计算机病毒不会歧视。在网络空间中搜寻银行信息和密码的恶意软件不会区分家用计算机或向患者提供治疗的医院机器。即使放射治疗机（例如）被意外渗透，恶意软件理论上也可能导致辐射剂量飙升。
根据美国食品和药物管理局最近的指导草案，医疗设备制造商需要保护其产品免受网络攻击。FDA呼吁医疗设备制造商考虑在医疗设备被设计成更彻底地集成到网络并连接到互联网时出现的漏洞。它要求制造商制定安全计划，以保护系统免受恶意软件的侵害，然后再提交市场批准计划。该机构还敦促医院加强未来对任何网络攻击的报告。
美国国土安全部最近发布警报，强调了一个影响约300种医疗设备的漏洞，包括输液泵、呼吸机和体外除颤器。它警告说，通常允许维修技术人员访问无数机器的硬编码密码可能被用来进行恶意更改，如果它们落入坏人之手。“我们意识到数百种设备，涉及数十家制造商，受到了网络安全漏洞或事件的影响，”FDA设备和放射健康中心高级官员威廉·梅塞尔说。在这些案例中，没有具体的设备或医院成为目标，也没有网络攻击导致患者受到伤害，至少FDA是知道的。一系列医疗设备运行在Windows XP等标准软件上，容易受到困扰家庭和办公室计算机的常见病毒的攻击。由于事件数量正在上升，梅塞尔说，FDA认为现在是发布关于采取行动的必要性的正式指导的时候了。
关于支持科学新闻报道
如果您喜欢这篇文章，请考虑通过以下方式支持我们屡获殊荣的新闻报道 订阅。通过购买订阅，您正在帮助确保有关塑造我们当今世界的发现和想法的有影响力的故事的未来。
将医院系统和设备连接到互联网，使医生可以远程研究患者的扫描结果，计算机可以快速共享患者信息。但它也创建了新的入口点，计算机病毒可以在这些入口点捕食电子系统。
自2009年以来，退伍军人事务部一直在跟踪医疗设备感染。《华尔街日报》首次报道，已发生327起此类事件。退伍军人健康管理局临床信息学和医疗技术经理克里斯蒂安·豪特曼说，这些事件并未导致患者受到伤害。 然而，他说，这些事件有时确实给患者带来了麻烦，并给医院带来了巨额账单。
其中一起事件发生在2010年，当时Conficker计算机蠕虫感染了新泽西州一家弗吉尼亚州医院的整个睡眠实验室。所有患者都必须重新安排时间，这是一个挑战，因为他们中的许多人依靠家人开车送他们去实验室。与此同时，为了阻止感染并确保设备没有Conficker病毒，制造商不得不重新格式化所有设备——医院为此花费了大约4万美元，弗吉尼亚州卫生信息安全副主任莱内特·谢里尔说。她说，对于像Conficker这样的病毒，不仅仅是阻止病毒在可能锁定用户后进一步破坏的问题。计算机内存也必须清除病毒从互联网下载并保存在每台计算机内存中的代码——病毒扫描无法消除这一点。Conficker是一种特别有害的病毒，还会泄露患者数据和密码。据弗吉尼亚州记录显示，包括Conficker在内的恶意软件的攻击发生在医疗设备上，包括影像设备、眼科检查扫描仪和心电图压力分析仪。
然而，由于许多机器没有特定的患者信息，患者信用卡或健康信息被盗的风险很小。恶意软件，如僵尸网络——试图控制一组计算机的功能，然后让它们协同工作以执行某些非法任务的病毒——会消耗能量，减慢系统速度并扰乱其功能。恶意软件还会导致设备无法提供护理。“我认为我们就像在一个村庄里，所有的房子都没有锁门，”密歇根大学专注于医疗设备和网络安全的计算机科学家凯文·傅说。“不需要火箭科学家来思考我们应该制定一些风险缓解策略，因为通常坏人总是比好人领先几步。”
恶意软件的存在有时只有在有人注意到系统运行缓慢或设备性能出现问题时才会被发现。通过这项新指南，FDA试图启动该过程，以便将网络安全问题纳入生产的规划阶段，并建立系统来检查和应对网络威胁。“我们不想等到设备运行不正常的时候，”梅塞尔说。“我们希望设备制造商和医院能够积极主动。”
然而，积极主动可能是一项艰巨的任务。正如家用计算机在下载最新更新时可能会遇到问题一样，将医院系统连接到最新的安全补丁（指南中提到的一个步骤）也会带来在解决问题期间暂时损害系统的风险。过去，一些公司建议不要更新系统，正是出于这个原因。“如果你因为推出补丁而损坏了重要的医疗扫描仪，那和感染恶意软件一样糟糕，因为设备现在无法使用，”非营利性反恶意软件组织StopBadware的临时执行董事布莱恩·古拉琴斯基说。网络安全专家一致认为，这个过程的很大一部分将是制造商和医院进行自我教育。
随着制造商努力将传统的网络安全保护技术融入到医疗设备中，包括起搏器、医疗扫描仪和维持生命的机械，另一个平衡问题需要解决：如何在充分保护急救设备的同时，创造护理人员可以快速绕过密码需求以提供即时护理的情况。“这是一个非常现实的问题。当我在网站上登录我的电子邮件帐户时，如果我三次输入错误的密码，它就会把我锁定。这没关系。这对医疗设备来说是不可接受的，”傅说。他补充说，正在研究这个问题的公司将需要为这些现实情况建立灵活性。
医疗设备安全专家顾问迈克·艾哈迈迪说，一些公司已经开始制定关于如何创建这些安全措施的战略。医疗设备公司仍然不愿将他们的产品宣传为安全的，因为他们不想邀请喜欢挑战的黑客攻击他们的系统，他说。“我知道有几家起搏器公司做得非常出色，但没有一家公司会站出来说我们有安全的设备，你应该为此购买它。”他说，如果系统被破坏，宣传安全性也可能是一个责任问题。
目前，这是一个管理风险的问题。“恶意软件总是会存在的。就像美国疾病控制中心不试图消除每一种疾病一样——它试图控制它们。恶意软件也是如此——猫已经从袋子里跑出来了，它就在那里，”傅说。“在这一点上，对于恶意软件没有有意义的控制，而且在很大程度上我们依赖于希望；问题是有太多的入口点无法枚举。”