สิ่งที่จะเกิดขึ้นเมื่อผู้โจมตีเคลื่อนที่เร็วกว่าอุตสาหกรรมสุขภาพจะทำการแพตช์?

ภาคสุขภาพมานานแล้วต้องเผชิญกับอุปสรรคที่แท้จริงในการแพตช์ปัญหาความปลอดภัย: ทีมความปลอดภัยของโรงพยาบาลอาจสามารถระบุช่องโหว่ในระบบคลินิกได้ภายในบ่ายวันเดียว แต่การติดตั้งการแก้ไขอย่างปลอดภัยมักถูกขัดขวางโดยความเป็นจริงของการทำงานที่วุ่นวายและเร่งรีบของโรงพยาบาล ผู้ผลิตอุปกรณ์อาจต้องตรวจสอบการอัปเดต โรงพยาบาลอาจต้องทดสอบและกำหนดเวลาการหยุดทำงาน และบางการเปลี่ยนแปลงอาจต้องผ่านการตรวจสอบตามกฎระเบียบ

ผู้โจมตีไม่มีข้อจำกัดเหล่านี้ ด้วยเครื่องมือ AI ที่เร่งความเร็วในการสืบค้นและวิจัยช่องโหว่ รวมถึงการพัฒนาโค้ดโจมตี กระบวนการแก้ไขที่เคยอัดแน่นของอุตสาหกรรมสุขภาพจึงเผชิญความกดดันที่เพิ่มขึ้น

สิ่งที่ทำให้ปัญหานี้เจ็บปวดเป็นพิเศษคือความล่าช้าในการแพตช์มักยืดเยื้อจากการพึ่งพาผู้ขาย ตัวอย่างเช่น การแก้ไขระบบ MRI อาจต้องได้รับการตรวจสอบจากผู้ขาย ก่อนที่จะได้รับการอนุมัติจากการควบคุมการเปลี่ยนแปลงของโรงพยาบาล ทั้งหมดนี้ต้องทำโดยไม่รบกวนการดูแลผู้ป่วย

Health-ISAC’s Frontier AI in the Health Sector report names delayed patching as one of the sector’s defining exposures. Which leaves hospitals with one viable way forward: They may not be able to control every part of the patch timeline, but they can limit what an attacker can do while an update is being rolled out. รายงาน Frontier AI in the Health Sector ของ Health‑ISAC ระบุว่าการล่าช้าในการแพตช์เป็นหนึ่งในความเสี่ยงสำคัญของภาคนี้ ซึ่งทำให้โรงพยาบาลมีทางเลือกเดียวที่เป็นไปได้: แม้ว่าจะไม่สามารถควบคุมทุกส่วนของไทม์ไลน์การแพตช์ได้ แต่ก็สามารถจำกัดสิ่งที่ผู้โจมตีทำได้ในขณะที่การอัปเดตกำลังดำเนินการ

ไทม์ไลน์การแพตช์มีพื้นฐานขั้นต่ำด้วยเหตุผลหนึ่ง

หลายขั้นตอนในไทม์ไลน์การแพตช์ของโรงพยาบาลอาจทำให้ผู้เชี่ยวชาญด้านความปลอดภัยสารสนเทศรู้สึกหงุดหงิด แต่ขั้นตอนเหล่านี้มีไว้เพื่อรับประกันความปลอดภัยของผู้ป่วย การอัปเดตที่ยังไม่ได้ทดสอบสำหรับเครื่องช่วยหายใจหรือปั๊มสารละลายที่มุ่งปิดช่องโหว่ด้านความปลอดภัยไซเบอร์ไม่คุ้มกับค่าใช้จ่ายที่ทำให้การดูแลผู้ป่วยหยุดชะงัก ดังนั้นคำตอบคือเร่งกระบวนการที่สามารถเร่งได้โดยไม่ทำให้โปรโตคอลเดิมอ่อนแอลง

