, el médico y el paciente.
La piratería o hackeo se define como el acceso no autorizado a un sistema informático para obtener información o crear problemas dentro del sistema.
En la actualidad, los piratas informáticos o hackers se han entrometido en la mayoría de las áreas factibles de serlo. Una búsqueda en Google de «piratería informática [dispositivos como refrigeradores, monitores para bebés, televisores]» proporciona múltiples resultados interesantes y / o preocupantes.
Una definición global de ciberseguridad incluye «la protección de las redes informáticas y la información que contienen de la penetración y de daños o interrupciones maliciosos».
En el campo médico, la ciberseguridad se refiere específicamente a la integración de dispositivos médicos, redes de computadoras y software.
La verdadera ciberseguridad comienza cuando se diseña un software protegido desde el principio, y requiere la integración de múltiples partes interesadas, incluidos expertos en software, expertos en seguridad y asesores médicos.
Muchos dispositivos médicos diferentes han sido objeto de piratería durante más de una década. Fuera del mundo CIED, algunos de los más notables son el hackeo de la bomba de insulina como fue demostrado públicamente tanto en un dispositivo de Medtronic como en un dispositivo de Johnson & Johnson; y como aconteció también para bombas de infusión de drogas.
El creciente número de dispositivos médicos que usan software ha creado una nueva preocupación de seguridad cibernética en la industria médica: ¿cómo podemos proteger para garantizar su funcionamiento normal a los dispositivos de la interferencia dañina intencional?
Las comunicaciones inalámbricas avanzadas entre los proveedores de atención médica y los dispositivos de los pacientes han creado la posibilidad de manipular las interacciones normales, incluidas las funciones de desactivación; retrasar, interferir o interrumpir las comunicaciones; y alterando la programación.
Esto plantea un riesgo potencial para la atención clínica, ya que los pacientes podrían verse perjudicados por la acción de un cambio nocivo, inadvertido o maligno, en la programación de los «hackers».
En agosto de 2016, Muddy Waters Research LLC publicaron un informe que advertía que los CIED fabricados por St. Jude Medical (ahora Abbott) tenían un alto riesgo de hackeo.
El informe, escrito en colaboración con MedSec (Miami, Florida), una firma de investigación sobre ciberseguridad centrada en la atención médica, detallaba dos tipos de violación de la seguridad de los dispositivos.
La FDA envió una carta de advertencia a Abbott instando a la empresa a aumentar la ciberseguridad basándose en el informe Muddy Waters y la detección de áreas de vulnerabilidad en su sistema de monitoreo remoto.
Los problemas de seguridad del paciente con respecto a los marcapasos se limitan en gran medida a los resultantes de la sobredetección o al potencial de agotamiento repentino de la batería.
Como ocurre con otras causas de interferencia electromagnética (radioterapia, electrocauterización y soldadura), la detección de señales de origen no cardiaco puede inhibir la estimulación, induciendo períodos prolongados de asistolia con el consiguiente riesgo de síncope o muerte súbita. El agotamiento repentino de la batería también es clínicamente más relevante en un paciente dependiente del ritmo.
Las mismas áreas de vulnerabilidad en los marcapasos también se aplican a los cardiodesfibriladores implantables.
La interrupción de las comunicaciones inalámbricas (monitoreo remoto) sería posible para un pirata informático que opera en la misma radiofrecuencia que el dispositivo médico, y la interrupción de la comunicación inhibiría el valor de la telemonitorización y permitiría que el sistema no detectara ningún evento clínicamente relevante.
En un paciente dependiente de estimulación con un cardiodesfibrilador implantable, la sobredetección puede inhibir la estimulación.
Además, la sobredetección puede resultar en descargas inapropiadas e incluso potencialmente mortales. Si se realizara la reprogramación, las terapias de desactivación (estimulación antitaquicardia y descargas) no darían como resultado la respuesta del dispositivo a las taquicardias ventriculares que amenazan la vida.
Inducir arritmias a través de estimulación no invasiva programada también podría ser un riesgo potencial. El agotamiento repentino de la batería sigue siendo una preocupación clínica en los pacientes que dependen del ritmo cardíaco debido a la incapacidad para administrar terapias durante las arritmias clínicas que amenazan la vida.
Un enfoque seguro del ciclo de vida del sistema comienza en la concepción del desarrollo del dispositivo y continúa a través de la fabricación y la monitorización posterior al implante.
