How to Secure Unpatchable Medical Devices in Hospitals with Zero Trust (and How to Measure the Risk

Cara Mengamankan Ventilator dan Infusion Pump yang Gak Bisa Diinstal Antivirus

Jadi gini. Kalau lo pernah mikir "gimana cara ngamanin ventilator atau infusion pump yang udah nyambung ke jaringan tapi gak bisa dipasangin antivirus", jawaban singkatnya: lo gak ngamanin perangkatnya. Lo ngamanin jaringannya.

Perangkat medis kayak infusion pump, ventilator, monitor pasien, itu didesain buat nyelametin nyawa. Bukan buat diinstal agen keamanan, bukan buat di-patch tiap minggu. Banyak yang pakai sistem operasi jadul, ada yang bahkan gak punya kemampuan autentikasi sama sekali. Jadi kalau kita mikir "pokoknya semua device harus punya antivirus", ya gak akan pernah selesai.

Yang harus kita ubah cara mikirnya.

Zero Trust untuk perangkat kayak gini bukan berarti kita tanam agen di dalam perangkatnya. Zero Trust di sini artinya: jangan pernah percaya koneksi apa pun secara default, dan batasi perangkat itu cuma boleh ngomong sama siapa. Titik.

Jadi gimana cara praktisnya?

Pertama, lo harus tau dulu ada perangkat apa aja di jaringan lo. Kedengeran sepele, tapi ini yang paling sering bolong. Banyak rumah sakit gak punya inventaris lengkap perangkat medis yang terhubung ke jaringan. Padahal tanpa tau apa yang ada, gimana mau ngamanin?

Kedua, segmentasi. Ini kata kunci yang harus lo inget. Pisahin perangkat medis dari jaringan administrasi, dari komputer staf, dari wifi tamu. Jangan campur. Kalau satu infusion pump kena masalah, dia gak bisa langsung nyebar ke mesin CT scan atau ke server rekam medis.

Segmentasi ini bisa dilakukan di level jaringan, bukan di perangkat. Artinya lo bisa terapkan aturan: "infusion pump di VLAN ini cuma boleh ngirim data ke server monitoring, gak boleh akses internet, gak boleh akses komputer admin." Perangkatnya gak perlu diutak-atik. Jaringannya yang diatur.

Ketiga, monitor terus perilakunya. Kalau tiba-tiba ada ventilator yang mencoba konek ke IP aneh jam 2 pagi, itu harus ketahuan. Bukan berarti perangkatnya langsung dimatikan—karena ya gak boleh, ada pasien yang bergantung sama alat itu. Tapi tim IT bisa langsung investigasi dan isolasi koneksinya tanpa mengganggu alatnya.

Nah di sinilah Zero Trust versi jaringan itu masuk akal. Perangkat medis gak perlu "percaya" sama siapa pun. Semua komunikasi harus lewat jalur yang udah ditentukan. Gak ada jalur lain. Selesai.

Kenapa ini penting banget di Indonesia?

Oke, ini bagian yang agak berat. Tapi gw rasa perlu dibahas.

Transformasi digital kesehatan di Indonesia lagi kencang-kencangnya. SATUSEHAT, rekam medis elektronik, integrasi sistem. Semua rumah sakit didorong buat nyambungin perangkat-perangkatnya ke jaringan. Tapi standar keamanan siber untuk perangkat medis itu belum seragam. Artinya, semakin banyak perangkat yang terhubung, semakin banyak juga pintu masuk potensial.

Dan kita tau sendiri, perangkat medis itu siklus patch-nya lambat banget. Bukan karena tim IT-nya malas. Tapi karena update firmware harus divalidasi produsen, kadang harus lewat persetujuan regulasi, dan koordinasinya sama tim biomedis yang bukan bagian dari IT security. Jadi sering banget ada perangkat yang jalan dengan firmware dua-tiga tahun lalu, padahal kerentanannya udah publik.

Kalau ada yang nanya "pernah gak sih ada kasus serangan siber ke infusion pump atau ventilator di Indonesia?"—jujur, gw gak punya data kasus spesifik yang terkonfirmasi untuk infusion pump atau ventilator secara langsung. Yang banyak terdokumentasi itu serangan ransomware ke sistem rumah sakit secara umum. WannaCry tahun 2017 lalu sempat bikin sistem di beberapa rumah sakit Jakarta kacau, pelayanan jadi manual. Itu bukan serangan ke infusion pump, tapi itu nunjukin bahwa infrastruktur rumah sakit kita pernah jadi target, dan dampaknya nyata ke layanan.

Jadi kalau belum ada data kasus lokal yang spesifik, gimana cara ngukur risikonya?

Ngukur risiko tanpa data kasus yang lengkap

Gak perlu nunggu ada korban dulu baru bergerak. Risiko perangkat medis bisa diukur dari beberapa hal yang lebih konkret:

Satu, tingkat kekritisan perangkat. Ventilator di ICU beda risikonya sama printer di ruang administrasi. Kalau ventilator bermasalah, nyawa jadi taruhannya. Kalau printer bermasalah, paling cuma antrean surat. Prioritaskan yang dampaknya langsung ke pasien.

