Operationele technologie in sectoren zoals de zorg vormt een uitdaging voor de implementatie van kwantumveilige cryptografie vanwege firmware-updates en lange vertrouwelijkheidseisen.
Kwantumveilige cryptografie brengt diverse uitdagingen met zich mee voor beveiligingsprofessionals, vooral in sectoren die sterk afhankelijk zijn van IoT- en operationele technologie (OT)-apparaten. Dit geldt met name voor gevoelige data die jarenlang vertrouwelijk moet blijven, zoals in de zorgsector. Een recent rapport van Forescout benadrukt deze problematiek, waar medische dossiers, diagnostische beelden en laboratoriumresultaten routinematig tussen verschillende operationele systemen worden uitgewisseld.
Aanvallers kunnen versleuteld dataverkeer met deze informatie nu onderscheppen en opslaan om het later te ontsleutelen zodra krachtige kwantumcomputers beschikbaar zijn, een methode die bekendstaat als “harvest now, decrypt later” (HNDL). Volgens Forescout gaat het bij de migratie naar post-kwantumcryptografie (PQC) in de zorg niet alleen om dataconfidentialiteit, maar ook om patiëntveiligheid. Cryptografie beschermt onder meer commando’s naar medische apparaten, diagnostische telemetrie, medicatieorders en andere gevoelige interacties. Kwantumdreigingen omvatten ongeautoriseerde toegang via publieke sleutels, manipulatie van communicatie tussen apparaten en geavanceerde malware die firmware-integriteit ondermijnt.
Het upgraden naar PQC is relatief eenvoudig voor live servers, waar een standaard PQC-algoritme kan worden geïmplementeerd via een bibliotheekupdate en configuratiewijziging. Voor ingebedde apparaten, zoals die in de zorg, zijn echter volledige firmware-updates van fabrikanten nodig. Deze updates moeten bovendien achterwaartse compatibiliteit waarborgen met systemen die mogelijk nog niet zijn geüpgraded en kunnen hercertificering vereisen bij gecertificeerde apparaten. Dit probleem strekt zich uit tot industriële installaties en andere omgevingen waar OT- of IoT-apparaten gevoelige of bedrijfskritische data verwerken.
De G7 Cybersecurity Working Group riep vorige maand overheden en organisaties op om zo snel mogelijk te beginnen met de migratie naar PQC, met een waarschuwing dat de overgang lang zal duren en dat voorbereiding noodzakelijk is voordat kwantumcomputers die huidige encryptie kunnen breken, beschikbaar komen. Daniel dos Santos, VP Research bij Forescout, geeft aan dat overheidsinstanties doorgaans een tijdlijn rond 2030 hanteren voor PQC-klaarheid, het moment waarop kwantumcomputers mogelijk bestaande encryptie kunnen kraken. Voor sectoren als de zorg maakt de HNDL-aanpak deze tijdlijn echter minder relevant, omdat patiëntgegevens vaak al jaren vertrouwelijk moeten blijven.
Het beschermen van patiëntgegevens vereist beveiliging van de volledige communicatieketen, van het apparaat dat de data genereert tot de IT-systemen die deze opslaan en de applicaties die toegang bieden aan artsen en patiënten. Bijvoorbeeld, een CT-scanner stuurt beelden naar een archiveringssysteem (PACS), waarna deze beelden tussen ziekenhuizen, cloudservices en externe radiologieaanbieders worden gedeeld. Elke overdracht vereist kwantumveilige bescherming om langdurige vertrouwelijkheid te garanderen. Ook laboratoriumresultaten en medicatiegegevens volgen vergelijkbare routes, waarbij elektronische voorschrijfsystemen medicatie-informatie uitwisselen tussen zorgverleners en apotheken. Aanvallers kunnen deze data op diverse punten onderscheppen en opslaan voor latere decryptie.
