Hastanelerde Wi-Fi Güvenliği ve Kablosuz Ağ Savunması

Klinik Ortamlarda Kablosuz Ağların Önemi

Nitekim sağlık tesislerinde hastanelerde Wi-Fi güvenliği yalnızca internete bağlanma aracı değildir. Tam aksine bu ağlar yaşamsal verileri taşıyan ana arterlerdir. Örneğin hemşireler mobil tabletlerle ilaç dozlarını takip eder. Hekimler dijital turlarda hasta filmlerini anlık inceler.

Ayrıca yoğun bakım servislerindeki monitörler ana sunuculara kablosuz paketlerle bağlanır. Böylece hastanın kalp ritmi anlık izlenir. Kablosuz sinyalin kopması kritik kararları geciktirir.

Hareketli Medikal Donanımlar ve Kablosuz Bağımlılık

Hastanelerde yüzlerce medikal cihaz hastayla birlikte dolaşır. Çünkü tekerlekli infüzyon pompaları fiziksel kablolara bağlı kalamaz. Medikal donanımlar sürekli en yakın erişim noktasına tutunur.

Kesintisiz dolaşım sürecinde sinyalin kesilmemesi şarttır. Çünkü kesinti telemetri verisinin kaybolmasına yol açar. Dolayısıyla hastanelerde Wi-Fi güvenliği kesintisiz kapsama alanıyla tam uyum içinde çalışmalıdır.

Genişleyen Fiziksel Sınırlar ve Görünmeyen Tehlikeler

Kablolu ağlarda saldırganın binaya girip prize kablo takması gerekir. Ancak kablosuz ağ sinyalleri beton duvarları kolayca aşar. Nitekim saldırganlar hastane bahçesinden antenlerle sinyalleri dinleyebilir.

Bu durum hastanenin güvenlik sınırlarını binaların dışına taşır. Üstelik şifreleme zayıfsa havadaki tüm veri paketleri ele geçer. Bu yüzden hastanelerde Wi-Fi güvenliği güçlü bir siber kalkan kurmayı gerektirir.

Hastanelerde Wi-Fi Güvenliği Açısından Temel Riskler

Hastaneler siber korsanların gözünde cazip hedeflerdir. Çünkü kurumlarda hasta yoğunluğu, misafir trafiği ve bağlı cihazlar bir aradadır. Dolayısıyla hastanelerde Wi-Fi güvenliği bu karmaşık yapıda zafiyetler doğurur.

Özellikle sağlık çalışanları için birinci öncelik acil tedavidir. Bu nedenle personel güvenlik prosedürlerini bazen esnetir. Ancak bu küçük ihmaller kurumsal ağda büyük gedikler açar.

Ortak Parolalar ve Zayıf Paylaşılan Anahtarlar

Pek çok tesiste tek bir ortak şifreyle çalışan sistemler görüyoruz. Yetkililer bu statik şifreyi hem cihazlara hem telefonlara tanımlar. Böylece şifreyi öğrenen bir ziyaretçi ağdaki tüm cihazları görebilir.

Üstelik bu protokolde şifreyi bilen kişi havadaki trafiği çözer. Yaşanan zafiyetler mahrem sağlık verilerinin sızmasına yol açar. Bu yüzden hastanelerde Wi-Fi güvenliği bireysel kimlik doğrulama modellerini şart koşar.

Yalıtılmamış Misafir Ağları ve Yatay Yayılım Riski

Hastaneleri her gün binlerce ziyaretçi ziyaret eder. Kurumlar bu kişilerin internet ihtiyacı için misafir ağları açar. Ancak çoğu tesiste misafir ağı ile medikal ağ ayrılmaz.

Örneğin ziyaretçi ağına sızan bir saldırgan iç ağdaki pompaları tarayabilir. Ağ bölümlendirmesi eksik olduğunda saldırganlar klinik sistemlere sızar. Bu durum hastane operasyonunu durdurabilecek büyük bir sızıntı kanalıdır.

Yetkisiz Erişim Noktaları ve Sahte Ağ Tuzakları

Bazen personel Wi-Fi çekim gücünü artırmak için odaya modem getirir. Personel bu cihazları doğrudan hastanenin Ethernet prizlerine takar. Rogue AP adı verilen bu kaçak cihazlar güvenlik duvarını baypas eder.