Dua, tingkat keterhubungannya. Perangkat yang terhubung ke internet atau ke jaringan luas punya risiko lebih besar daripada perangkat yang cuma terhubung ke satu server lokal. Semakin banyak jalur komunikasi, semakin besar permukaan serangannya.

Tiga, umur dan status patch. Kalau perangkatnya masih jalan dengan Windows XP atau sistem operasi yang sudah tidak didukung, itu lampu merah. Bukan berarti harus langsung diganti—mahal dan gak praktis. Tapi harus diisolasi lebih ketat.

Empat, apakah perangkat menyimpan atau mengirim data pasien. Infusion pump yang mengirim data dosis ke sistem farmasi, misalnya, punya implikasi privasi yang lebih besar daripada perangkat yang cuma menampilkan angka di layar.

Dari empat faktor ini lo bisa bikin skor sederhana. Gak perlu alat mahal. Yang penting konsisten dan didokumentasikan. Setelah itu, prioritas jadi lebih jelas: mana yang harus diisolasi dulu, mana yang bisa menyusul.

Yang sering dilupain

Banyak orang mikir Zero Trust itu produk. Beli solusi X, selesai. Padahal Zero Trust itu pendekatan. Prinsipnya sederhana: batasi akses seminimal mungkin, verifikasi terus-menerus, dan jangan asumsikan apa pun aman hanya karena dia ada di dalam jaringan.

Untuk perangkat medis yang gak bisa diinstal apa-apa, prinsip itu diterjemahkan jadi aturan jaringan yang ketat. Gak ada magic. Gak ada tombol "aktifkan Zero Trust". Yang ada kerjaan: inventarisasi, segmentasi, monitoring, dan dokumentasi.

Dan satu lagi. Jangan lupa libatkan tim biomedis. Mereka yang paling paham perangkatnya, kapan boleh disentuh, kapan gak boleh. Kalau IT jalan sendiri, solusinya bisa secara teknis benar tapi secara operasional bikin repot. Ujung-ujungnya dimatikan.

Entahlah. Mungkin kedengeran ribet. Tapi mengingat apa yang dipertaruhkan—data pasien, keselamatan nyawa, reputasi rumah sakit—ribet sedikit di depan jauh lebih murah daripada kacau di belakang.

Ya kan?

Pertanyaan yang sering muncul

Apakah perangkat medis harus diganti kalau tidak bisa di-patch?

Belum tentu. Banyak perangkat yang masih aman digunakan asal diisolasi dengan benar di level jaringan. Mengganti semua perangkat sekaligus gak realistis secara biaya dan operasional. Prioritas adalah membatasi apa yang bisa diakses perangkat tersebut.

Apakah segmentasi jaringan mengganggu fungsi perangkat medis?

Kalau dilakukan dengan benar, tidak. Segmentasi cuma mengatur jalur komunikasi, bukan mengubah cara kerja perangkat. Yang penting adalah memetakan dulu alur data yang memang dibutuhkan perangkat, baru bikin aturannya. Jangan asal blokir.

Bagaimana kalau rumah sakit belum punya tim keamanan siber khusus?

Mulai dari yang paling dasar: inventarisasi perangkat medis yang terhubung ke jaringan, lalu pisahkan jaringannya dari jaringan umum. Dua langkah ini sudah menutup banyak celah tanpa perlu alat mahal. Setelah itu bisa bertahap.

Apakah Zero Trust bisa diterapkan tanpa mengganti perangkat yang sudah tua?

Bisa. Justru itu salah satu alasan Zero Trust cocok untuk lingkungan rumah sakit. Karena enforcement-nya ada di jaringan, bukan di perangkat, perangkat lama tetap bisa dilindungi tanpa harus dimodifikasi.

How to Protect Ventilators and Infusion Pumps That Can't Run Antivirus (English Version)

Let's get one thing straight. If you've been wondering how to secure a ventilator or an infusion pump that's already connected to the hospital network but can't have antivirus installed on it, the short answer is: you don't secure the device. You secure the network.

Medical devices like infusion pumps, ventilators, and patient monitors are built to keep people alive. They're not built to run security agents or receive weekly patches. Many run outdated operating systems. Some have no authentication capability at all. So if we keep thinking "every device must have antivirus," we're never going to finish.

The mindset has to shift.

Zero Trust for devices like these doesn't mean planting an agent inside them. It means: never trust any connection by default, and restrict who that device is allowed to talk to. Period.

So how does this work in practice?

First, you need to know what devices are actually on your network. Sounds obvious, but this is where most gaps are. Many hospitals don't have a complete inventory of connected medical devices. And without knowing what's there, how do you protect it?