ผู้ตรวจสอบและคณะกรรมการมักมองช่วงเวลาการแก้ไขที่ยาวเป็นปัญหาเรื่องความพร้อมของโปรแกรมหรืองบประมาณ และบางครั้งพวกเขาก็ถูกต้อง โดยทั่วไป ไทม์ไลน์การแพตช์ที่ยาวเป็นอาการของการดำเนินงานที่อ่อนแอ การขาดแคลนทรัพยากร หรือคอขวดที่อยู่นอกการควบคุมของทีมความปลอดภัย การเพิ่มจำนวนนักวิเคราะห์อาจช่วยปรับปรุงการตรวจจับช่องโหว่ การคัดกรองและการจัดลำดับความสำคัญได้ แต่ไม่สามารถย่นระยะเวลาของผู้ผลิตหรือย้ายช่วงเวลาการหยุดทำงานได้

เมื่อการใช้ประโยชน์จากช่องโหว่กลายเป็นวิธีที่ผู้โจมตีเข้าถึงเครือข่ายเป้าหมายมากที่สุด รายงาน Verizon 2026 Data Breach Investigations Report (DBIR) แสดงให้เห็นว่าหน่วยงานมีพื้นที่จำกัดแค่ไหนในการดำเนินการแพตช์ ระยะเวลาเฉลี่ยในการแก้ไขช่องโหว่ที่ถูกโจมตีอย่างเต็มที่เพิ่มเป็น 43 วันในปี 2026 จาก 32 วันในปีก่อนหน้า ในขณะที่สัดส่วนของช่องโหว่ที่ปิดอย่างสมบูรณ์ลดลงเหลือ 26% จาก 38%

ข้อเท็จจริงว่าตัวเลขเหล่านี้ไม่ได้จำกัดเฉพาะอุตสาหกรรมสุขภาพแสดงให้เห็นว่าการแก้ไขปัญหาเป็นเรื่องยากอยู่แล้ว ก่อนที่ต้องคำนึงถึงข้อจำกัดด้านคลินิกและผู้ขายที่โรงพยาบาลต้องจัดการเพิ่มเติม

ถึงเวลามองข้ามคะแนนความรุนแรง

ในขณะที่ช่วงเวลาการแก้ไขยาวขึ้น ผู้โจมตีกลับเร็วขึ้น รายงาน DBIR พบว่าการใช้ประโยชน์จากช่องโหว่ตอนนี้เป็นวิธีหลักที่แฮกเกอร์เข้าถึงระบบ โดยเป็นสาเหตุของการละเมิด 31% ซึ่งเป็นการทะลุผ่านข้อมูลประจำตัวที่ถูกขโมยเป็นครั้งแรกใน 19 ปีที่รายงานนี้ถูกตีพิมพ์

Verizon กล่าวว่า AI ได้ช่วยเร่งการค้นหาและใช้ประโยชน์จากช่องโหว่อย่างมาก จนสิ่งที่เคยใช้เวลาหลายเดือนอาจใช้เวลาเพียงไม่กี่ชั่วโมงหรือหลายวันเท่านั้น และนั่นยังเกิดขึ้นก่อนที่รุ่นโมเดลแนวหน้าในปัจจุบันจะเปิดตัว เนื่องจากชุดข้อมูลของ DBIR สิ้นสุดในเดือนตุลาคม 2025

แต่ทุกคนคาดหวังความเร็วเช่นนี้ในปัจจุบัน รายงานของ Health‑ISAC ชี้ให้เห็นถึงประเด็นที่สำคัญยิ่งกว่า: โมเดล AI รุ่นใหม่สามารถเชื่อมต่อการค้นพบที่มีความรุนแรงต่ำให้กลายเป็นเส้นทางการโจมตีที่สำคัญ โดยระบุการผสมผสานของจุดอ่อนที่อาจดูไม่สำคัญเมื่อแยกกัน นั่นสร้างปัญหาใหม่ให้กับโปรแกรมการแก้ไขที่ให้ความสำคัญกับคะแนนความรุนแรง เนื่องจากการค้นพบที่มีความรุนแรงต่ำซึ่งมักถูกละเลยหรือผลักดันเข้าสู่ค้างคาอาจกลายเป็นเรื่องสำคัญอย่างมากหากมันส่งผลต่อการเข้าถึงหรือระบบสำคัญ