Saldırganlar hastane ağıyla aynı isimde sahte yayınlar başlatırlar. Örneğin resmi ağ adıyla açılan sahte ağa bağlanan saldırganlar personelin şifrelerini çalar. Dolayısıyla hastanelerde Wi-Fi güvenliği sahte yayınları anında tespit etmelidir.

Kablosuz İletişim Standartları ve Şifreleme

Tıbbi ağlarda güvenliğin temeli doğru şifreleme protokolünü seçmektir. Çünkü eski standartlar modern saldırı araçları karşısında hemen çöker. Bu sebeple hastanelerde Wi-Fi güvenliği için kurumsal çözümler kuruyoruz.

Eski ekipler eski WEP ve WPA standartlarını kesinlikle terk etmelidir. Buna karşın günümüzde hastanelerde Wi-Fi güvenliği için yüksek güvenlikli kurumsal protokolleri tercih ediyoruz. Aşağıdaki tablo kablosuz standartların güvenlik kıyaslamasını gösterir:

IEEE 802-1X ve WPA3 Enterprise ile Kurumsal Kimlik Denetimi

Sağlık tesislerinde hastanelerde Wi-Fi güvenliği için en sağlam yöntem IEEE 802-1X tabanlı WPA3 Enterprise protokolüdür. Bu yapıda ortak bir Wi-Fi şifresi bulunmaz. Bunun yerine her kullanıcı merkezi bir RADIUS sunucusuyla doğrularız.

Örneğin cihazlar kendilerine özel yüklenen dijital sertifikalarla ağa katılır. Böylece hastanelerde Wi-Fi güvenliği ilkelerine göre cihaz çalındığında yetkisini saniyeler içinde kaldırırız. Bu yöntem kablosuz ağ kontrolünü tamamen bilgi işlem merkezine verir.

EAP-TLS ile Karşılıklı Sertifika Doğrulaması

WPA3 Enterprise protokolünde en güvenilir seçenek EAP-TLS standardıdır. Bu yöntemde sunucu ve istemci cihaz geçerli bir sertifika taşır. Karşılıklı sertifika doğrulaması sahte erişim noktası tuzaklarını önler.

Böylece hastanelerde Wi-Fi güvenliği sağlanırken istemci cihaz ağın kimliğini teyit eder. Aynı şekilde ağ da bağlanan donanımın onaylı bir medikal cihaz olduğunu teyit eder. Dolayısıyla parola sızıntıları EAP-TLS karşısında etkisiz kalır.

Medikal Ağ Bölümlendirme ve Mikro Segmentasyon

Kablosuz ağlarda ilk kural her istemciyi aynı ağ havuzuna koymamaktır. Hastanelerde çok sayıda farklı amaçlı kablosuz istemci çalışır. Cihazların birbirleriyle denetimsiz konuşması büyük tehlike yaratır.

Dolayısıyla hastanelerde Wi-Fi güvenliği sağlamak için ağları VLAN katmanlarına ayırıyoruz. Her kullanıcı grubu sadece kendi işini yapacak erişime sahip olmalıdır. Bu doğrultuda klinik ağlarda şu temel katmanları kuruyoruz:

• Medikal Yaşam Destek Ağı: Pompalar ve monitörlerin bağlandığı izole ağdır. Bu ağın dış internet çıkışını tamamen kapatıyoruz.
• Klinik Personel Ağı: Hekimlerin ve hemşirelerin tabletlerle bağlandığı ağdır. Yalnızca HBYS sunucularına erişim hakkı tanıyoruz.
• Biyomedikal Bakım Ağı: Teknik ekiplerin medikal donanımları kalibre etmek için kullandığı geçici ağdır.
• İdari Personel Ağı: Muhasebe ve insan kaynakları birimlerinin ofis sistemlerine ulaştığı katmandır.
• İzole Misafir Ağı: Ziyaretçilerin internete çıktığı, hastanelerde Wi-Fi güvenliği ilkeleriyle yalıtılmış bir ağ katmanıdır.

Klinik Cihazlar Arasında İstemci İzolasyonu

Farklı SSID yayınları açmak tek başına yetmez. Aynı kablosuz ağa bağlı iki cihazın birbiriyle konuşmasını da engelliyoruz. Bu yöntemi hastanelerde Wi-Fi güvenliği standartları gereği İstemci İzolasyonu olarak adlandırıyoruz.

Örneğin bir odadaki infüzyon pompası yandaki odadaki monitörle haberleşmemelidir. Böylece izolasyon açıldığında cihazlar sadece ana ağ geçidiyle konuşur. Böylece hastanelerde Wi-Fi güvenliği zafiyetleri önlenir.