Las necesidades de ciberseguridad también deben abordarse durante las pruebas de productos previas y posteriores al mercado. Dado que las vulnerabilidades cibernéticas pueden surgir rápidamente, se deben implementar procesos sólidos de post-comercialización para monitorear el entorno en busca de nuevas vulnerabilidades y responder de manera oportuna.
En dispositivos de generación actual que tienen vulnerabilidades teóricas o conocidas, el firmware (definido como un tipo de software que está integrado en el hardware de un dispositivo tecnológico que requiere actualizaciones de vez en cuando) es útil .
Es posible monitorear o interrogar remotamente a todos los dispositivos con telemonitorización, ya que todos los CIED que se están siguiendo de forma remota ya se comunican con el sitio web del fabricante.
En este momento, no hay evidencia de que uno pueda reprogramar un CIED o cambiar la configuración del dispositivo de ninguna forma. La probabilidad de que un pirata informático individual afecte con éxito a un CIED o sea capaz de dirigirse a un paciente específico es baja. Un escenario más probable es el de un ataque de malware o ransomware que afecte a la red de un hospital e impida la comunicación.
En este caso, la pérdida de la comunicación remota puede evitar la transmisión oportuna de un evento clínico. Si se produce esta situación, es posible que se requiera una cita en persona para restablecer la comunicación con el dispositivo y el paciente; esto puede no ser conveniente para pacientes que viven en lugares remotos.
Hasta el momento, no ha habido informes clínicos reales de piratería maliciosa o inadvertida o ataques de malware que afecten a los CIED. La mayoría cree que el riesgo teórico de una violación a la seguridad cibernética está muy por encima del riesgo de la actualización del software.
Basado en la investigación de modos de falla, este no es un problema restringido a Abbott. Existen riesgos para cualquier dispositivo que esté conectado a Internet. Fuera del ámbito de la gestión CIED, estos problemas obviamente también se aplican a otros dispositivos médicos (bombas para el dolor, bombas de insulina, presión positiva continua en las vías respiratorias y monitorización de ritmo y hemodinámica) que están conectados a Internet para monitorización y programación remota.
Los médicos que manejan los CIED deben conocer los riesgos documentados y posibles de ciberseguridad. Se deben establecer sistemas para comunicar las actualizaciones en estas áreas de forma rápida y comprensible para el resto del equipo clínico que maneja pacientes con dispositivos.
Las políticas y los procedimientos para estas comunicaciones pueden ser informados por la respuesta previa de la clínica a los retiros de dispositivos de la FDA. Hay una variedad de recursos disponibles a través de Abbott abordando específicamente el tema de ciberseguridad en su comunicado de prensa y su sitio web.
Las clínicas y los hospitales deben revisar las actualizaciones de seguridad y estar al tanto de los problemas que se presentan. Los pacientes deben participar en la conversación, y una decisión compartida es fundamental. En este momento, el Consejo de Electrofisiología considera que no es necesario un monitoreo mejorado o el reemplazo de un dispositivo electivo. El efecto general del firmware aún no se ha entendido.
No todos los CIED son iguales, y el resultado potencial de la piratería depende tanto del tipo de dispositivo como de la dependencia del paciente. Cuantas menos interacciones remotas con un dispositivo, existen menos posibilidades de que los hackers interrumpan las comunicaciones.
Sin embargo, dada la falta de evidencia de que el hackeo sea un problema clínico relevante, junto con la evidencia de los beneficios del monitoreo remoto, se debe tener precaución al privar al paciente del beneficio claro de la monitorización remota.
El posible efecto futuro de este problema es inmenso. La FDA, los fabricantes y las sociedades profesionales como el Colegio Americano de Cardiología y la Sociedad del Ritmo Cardíaco participan activamente en conversaciones más amplias sobre los riesgos generales y la mejor forma de proteger a los pacientes y proporcionar la atención más efectiva.
Esta es un área en evolución de atención médica y regulación legal, que continuará progresando rápidamente. Todos deberíamos estar atentos.
* Adrian Baranchuk, Marwan M. Refaat, Kristen K. Patton, Mina K. Chung, Kousik Krishnan, Valentina Kutyifa, Gaurav Upadhyay, John D. Fisher, Dhanunjaya R. Lakkireddy, from the American College of Cardiology’s Electrophysiology Section Leadership. Cybersecurity for Cardiac Implantable Electronic Devices. https://doi.org/10.1016/j.jacc.2018.01.023
