जब हमलावर स्वास्थ्य सेवा की पैचिंग गति से तेज़ी से आगे बढ़ते हैं तो क्या होता है?

स्वास्थ्य क्षेत्र को सुरक्षा मुद्दों को पैच करने में लंबे समय से एक वास्तविक बाधा का सामना करना पड़ रहा है: एक अस्पताल की सुरक्षा टीम दोपहर में क्लिनिकल सिस्टम में एक भेद्यता की पहचान कर सकती है, लेकिन सुरक्षित रूप से समाधान स्थापित करना अक्सर अस्पताल के तेज़-तर्रार दैनिक कार्यों की व्यावहारिक वास्तविकताओं द्वारा बाधित हो जाता है। उपकरण के निर्माता को अपडेट को मान्य करना पड़ सकता है, अस्पताल को इसे परीक्षण करना और डाउनटाइम शेड्यूल करना पड़ सकता है, और कुछ बदलावों को नियामक समीक्षा की भी आवश्यकता हो सकती है।

हमलावरों को इन प्रतिबंधों का सामना नहीं करना पड़ता। एआई टूल्स के साथ भेद्यता की खोज, अनुसंधान और एक्सप्लॉइट विकास की गति तेज़ होने से स्वास्थ्य सेवा की पहले से ही तनावग्रस्त सुधार प्रक्रियाएँ और अधिक दबाव में आ रही हैं।

इस समस्या को विशेष रूप से दर्दनाक बनाने वाला यह है कि पैचिंग में देरी अक्सर विक्रेता निर्भरताओं के कारण बढ़ जाती है। उदाहरण के तौर पर, एक MRI सिस्टम के लिए समाधान को विक्रेता द्वारा मान्य करना पड़ सकता है, फिर भी इसे अक्सर अस्पताल के परिवर्तन नियंत्रण द्वारा अनुमोदित करना आवश्यक होता है। और यह सब रोगी देखभाल में बाधा डाले बिना किया जाना चाहिए।

Health-ISAC’s Frontier AI in the Health Sector रिपोर्ट ने विलंबित पैचिंग को इस क्षेत्र की प्रमुख जोखिमों में से एक के रूप में नामित किया है। इससे अस्पतालों के पास एक ही व्यावहारिक विकल्प बचता है: वे पैच टाइमलाइन के हर भाग को नियंत्रित नहीं कर सकते, लेकिन वे अपडेट लागू होते समय हमलावर क्या कर सकता है, इसे सीमित कर सकते हैं।

एक कारण के लिए पैच टाइमलाइन में न्यूनतम सीमा होती है

अस्पताल की पैचिंग टाइमलाइन के कई चरण सूचना सुरक्षा पेशेवरों को परेशान कर सकते हैं, लेकिन वे रोगी सुरक्षा सुनिश्चित करने के लिए मौजूद हैं। एक वेंटिलेटर या इन्फ्यूजन पंप के अनटेस्टेड अपडेट, जो साइबर सुरक्षा जोखिम को बंद करने का लक्ष्य रखते हैं, रोगी देखभाल में बाधा डालने की लागत के लायक नहीं हैं। इसलिए उत्तर यह है कि प्रक्रिया के उन भागों को तेज़ किया जाए जिन्हें तेज़ किया जा सकता है, बिना मौजूदा प्रोटोकॉल को कमजोर किए।

ऑडिटर्स और बोर्ड अक्सर लंबी सुधार विंडो को कार्यक्रम की परिपक्वता या बजट समस्या के रूप में देखते हैं, और कभी‑कभी वे सही भी होते हैं। आमतौर पर, लंबी पैचिंग टाइमलाइन कमजोर निष्पादन, संसाधनों की कमी, या सुरक्षा टीम के नियंत्रण से बाहर के बाधाओं का लक्षण होती है। अधिक विश्लेषक भेद्यता का पता लगाने, ट्रायेज़ और प्राथमिकता निर्धारण में सुधार कर सकते हैं, लेकिन वे निर्माता की टाइमलाइन को छोटा नहीं कर सकते या डाउनटाइम विंडो को नहीं बदल सकते।

भेद्यता के शोषण को हमलावरों द्वारा लक्ष्य नेटवर्क तक पहुंचने का सबसे सामान्य तरीका बनते देख, Verizon 2026 Data Breach Investigations Report (DBIR) दर्शाता है कि संगठनों के पास पैच रोल‑आउट के लिए कितना कम स्थान है। ज्ञात शोषित भेद्यता को पूरी तरह से ठीक करने का मध्यकालीन समय 2026 में 43 दिन तक बढ़ गया, जबकि पिछले वर्ष 32 दिन था, और पूरी तरह बंद हुई भेद्यताओं का प्रतिशत 38% से घटकर 26% हो गया।