Yeni Nesil Güvenlik Duvarları ile Mikro Segmentasyon

Sağlık kuruluşlarında hastanelerde Wi-Fi güvenliği mikro segmentasyon ile güçlendirilir. Bu amaçla katmanlar arasına yeni nesil güvenlik duvarları konumlandırıyoruz. Söz konusu donanımlar medikal protokolleri denetler.

Örneğin tabletlerin cihazlara sadece onaylı protokollerle veri aktarmasına izin veriyoruz. Yetkisiz portlardan gelen bağlantı istekleri anında engellenir. Bu sayede hastanelerde Wi-Fi güvenliği en üst düzeye çıkarılır.

Klinik Ortamlarda Karşılaşılan Tehdit Senaryoları

Kablosuz ağlardaki açıklar teorik bir varsayım değildir. Nitekim hastanelerde Wi-Fi güvenliği açısından sağlık alanında yaşanan olaylar riskleri kanıtlar:

Misafir Ağ Üzerinden İnfüzyon Pompası İhlali

Saldırgan poliklinik bekleme alanında misafir ağına bağlanır. Ağ yapılandırmasındaki hata yüzünden misafir ağından medikal ağa geçer. Saldırgan tarama yaparak yatak başındaki pompaların IP adreslerini bulur.

Üstelik hastanelerde Wi-Fi güvenliği açıklarından yararlanarak pompaların açık portuna bağlanır. İlaç akış hızını değiştiren komutlar gönderir. Bu senaryo hastanelerde Wi-Fi güvenliği eksikliğinin hayati tehlike doğuracağını gösterir.

Evil Twin Tuzağı ile Personel Kimliklerinin Çalınması

Hastanenin karşısındaki sokaktan korsan güçlü bir Wi-Fi cihazı açar. Kurumun resmi ağ adıyla sahte bir yayın başlatır. Ardından klinik cihazlarına bağlantı kesme paketleri yollar.

Bunun sonucunda bağlantısı kopan personel tableti otomatik olarak saldırganın ağına bağlanır. Ekrana sahte giriş paneli gelir ve çalışan şifresini yazar. Saldırgan bu şifreyle hastanelerde Wi-Fi güvenliği zaaflarını aşarak veri tabanına girer.

PACS Tıbbi Görüntülerinin Havadaki Paketlerden Alınması

Mobil röntgen cihazları çekim biter bitmez görüntüleri PACS sunucusuna aktarır. Ancak aktarımda DICOM protokolü şifrelenmeden düz metin yayınlanır. Dışarıdaki saldırgan paket dinleme araçlarıyla verileri kaydeder.

Böylece hastanelerde Wi-Fi güvenliği şifreleme eksikliği yüzünden hastaların filmleri çalınır. Saldırgan bu verileri şantaj amacıyla kullanır. Bu vaka hastanelerde Wi-Fi güvenliği sağlarken uçtan uca şifrelemenin önemini gösterir.

Mobil Modemler ile Kurulan Gizli Ağlar

Laboratuvar çalışanı internete girmek için yanında getirdiği 4G modemi prize takar. Bu cihaz bir kabloyla laboratuvar analiz bilgisayarına bağlanır. Böylece hastanenin korunan ağı doğrudan kontrolsüz internete bağlanır.

İnterneti tarayan zararlı botlar hastanelerde Wi-Fi güvenliği açıklarını bu modem üzerinden zorlar. Bilgisayara fidye yazılımı bulaşır ve tahliller durur. Bu nedenle hastanelerde Wi-Fi güvenliği ortamdaki yetkisiz yayınları da denetlemelidir.

Kablosuz Saldırı Tespit Sistemleri ve İzleme

Bir ağı sadece şifrelemek tam güvenlik sağlamaz. Çünkü kablosuz frekanslar dış müdahalelere daima açıktır. Bu nedenle hastanelerde Wi-Fi güvenliği için Kablosuz Saldırı Önleme Sistemleri (WIPS) kuruyoruz.

WIPS sensörleri hastane binalarındaki radyo frekanslarını kesintisiz dinler. Anormal paketleri ve saldırı hazırlıklarını anında keşfeder. Böylece hastanelerde Wi-Fi güvenliği ihlalleri anında bastırılır.

