popularne komentowane nowości

popularne

Najczęściej czytane

Jak skutecznie chronić się przed DDoS? (czytane 1499 razy)
Na co zwrócić uwagę przy wdrożeniu IPS i DLP? (czytane 442 razy)
Krajowe Ramy Interoperacyjności opublikowane (czytane 362 razy)

więcej...

Biblioteka Wiedzy poleca

Office 365 - podręcznik użytkownika

Ta książka pokaże Ci, jak wykorzystać chmurowe przetwarzanie danych - a konkretnie Office 365 - aby robić więcej, współpracować łatwiej i działać...
pobierz »

Jak zwiększyć wydajność infrastruktury serwerowej oszczędzając czas i pieniądze? Nowoczesne rozwiązania serwerowe

Niniejszy dokument ma na celu zaprezentowanie sposobów na poprawę funkcjonowania i efektywności działania infrastruktury serwerowej w firmie lub...
pobierz »

Dlaczego warto korzystać z Office 365?

Jakie funkcje i możliwości Microsoft Office 365 decydują o tym, że warto wybrać to rozwiązanie zamiast tradycyjnego pakietu Office i rozwiązań...
pobierz »

Więcej bezpłatnych raportów w serwisie

powiększ tekst

AKTUALNOŚCI

Oprogramowanie, które zabija

30 lipca 2010

Paweł Krawczyk

Czy rozrusznik serca można zdalnie przeprogramować tak, by wywołał migotanie komór serca u osoby, której go wszczepiono? Wygląda na to, że nie tylko rozruszniki serca ale także mnóstwo innych urządzeń medycznych jest praktycznie całkowicie pozbawione funkcji bezpieczeństwa.

O oprogramowaniu osadzonym w urządzeniach zwykle nie myślimy jak o oprogramowaniu lub milcząco zakładamy, że zawsze jest ono tworzone w jakichś niezwykle wyspecjalizowanych językach do zastosowań krytycznych (SPARK).

Tymczasem okazuje się, że znaczna część tych systemów jest programowana przy użyciu standardowych narzędzi do programowania mikrokontrolerów i poddawana jedynie prostym testom funkcjonalnym. Podobna sytuacja panuje na rynku urządzeń stacjonarnych (np. ultrasonografy), które działają na bazie systemów operacyjnych ogólnego przeznaczenia i często w archaicznych wersjach (np. Windows 2000 czy Windows 3.1), dostarczanych na zasadzie "włącz i zapomnij". Co gorsza, wiele z nich można podłączyć do sieci.

Raport przygotowany przez Software Freedom Law Center ("Software Transparency in Implantable Medical Devices") dokumentuje liczne przypadki wycofywania urządzeń medycznych, w tym także wszczepialnych - rozruszników, pomp insulinowych czy zewnętrznych pomp infuzyjnych, podających leki na przykład w chemioterapii. W latach 2005-2009 amerykańska agencja do spraw leków (FDA) otrzymała prawie 60 tys. zgłoszeń dotyczących nieprawidłowego działania pomp infuzyjnych, w tym także takie, które skutkowały pogorszeniem stanu chorych czy nawet śmiercią.

W tym okresie dopuszczenie do obrotu wycofano dla 87 pomp, z czego 14 zakwalifikowano jako posiadające wady "klasy pierwszej", czyli o "uzasanionym prawdopodobieństwie spowodowania poważnego uszczerbku na zdrowiu lub śmierci".

Jedna z pomp zewnętrznych na przykład błędnie rozpoznawała wciśnięcia klawiszy podczas programowania przez lekarza lub pielęgniarkę, rejestrując wartość podwójnie, co skutkowało np. podaniem pacjentowi dawki studziesięciokrotnie większej (1100 mg zamiast 10 mg).

Raport Software Freedom Law Center (SFLC) zawiera także tezy, z którymi trudno się zgodzić bo używa wymienionych przypadków jako argumentu, że samo zastąpienie systemów komercyjnych oprogramowaniem z otwartym kodem źródłowym poprawi bezpieczeństwo urządzeń medycznych. Niestety, w rzeczywistości nieaktualizowany Linux będzie po 1-2 latach tak samo podatny na ataki jak nieaktualizowany Windows czy dowolny inny system operacyjny ogólnego przeznaczenia.

Rozwiązaniem opisanych przez SFLC problemów jest stosowanie technik tworzenia bezpiecznego oprogramowania do zastosowań krytycznych, w szczególności formalnej weryfikacja poprawności kodu oraz objęcie całego procesu tworzenia oprogramowania metodykami takimi jak SDL.