इन आंकड़ों का स्वास्थ्य सेवा तक सीमित न होना यह दर्शाता है कि सुधार प्रक्रिया पहले से ही कितनी कठिन है, इससे पहले कि क्लिनिकल और विक्रेता प्रतिबंधों को भी ध्यान में रखा जाए।

गंभीरता स्कोर से परे देखने का समय आ गया है

जबकि सुधार विंडो लंबी हो गई हैं, हमलावर तेज़ होते जा रहे हैं। DBIR ने पाया कि अब भेद्यता शोषण ही हैकरों द्वारा सिस्टम में प्रवेश करने का प्रमुख तरीका बन गया है, जो 31% उल्लंघनों में योगदान देता है, और यह रिपोर्ट के 19 वर्षों में पहली बार चोरी किए गए क्रेडेंशियल्स को पीछे छोड़ रहा है।

Verizon कहता है कि एआई ने भेद्यताओं की खोज और शोषण को तेज़ कर दिया है, इतना कि जो काम पहले महीनों में लगता था, अब वह घंटे या दिनों में हो सकता है। और यह वर्तमान फ्रंटियर मॉडल के जारी होने से पहले की बात है, क्योंकि DBIR का डेटा सेट अक्टूबर 2025 में समाप्त हुआ।

लेकिन आजकल सभी को ऐसी गति की उम्मीद है। Health-ISAC की रिपोर्ट एक अधिक महत्वपूर्ण बात को उजागर करती है: नए एआई मॉडल कम‑गंभीर खोजों को महत्वपूर्ण हमले के मार्गों में जोड़ सकते हैं, ऐसी कमजोरियों के संयोजन की पहचान कर सकते हैं जो अलग‑अलग देखे जाने पर कम महत्वपूर्ण लगते हैं। यह उन सुधार कार्यक्रमों के लिए एक और समस्या पैदा करता है जो गंभीरता स्कोर को प्राथमिकता देते हैं, क्योंकि अक्सर अनदेखी या बैकलॉग में धकेली गई कम‑गंभीर खोजें अचानक अधिक महत्वपूर्ण हो सकती हैं यदि वे पहुंच या महत्वपूर्ण सिस्टम को प्रभावित करती हैं।

बढ़ते बैकलॉग से स्थिति और बिगड़ती है। Nature में लिखते हुए, मैक्स प्लैंक संस्थान के निदेशक थॉर्स्टेन होल्ज़ ने बताया कि Mozilla ने एक फ्रंटियर मॉडल का उपयोग करके एक ही Firefox रिलीज़ में 271 भेद्यताओं को खोजा और ठीक किया, जो पिछले वर्ष के सामान्य महीने में उनके मौजूदा टूलिंग और समीक्षकों द्वारा पाए गए से बहुत अधिक है।

यह ट्रायेज़ दबाव आपूर्ति पक्ष तक भी बढ़ रहा है: लिनस टॉरवॉल्ड्स, लिनक्स कर्नेल के मेंटेनर, ने मई में बताया कि एआई द्वारा उत्पन्न बग रिपोर्ट्स मेंटेनरों को अत्यधिक लोड कर रही हैं।

यदि आप तेज़ी से ठीक नहीं कर सकते, तो पहुँच योग्य को सीमित करें

सौभाग्य से, एक बैकलॉग जिसे समाप्त नहीं किया जा सकता, फिर भी प्रबंधित किया जा सकता है। यदि किसी पैच को इंतजार करना पड़े, तो प्राथमिकता यह होनी चाहिए कि किसी भी भेद्यता तक पहुंच की संभावना को कम किया जाए। इससे काम सुधार गति से पहुँच योग्यता की ओर शिफ्ट हो जाता है, जिसे अस्पताल नियंत्रित कर सकते हैं।

सेगमेंटेशन एक मजबूत उपाय हो सकता है। एक इमेजिंग डिवाइस जिसका व्यापक एक्सेस है, वह डोमेन कंट्रोलर, फ़ाइल शेयर और खुले इंटरनेट तक पहुंच सकता है। लेकिन यदि इसे एक अलग‑थलग सेगमेंट तक सीमित किया जाए जो केवल उसके PACS सर्वर और निर्माता के अपडेट एन्डपॉइंट तक ट्रैफ़िक की अनुमति देता है, जबकि बाकी सभी तक डिफ़ॉल्ट रूप से पहुंच को अस्वीकार करता है, तो उस पर असर करने वाली कोई भी भेद्यता तब तक सीमित रह सकती है जब तक पैच लागू नहीं हो जाता।

