Hvad sker der, når angribere bevæger sig hurtigere end sundhedssektoren kan patchere?

Sundhedssektoren har længe stået over for en reel hindring ved at udbedre sikkerhedsproblemer: Et hospitals sikkerhedsteam kan måske identificere en sårbarhed i et klinisk system på en eftermiddag, men sikker installation af en rettelse hæmmes ofte af de praktiske realiteter i et hospitals hektiske daglige tempo. Enhedens producent kan have brug for at validere en opdatering, hospitalet kan skulle teste den og planlægge nedetid, og nogle ændringer kan endda kræve en regulatorisk gennemgang.

Angribere står over for ingen af disse begrænsninger. Med AI‑værktøjer, der fremskynder sårbarhedsrekognoscering og -forskning samt udnyttelsesudvikling, kommer sundhedssektorens allerede pressede afhjælpningsprocesser under endnu større pres.

Hvad der gør dette til et særligt smertefuldt problem, er, at patch‑forsinkelser ofte forlænges af leverandørafhængigheder. Mens en rettelse til et MR‑system for eksempel kan skulle valideres af leverandøren, skal den ofte stadig godkendes af hospitalets ændringskontrol. Og alt skal gøres uden at forstyrre patientplejen.

Health-ISAC’s Frontier AI in the Health Sector rapport navngiver forsinket patchning som en af sektorens mest fremtrædende eksponeringer. Det efterlader hospitalerne med én levedygtig fremgangsmåde: De kan måske ikke kontrollere hver del af patch‑tidslinjen, men de kan begrænse, hvad en angriber kan gøre, mens en opdatering rulles ud.

Patch‑tidslinjen har en bund af en grund

Mange af trinnene i et hospitals patch‑tidslinje kan irritere informationssikkerhedsprofessionelle, men de findes for at sikre patientens sikkerhed. Ingen utvetestet opdatering til en ventilator eller en infusionspumpe, der har til formål at lukke en cybersikkerhedsrisiko, er værd den pris, der betales i form af hæmmet patientpleje. Svaret er derfor at fremskynde de dele af processen, der kan accelereres uden at svække eksisterende protokoller.

Revisorer og bestyrelser har en tendens til at betragte lange afhjælpningsvinduer som et problem med programmodenhed eller budget, og nogle gange har de ret. Normalt er lange patch‑tidslinjer et symptom på svag gennemførelse, mangel på ressourcer eller flaskehalse uden for sikkerhedsteamets kontrol. Flere analytikere kan forbedre sårbarhedsdetektion, triage og prioritering, men de kan ikke forkorte en producentes tidsplaner eller flytte nedetidsvinduer.

Med udnyttelse af sårbarheder som den mest almindelige måde, angribere får adgang til målnetværk, viser Verizon 2026 Data Breach Investigations Report (DBIR), hvor lidt plads organisationer har til at rulle patches ud. Medianen for den tid, det tager at fuldt afhjælpe en kendt udnyttet sårbarhed, steg til 43 dage i 2026 fra 32 dage året før, mens andelen af fuldt lukkede sårbarheder faldt til 26 % fra 38 %.

Faktisk viser, at disse tal ikke er specifikke for sundhedssektoren, hvor svært afhjælpning allerede er, før man tager højde for de kliniske og leverandørmæssige begrænsninger, som hospitalerne også skal håndtere.

Det er tid til at se ud over sværhedsgrader

Mens afhjælpningsvinduerne er blevet længere, er angriberne blevet hurtigere. DBIR fandt, at udnyttelse af sårbarheder nu er den førende metode, hackere kommer ind i systemer på, med 31 % af bruddene, hvilket overgår stjålne legitimationsoplysninger for første gang i de 19 år, rapporten er blevet udgivet.

Verizon siger, at AI har hjulpet med at accelerere opdagelsen og udnyttelsen af sårbarheder, så meget at det, der engang tog måneder, nu kan tage timer eller dage. Og det var før den nuværende generation af frontier‑modeller blev frigivet, da DBIR’s datasæt sluttede i oktober 2025.

Men alle forventer sådan hastighed i dag. Health-ISAC’s rapport påpeger noget endnu mere betydningsfuldt: nyere AI‑modeller kan kæde lav‑sværheds‑fund sammen til kritiske angrebsveje, og identificere kombinationer af svagheder, der kan synes mindre vigtige isoleret set. Det skaber endnu et problem for afhjælpningsprogrammer, der prioriterer sværhedsgrader, da lav‑sværheds‑fund, som ofte ignoreres eller skubbes i efterslæbet, pludselig kan blive meget vigtigere, hvis de påvirker adgang eller kritiske systemer.