ค้างคาที่เพิ่มขึ้นทำให้สถานการณ์แย่ลง เขียนใน Nature, ผู้อำนวยการ Max Planck Institute Thorsten Holz อธิบายว่า Mozilla ใช้โมเดลแนวหน้าเพื่อค้นหาและแก้ไขช่องโหว่ 271 รายการในหนึ่งรุ่นของ Firefox ซึ่งเกินกว่าที่เครื่องมือและผู้ตรวจสอบที่มีอยู่เคยพบในเดือนปกติของปีที่ผ่านมา

แรงกดดันในการคัดกรองนี้ยังขยายไปถึงด้านซัพพลายเช่นกัน: Linus Torvalds ผู้ดูแลเคอร์เนล Linux ในเดือนพฤษภาคมได้ชี้ให้เห็นว่ารายงานบั๊กที่สร้างโดย AI กำลังทำให้ผู้ดูแลระบบหนักหน่วงเกินไป

เมื่อคุณไม่สามารถแก้ไขได้เร็วขึ้น ให้ลดขอบเขตที่เข้าถึงได้

โชคดีที่ค้างคาที่ไม่สามารถกำจัดได้ยังคงสามารถจัดการได้ หากการแพตช์ต้องรอ ควรให้ความสำคัญกับการลดโอกาสที่ช่องโหว่ใด ๆ จะถูกเข้าถึง การเปลี่ยนโฟกัสจากความเร็วในการแก้ไขไปสู่ความสามารถในการเข้าถึงเป็นสิ่งที่โรงพยาบาลสามารถควบคุมได้

การแบ่งส่วนเครือข่ายสามารถทำหน้าที่เป็นการชดเชยที่แข็งแกร่ง อุปกรณ์ภาพถ่ายที่มีการเข้าถึงกว้างขวางอาจเชื่อมต่อไปยังโดเมนคอนโทรลเลอร์, แฟ้มแชร์, และอินเทอร์เน็ตเปิด แต่หากจำกัดให้อยู่ในส่วนแยกที่อนุญาตให้ส่งข้อมูลไปยังเซิร์ฟเวอร์ PACS และจุดอัปเดตของผู้ผลิตเท่านั้น ในขณะที่ปฏิเสธการเข้าถึงส่วนอื่นโดยค่าเริ่มต้น ช่องโหว่ใด ๆ ที่ส่งผลต่ออุปกรณ์นั้นจะสามารถถูกกักกันไว้ตลอดระยะเวลาที่การแพตช์ใช้

เมื่ออุปกรณ์และข้อกำหนดของผู้ขายอนุญาต โรงพยาบาลสามารถใช้การแบ่งส่วน, การควบคุมการส่งออก และกฎปฏิเสธโดยค่าเริ่มต้นเพื่อจำกัดและแม้กระทั่งปิดเส้นทางการเข้าถึงในขณะที่การแพตช์ยังค้างอยู่

โรงพยาบาลไม่จำเป็นต้องมีรายการสินทรัพย์ครบถ้วนก่อนที่จะเริ่มลดพื้นที่ที่เปิดเผย ให้นับระบบที่เชื่อมต่อกับอินเทอร์เน็ตเป็นอันดับแรก รักษาตัวเลขนี้ให้เป็นปัจจุบันขณะรายการสินทรัพย์โดยรวมดำเนินต่อไป และให้ความสำคัญกับการจำกัดสิ่งที่ระบบเหล่านั้นสามารถเข้าถึงภายในเครือข่าย