जहाँ डिवाइस और विक्रेता की आवश्यकताएँ अनुमति देती हैं, अस्पताल सेगमेंटेशन, एग्रेस कंट्रोल और डिफ़ॉल्ट‑डिनाई नियमों का उपयोग करके एक्सेस पाथ को संकीर्ण या यहाँ तक कि बंद कर सकते हैं, जबकि पैच लंबित हो।

स्पष्ट सतह को छोटा करने के लिए अस्पताल को पूर्ण एसेट इन्वेंटरी की आवश्यकता नहीं है। पहले इंटरनेट से जुड़ी प्रणालियों की गिनती करें, जैसे ही व्यापक इन्वेंटरी जारी रहे, उस संख्या को अद्यतन रखें, और नेटवर्क के भीतर उन प्रणालियों की पहुँच को सीमित करने को प्राथमिकता दें।

Health-ISAC के सर्वे डेटा से पता चलता है कि उद्योग पहले से ही इस दिशा में कदम बढ़ा रहा है। लगभग 80% Health-ISAC सदस्य कहते हैं कि वे एआई‑संचालित सुरक्षा टूल्स या शोषण‑योग्यता मूल्यांकन के लिए अपने बजट को बढ़ाने की योजना बना रहे हैं। एक मार्ग जो उपयोगी साबित हो सकता है वह है अपने स्वयं के पर्यावरण में कौन‑से हमले के मार्ग काम करते हैं, इसका विश्लेषण करना: कम‑गंभीर भेद्यताओं के ऐसे संयोजन खोजें जो प्राथमिकता स्कोर के आपके ध्यान आकर्षित करने से पहले ध्यान देने योग्य हो सकते हैं।

विक्रेता वार्तालापों को सेवा‑स्तर समझौते (SLA) की भाषा से भी आगे बढ़ना चाहिए। अनुबंधों में वह प्रतिबद्धता होती है जो आप और आपके विक्रेता वर्षों पहले कर चुके थे, लेकिन खतरा मॉडल ने नाटकीय रूप से बदल दिया है। इसलिए पहले यह पहचानें कि सार्वजनिक प्रकटीकरण के बाद मान्य पैच जारी होने में कितना समय लग सकता है, और फिर यह पता करें कि अपडेट का इंतज़ार करते समय कौन‑से शमन उपाय उपलब्ध हैं। यह भी पूछना सार्थक है कि क्या वे अपने उत्पाद को वर्तमान एआई‑सहायता प्राप्त हमले तकनीकों के विरुद्ध परीक्षण करते हैं।

आप जिस एक्सपोज़र को हट नहीं सकते, उसे प्रबंधित करें

अधिकांश संस्थाएँ यह नहीं बता सकतीं कि सार्वजनिक रूप से एक्सप्लॉइट प्रकाशित होने के बाद एक मान्य समाधान को उत्पादन में चलाने में कितना समय लगता है। इस संख्या को निर्धारित करने पर ध्यान केंद्रित करें ताकि आप पैच विंडो पर बहस करना बंद कर सकें और यह पता लगाने पर ध्यान दें कि कौन‑से विक्रेता और सिस्टम सबसे लंबी अवधि तक एक्सपोज़्ड रहते हैं। इससे आप यह तय कर पाएँगे कि आपके सुधार प्रयासों को क्या प्राथमिकता देनी चाहिए।

सूचना साझा करने से निर्णय‑चक्र को काफी तेज़ किया जा सकता है। मैंने जो सबसे तेज़ सुधार निर्णय देखे हैं, वे तब होते हैं जब कोई अस्पताल अपने किसी सहयोगी से सुनता है कि एक विक्रेता प्लेटफ़ॉर्म को भेद्यता सार्वजनिक रूप से उजागर होने से पहले ही शोषित किया गया है।

मान्यकरण विंडो स्वयं नहीं बढ़ेगी। अस्पताल खुले भेद्यताओं के साथ क्लिनिकल सिस्टम चलाते रहेंगे, जिसका अर्थ है कि उन सिस्टमों के लिए सेगमेंटेशन रणनीति को पैच शेड्यूल से अधिक महत्व देना होगा। प्रत्येक अस्पताल को यह निर्दिष्ट करने में सक्षम होना चाहिए कि उसके प्रत्येक महत्वपूर्ण प्लेटफ़ॉर्म के लिए नेटवर्क पर क्या होगा यदि वह प्लेटफ़ॉर्म कल ही समझौता हो जाए।