Cobalt: организациям здравоохранения требуется в среднем 58 дней для устранения серьёзных уязвимостей
Изображение: National Cancer Institute (unsplash)
Компания Cobalt представила отчёт «Состояние тестирования на проникновение в здравоохранении 2025», в котором проанализированы данные десятилетней практики и результаты опроса 500 руководителей служб цифровой защиты в США. Исследование выявило, что сектор здравоохранения остаётся одним из самых медленных в устранении критических уязвимостей, что приводит к длительным периодам экспонирования систем и данных.
В документе выделены четыре ключевых показателя: частота серьёзных ошибок, доля устранённых проблем, среднее время исправления (MTTR) и период полураспада нерешённых уязвимостей, когда ликвидировано хотя бы 50% выявленных нарушений.
Согласно результатам, лишь 13% всех обнаруженных ошибок в здравоохранении относятся к категории серьёзных, однако показатели их устранения остаются крайне низкими:
- исправлено только 57% критических уязвимостей, что даёт 11-е место из 13 отраслей, тогда как лидером стал транспорт с 80%;
- среднее время исправления составило 58 дней, что также оставило сектор лишь на 10-й позиции, уступив, например, гостиничному бизнесу, где этот показатель равен 20 дням;
- на ликвидацию половины всех серьёзных нарушений у здравоохранения ушло 244 дня, что снова дало 11-е место среди 13 отраслей, в то время как транспортные компании справились за 43 дня.
Технический директор Cobalt Гюнтер Оллманн заявил, что медлительность отрасли фактически создаёт «опасное окно воздействия», в течение которого злоумышленники могут эксплуатировать известные слабые места. Он отметил, что руководители медицинских организаций чаще всего указывают на риски, связанные с ИИ-решениями и сторонними приложениями, но их практическая способность закрывать уязвимости заметно отстаёт от этих ожиданий.
В отчёте сделан вывод, что профилактических мер недостаточно. Для сохранения доверия пациентов и выполнения нормативных требований система здравоохранения должна устранить структурные барьеры, замедляющие внедрение исправлений, и пересмотреть подход к планированию обновлений, чтобы минимизировать риски и сократить периоды незащищённости.