ข้อมูลสำรวจของ Health‑ISAC ชี้ให้เห็นว่าอุตสาหกรรมกำลังเริ่มเคลื่อนที่ในทิศทางนั้นแล้ว ประมาณ 80% ของสมาชิก Health‑ISAC ระบุว่าตั้งใจเพิ่มงบประมาณสำหรับเครื่องมือความปลอดภัยที่ใช้ AI หรือการประเมินความเสี่ยงจากการโจมตี เส้นทางหนึ่งที่อาจเป็นประโยชน์คือการวิเคราะห์เส้นทางการโจมตีที่ทำงานในสภาพแวดล้อมของคุณเอง: ค้นหาการผสมผสานของช่องโหว่ที่มีความรุนแรงต่ำซึ่งอาจควรได้รับการใส่ใจก่อนที่คะแนนความสำคัญจะดึงดูดความสนใจของคุณ

การสนทนากับผู้ขายต้องผ่านภาษาที่ระบุในข้อตกลงระดับการให้บริการด้วยเช่นกัน สัญญามีสิ่งที่คุณและผู้ขายสัญญาไว้หลายปีที่แล้ว แต่โมเดลภัยคุกคามได้เปลี่ยนแปลงอย่างมาก ดังนั้นขั้นแรกให้ระบุว่าการออกแพตช์ที่ตรวจสอบแล้วสำหรับช่องโหว่จะใช้เวลานานเท่าใดหลังจากการเปิดเผยต่อสาธารณะ แล้วค้นหามาตรการบรรเทาที่มีให้ในระหว่างรอการอัปเดต อีกทั้งควรถามว่าพวกเขาทดสอบผลิตภัณฑ์ของตนกับเทคนิคการโจมตีที่ช่วยโดย AI ในปัจจุบันหรือไม่

จัดการกับความเสี่ยงที่คุณไม่สามารถกำจัดได้

องค์กรส่วนใหญ่ไม่สามารถบอกได้ว่าต้องใช้เวลาเท่าใดในการให้การแก้ไขที่ตรวจสอบแล้วทำงานในระบบผลิตจริงหลังจากที่การใช้ประโยชน์ถูกเปิดเผยต่อสาธารณะ ให้มุ่งเน้นการหาตัวเลขนั้นเพื่อให้หยุดการโต้แย้งเกี่ยวกับช่วงเวลาการแพตช์และเริ่มมุ่งเน้นการค้นหาว่าผู้ขายและระบบใดที่เปิดเผยเป็นเวลานานที่สุด สิ่งนี้จะช่วยให้คุณตัดสินใจว่าความพยายามในการแก้ไขควรให้ความสำคัญกับอะไร

การแบ่งปันข้อมูลสามารถลดระยะเวลาการตัดสินใจได้อย่างมีนัยสำคัญ บางกรณีของการตัดสินใจแก้ไขที่เร็วที่สุดที่ฉันเคยเห็นเกิดขึ้นเมื่อโรงพยาบาลได้รับข้อมูลจากเพื่อนร่วมงานเกี่ยวกับแพลตฟอร์มของผู้ขายที่ถูกโจมตีก่อนที่ช่องโหว่จะถูกเปิดเผยต่อสาธารณะ

ระยะเวลาการตรวจสอบเองจะไม่ขยายออกไป โรงพยาบาลจะยังคงใช้งานระบบคลินิกที่มีช่องโหว่เปิดอยู่ ซึ่งหมายความว่ากลยุทธ์การแบ่งส่วนสำหรับระบบเหล่านั้นต้องได้รับความสำคัญมากกว่ากำหนดการแพตช์ ทุกโรงพยาบาลควรสามารถระบุได้สำหรับแต่ละแพลตฟอร์มสำคัญของตนว่าอะไรจะเกิดขึ้นบนเครือข่ายหากแพลตฟอร์มนั้นถูกละเมิดในวันพรุ่งนี้