Mogen ze malware dan wel installeren?

Wat me steeds weer opvalt in berichten over computers waarop vanwege regulering/certificering de geïnstalleerde software niet gewijzigd mag worden is dat nergens uit blijkt dat men beseft dat malware ook software is en dat een malware-infectie ook een wijziging aan de geïnstalleerde software is. Er wordt over geschreven alsof het iets anders is.

Volgens mij moet een systeem dat kwetsbaar is voor malware-besmettingen onmiddelijk als niet-gecertificeerd beschouwd worden. De status van de geïnstalleerde software is namelijk onzeker. En dus mogen apparaten die verouderde besturingssystemen gebruiken en die niet grondig geïsoleerd zijn van potentiële malwarebronnen in mijn ogen niet gebruikt worden. En toch worden zulke machines kennelijk volop gebruikt. Beseft men in de medische wereld wel dat malware ook software is? Dat aanpassingen aan je systeem waar je geen zicht op hebt nog schadelijker voor de gegarandeerde werking van een apparaat zijn dan aanpassingen waar je wel zicht op hebt? Dat een kwetsbaar systeem dus de certificering niet in stand houdt maar nog grondiger onderuit haalt dan een officiële patch van de geïnstalleerde software?

Of trekt men die conclusie maar liever niet omdat de gevolgen ervan te groot zijn?

Het zou een goed idee zijn om te stoppen met het standaard aan internet verbinden van (zorg) computersystemen.

Veel systemen hebben uitsluitend een koppeling met internet nodig om updates binnen te halen of om leveranciers van afstand onderhoud te kunnen laten uitvoeren. Daarvoor zijn vele andere methodes beschikbaar.

En als er een koppeling nodig is met het interne netwerk voor data-uitwisseling zijn er andere methodes vaak ook toereikend: (pull/push methodes) of kunnen systemen aan een geïsoleerd netwerk gekoppeld worden, zoals bijvoorbeeld banken toepassen voor hun pinautomaten.

Kortom: Laten we eerst de netwerkarchitect een goed onderbouwd plan maken en alle risico's uitsluiten en niet klakkeloos elk apparaat aan internet koppelen. dan is het probleem van gevalideerde systemen en malware geen probleem meer.

Prima idee alleen geheel buiten de werkelijkheid.

Geen enkel systeem is gegarandeerd veilig voor malware ook het nieuwste van het nieuwste niet. De oorzaak is dat aan de veiligheidsaspecten pas achteraf gedacht wordt. De ideën worden eerst op de mooie functies ontworpen en gemaakt onderhoud en andere zaken zijn iets voor later. Pas achteraf ziet men wat men beter niet had kunnen doen.

Het is best een slim iets om het gedrag zoals energiegebruik als een databron te beschouwen dat mooie inforamtie biedt. Geheel nieuw is dat idee niet, voor meer mechanisch systemen (duurdere) is zoiets imo standaard. meten=weten
Het is een fraai voorbeeld van een niet destructief meten wat installeren/aanpassen wel is.

En dat heb je nog het gevaar van besmetting door insiders.

Ah, die werkelijkheid, de werkelijkheid van desktopsystemen. Buiten die werkelijkheid treden lijkt me juist precies wat daar nodig is. Wat dacht je van een werkelijkheid waarin een apparaat alleen bedieningsinstructies ontvangt via een eigen console (die een goede gebruikersinterface mag hebben), en qua datacommunicatie met de omgeving enkel kan exporteren?

Ik heb in de jaren '80 sterke verhalen gehoord van een groep ingenieurs waarmee ik in Eindhoven in gesprek raakte. Die werkten voor de medische tak van Philips en gingen de wereld over om reparaties aan röntgenapparaten en dergelijke uit te voeren. Die hadden behoorlijk veel last van de eisen die ziekenhuizen stelden en die de verkopers honoreerden. Vooral Amerikaanse ziekenhuizen gingen ver. Een röntgenapparaat alleen kopen als er een maatwerkkast omheen kwam die paste bij het interieur, bijvoorbeeld. Of eisen dat Philips-apparaten met (incompatibele) HP-terminals konden worden bediend. Dat werd dan voor die specifieke klant in elkaar gezet, en mensen die reparaties kwamen uitvoeren stonden opeens voor een kast waar niet aan te zien was hoe je hem open kon krijgen, of een interfacekastje dat alleen daar bestond die wel eens de oorzaak van de bedieningsproblemen kon zijn.

Recenter heb ik bij dit onderwerp, ik vermoed op Slashdot, waar het ook af en toe langskomt, reacties gezien van mensen die direct betrokken zijn bij het maken van medische systemen die meldden dat er voor Windows gekozen wordt wegens precies dit soort eisen van ziekenhuizen: het moet Windows zijn want dat is waar ze aan gewend zijn. En net als die ingenieurs in Eindhoven me destijds vertelden komt het er bij te veel ziekenhuizen op neer dat de koop niet doorgaat om dat als leverancier te kunnen negeren.

Als die verhalen kloppen is dát de reden dat dit probleem bestaat, niet dat het niet beter had gekund en ook niet dat de bouwers van dat spul niet weten hoe het beter kan.