Rogue AP ve Sahte Ağların Otomatik Tespiti

WIPS teknolojisi hastane binalarında açılan tüm yetkisiz erişim noktalarını bulur. Personelin getirdiği modem ağa bağlandığı anda sistem alarm verir. Üstelik hastanelerde Wi-Fi güvenliği denetimleri için cihazın odası üçgenleme ile bulunur.

Aynı zamanda sistem tespit etmekle kalmaz, cihazların bu sahte noktaya bağlanmasını da engeller. Benzer şekilde hastane adını taklit eden sistem sahte yayınları da havada bastırır. Böylece hastanelerde Wi-Fi güvenliği zafiyetleri önlenir.

Bağlantı Kesme ve DoS Saldırılarının Engellenmesi

Saldırganlar medikal cihazları düşürmek için sahte yönetim paketleri yollar. Bu saldırı ameliyattaki hekimin yaşamsal verilerini görmesini engeller. Oysa klasik güvenlik sistemleri bu telsiz frekansı saldırılarını göremez.

Nitekim WPA3 protokolündeki Korumalı Yönetim Çerçeveleri (PMF) bu paketlerin bozulmasını önler. Ayrıca WIPS sensörleri sahte bağlantı koparma paketlerini fark ederek kaynağı susturur. Bu koruma hastanelerde Wi-Fi güvenliği altyapısını sabotajlara karşı dayanıklı kılar.

Yasal Mevzuatlar ve Sağlık Standartları

Hastanelerde Wi-Fi güvenliği ulusal ve uluslararası mevzuatlar gereği yasal bir zorunluluktur. Çünkü sağlık verileri özel nitelikli kişisel veri sınıfındadır. Özel nitelikli verilerin kablosuz sızması kurumlara ağır cezalar getirir.

Dolayısıyla yöneticiler hastanelerde Wi-Fi güvenliği altyapısını yasal standartlara uygun tutmakla yükümlüdür. Mevzuatlara uyum sağlamak sağlık kurumunun itibarını ve geleceğini korur:

KVKK ve Sağlık Bakanlığı Bilgi Güvenliği Kılavuzu

Kişisel Verilerin Korunması Kanunu (KVKK) sağlık verilerinin korunmasını emreder. Sağlık Bakanlığı Kılavuzu ise hastanelerde Wi-Fi güvenliği için katı şartlar getirir.

Özellikle medikal cihaz ağları misafir ağlarından tamamen izole edilmelidir. Ayrıca hastanelerde Wi-Fi güvenliği gereği tüm oturumlar 5651 sayılı kanun log kayıtlarıyla saklanır. Bu kayıtlar adli kanıt niteliği taşır.

HIPAA ve Uluslararası Sağlık Standartları

Uluslararası alanda HIPAA yasası hasta verilerinin iletiminde güçlü şifrelemeyi zorunlu tutar. Şifresiz medikal paketlerin havadan iletilmesi doğrudan ağır ceza sebebidir.

Uluslararası akreditasyonlarda hastanelerde Wi-Fi güvenliği özel olarak değerlendirirler. Yetkisiz açıklar bulunan hastaneler akreditasyon belgesini kaybedebilir. Bu durum hastanelerde Wi-Fi güvenliği yatırımlarının önemini gösterir.

Sağlık Kuruluşları İçin Güvenlik Adımları

Hastanelerde güvenli bir kablosuz mimari kurmak planlı bir yol haritası gerektirir. Hastane bilgi işlem yöneticileri şu temel adımları atarak hastanelerde Wi-Fi güvenliği seviyesini artırmalıdır:

• Kablosuz Envanter Çıkarımı: Hastanedeki tüm erişim noktaları, medikal cihazlar ve tabletler tek tek belirlenmelidir.
• WPA3 Enterprise Geçişi: Statik şifreli ağlar kapatılmalı, hastanelerde Wi-Fi güvenliği için RADIUS ve IEEE 802-1X sistemine geçilmelidir.
• Sertifika Tabanlı Doğrulama: Medikal cihazlara kurumsal sertifikalar yüklenmeli ve EAP-TLS protokolü devreye alınmalıdır.
• Katı Ağ Segmentasyonu: Medikal, personel ve misafir ağları birbirini görmeyecek şekilde ayrılmalıdır.
• WIPS Sensör Kurulumu: Hastanelerde Wi-Fi güvenliği için sahte ağları yakalayan sensörler yerleştirilmelidir.
• Kablosuz Sızma Testleri: Düzenli aralıklarla hastanelerde Wi-Fi güvenliği testleri bağımsız uzmanlara yaptırılmalıdır.

Sık Sorulan Sorular