Second, segmentation. This is the keyword. Separate medical devices from the administrative network, from staff computers, from guest Wi-Fi. Don't mix them. If one infusion pump gets compromised, it shouldn't be able to spread to a CT scanner or the medical records server.

Segmentation happens at the network level, not the device level. You set a rule: "infusion pumps in this VLAN can only send data to the monitoring server, cannot access the internet, cannot access admin workstations." The device itself doesn't need to be touched. The network does the work.

Third, monitor behavior continuously. If a ventilator suddenly tries to connect to a strange IP at 2 a.m., you need to know. Not so you can immediately shut it down—you can't, a patient might be depending on it. But so IT can investigate and isolate that connection without disrupting the device.

This is where network-level Zero Trust makes sense. The medical device doesn't need to "trust" anyone. All communication goes through designated paths. No other paths exist. Done.

Why this matters in Indonesia

Okay, this part is a bit heavier. But I think it needs saying.

Digital transformation in Indonesian healthcare is moving fast. SATUSEHAT, electronic medical records, system integration. Every hospital is being pushed to connect its devices to the network. But cybersecurity standards for medical devices aren't uniform yet. Which means the more devices connect, the more potential entry points exist.

And we all know medical devices have painfully slow patch cycles. Not because IT teams are lazy. But because firmware updates require vendor validation, sometimes regulatory approval, and coordination with biomedical teams who aren't part of IT security. So you often end up with devices running firmware from two or three years ago, with vulnerabilities that are already public.

If someone asks "has there ever been a cyberattack on an infusion pump or ventilator in Indonesia?"—honestly, I don't have confirmed data for that specific scenario. What is well-documented is ransomware attacks against hospital systems in general. The 2017 WannaCry outbreak disrupted systems at several Jakarta hospitals, forcing staff to go manual. That wasn't an attack on infusion pumps, but it proved that Indonesian hospital infrastructure has been targeted, and the impact on services was real.

So if local case data is thin, how do you measure risk?

Measuring risk without complete case data

You don't wait for a body count before moving. Medical device risk can be assessed through concrete factors:

One, device criticality. A ventilator in the ICU carries different risk than a printer in administration. If a ventilator fails, lives are at stake. If a printer fails, someone waits in line. Prioritize based on direct patient impact.

Two, connectivity level. A device connected to the internet or a wide network has more exposure than one connected to a single local server. More communication paths mean a larger attack surface.

Three, age and patch status. If it's still running Windows XP or an unsupported OS, that's a red flag. Not necessarily a replacement order—that's expensive and impractical. But it absolutely needs tighter isolation.

Four, whether the device stores or transmits patient data. An infusion pump that sends dosage data to the pharmacy system has bigger privacy implications than a device that just displays numbers on a screen.

From these four factors, you can build a simple score. No expensive tool required. What matters is consistency and documentation. Once you have that, priorities become clearer: what gets isolated first, what can wait.

What people often forget

A lot of people think Zero Trust is a product. Buy solution X, done. But Zero Trust is an approach. The principle is simple: limit access to the minimum, verify continuously, and don't assume anything is safe just because it's inside the network.

For medical devices that can't run anything, that principle translates into strict network rules. No magic. No "enable Zero Trust" button. Just work: inventory, segmentation, monitoring, documentation.

And one more thing. Involve the biomedical team. They understand the devices best—when they can be touched, when they can't. If IT goes solo, the solution might be technically correct but operationally painful. And then it gets turned off.

I don't know. Maybe it sounds like a hassle. But considering what's at stake—patient data, human safety, hospital reputation—a little hassle upfront is far cheaper than chaos later.

Right?

Frequently asked questions

Do medical devices need to be replaced if they can't be patched?

Not necessarily. Many devices remain safe to use if they're properly isolated at the network level. Replacing everything at once isn't realistic in terms of cost or operations. The priority is restricting what those devices can access.

Does network segmentation disrupt medical device function?

If done correctly, no. Segmentation only controls communication paths, not how the device operates. The key is to first map the data flows the device actually needs, then build rules around that. Don't just block everything blindly.

What if the hospital doesn't have a dedicated cybersecurity team?

Start with the basics: inventory every connected medical device, then separate their network from the general network. Those two steps close a lot of gaps without expensive tools. Then build from there.

Can Zero Trust work without replacing legacy devices?

Yes. That's actually one reason Zero Trust suits hospital environments. Because enforcement lives at the network level, not on the device, legacy equipment can be protected without modification.

Terima kasih sudah mampir! Jika kamu menikmati konten ini dan ingin menunjukkan dukunganmu, bagaimana kalau mentraktirku secangkir kopi? 😊 Ini adalah gestur kecil yang sangat membantu untuk menjaga semangatku agar terus membuat konten-konten keren. Tidak ada paksaan, tapi secangkir kopi darimu pasti akan membuat hariku jadi sedikit lebih cerah. ☕️

☕ Buy Me Coffee