Voksende efterslæb forværrer kun billedet. I et indlæg i Nature skrev Max Planck Institute‑direktør Thorsten Holz om, at Mozilla brugte en frontier‑model til at finde og rette 271 sårbarheder i en enkelt Firefox‑udgivelse, langt ud over hvad deres eksisterende værktøjer og anmeldere havde afdækket i en typisk måned det foregående år.

Det triage‑pres er også ved at udvide sig til leverandørssiden: Linus Torvalds, vedligeholderen af Linux‑kernen, påpegede i maj at fejlrapporter genereret af AI overbelaster vedligeholderne.

Når du ikke kan reparere hurtigere, så indskrænk, hvad der er tilgængeligt

Heldigvis kan et efterslæb, der ikke kan elimineres, stadig håndteres. Hvis en patch skal vente, bør prioriteten være at sænke sandsynligheden for, at en sårbarhed bliver udnyttet. Det flytter arbejdet fra afhjælpningshastighed til tilgængelighed, hvilket er noget hospitalerne kan kontrollere.

Segmentering kan fungere som en stærk modvægt. En billeddannelsesenhed med bred adgang kan nå en domænekontroller, en fildeling og internettet. Men hvis den er begrænset til et isoleret segment, der tillader trafik til dens PACS‑server og producentens opdaterings‑endpoint, mens den som standard nægter adgang til resten, kan enhver sårbarhed, der påvirker den, forblive indeholdt så længe, patchen tager.

Hvor enheden og leverandørkravene tillader det, kan hospitaler bruge segmentering, udgående kontrol og standard‑afvisningsregler for at indsnævre og endda lukke adgangsstier, mens en patch er afventende.

Hospitaler behøver ikke et komplet aktivt inventar, før de begynder at indsnævre den eksponerede overflade. Tæl først de systemer, der svarer på internettet, hold dette tal opdateret, mens det bredere inventar fortsætter, og prioriter at begrænse, hvad disse systemer kan nå inden for netværket.

Health-ISAC’s undersøgelsesdata viser, at branchen allerede begynder at bevæge sig i den retning. Omtrent 80 % af Health-ISAC‑medlemmerne siger, at de planlægger at øge deres budgetter til AI‑drevne sikkerhedsværktøjer eller udnyttelsesvurdering. En vej, der kan vise sig nyttig, er at analysere, hvilke angrebsveje der fungerer i dit eget miljø: find kombinationer af lav‑sværheds‑sårbarheder, der kan fortjene opmærksomhed, før en prioritetsscore fanger din opmærksomhed.

Leverandørdialoger skal også komme forbi sproget i service‑level‑aftalen. Kontrakter indeholder, hvad du og dine leverandører forpligtede jer til for år tilbage, men trusselsmodellen har ændret sig dramatisk. Så identificer først, hvor lang tid validerede patches til sårbarheder kan tage at blive udstedt efter offentlig afsløring, og find derefter ud af, hvilke afbødningsforanstaltninger der er tilgængelige, mens du venter på opdateringen. Det er også værd at spørge, om de tester deres produkt mod aktuelle AI‑assisterede angrebsteknikker.

Håndter den eksponering, du ikke kan fjerne

De fleste organisationer kan ikke sige, hvor lang tid det tager at få en valideret rettelse i produktion, når en udnyttelse er blevet offentliggjort. Fokuser på at fastlægge dette tal, så du kan stoppe debatten om patch‑vinduer og i stedet fokusere på at finde ud af, hvilke leverandører og systemer der forbliver eksponeret længst. Det vil give dig mulighed for at beslutte, hvad dine afhjælpningsindsatser skal prioritere.

Deling af information kan markant forkorte den beslutningscyklus. Nogle af de hurtigste afhjælpningsbeslutninger, jeg har set, sker, når et hospital hører fra en kollega om, at en leverandørplatform bliver udnyttet, før sårbarheden er offentligt afsløret.

Valideringsvinduet i sig selv vil ikke blive bredere. Hospitaler vil fortsætte med at køre kliniske systemer med åbne sårbarheder, hvilket betyder, at segmenteringsstrategien for disse systemer skal have større betydning end patch‑planen. Hvert hospital bør kunne specificere, for hver af sine kritiske platforme, hvad der ville ske på netværket, hvis den platform blev brudt i morgen.