Cyberbezpieczeństwo
szpitala. Jak o nie zadbać?

Cyberataki na szpitale – dane statystyczne

Hakerzy coraz częściej atakują sektor ochrony zdrowia. To najczęściej ataki celowane - na konkretne placówki medyczne, m.in.:  

• szpitale,
• przychodnie,
• laboratoria medyczne.

W 2021 roku na całym świecie odnotowano łącznie o 71% incydentów więcej niż w 2020 roku – tu przeczytasz w 2022 Cyber Security Report. To oznacza średnio 830 incydentów tygodniowo. Z kolei według ekspertów z Checkpoint Research, w ubiegłym roku hakerzy atakowali przede wszystkim szpitale w Europie Środkowej – liczba przypadków wzrosła o 45% w porównaniu do 2020 roku. 

Cyberbezpieczeństwo szpitali – rośnie jego znaczenie

Z pewnością domyślasz się, że wzrost liczby cyberataków na ochronę zdrowia pokazuje coś bardzo ważnego – zabezpieczenie infrastruktury IT szpitali i innych instytucji ochrony zdrowia to kluczowa kwestia. Wciąż jednak zdarza się, że rozwiązania IT w szpitalach nie nadążają za tempem zmian narzuconym przez pomysłowość hakerów. Cyberprzestępcy nieustannie rozwijają techniki ataków i mimo wysiłków podejmowanych przez ekspertów od bezpieczeństwa, nadal są w stanie złamać rozmaite zabezpieczenia. 
W dbaniu o prawidłowy poziom cyberbezpieczeństwa w szpitalu, ważną rolę odgrywa ścisłe przestrzeganie związanych z tym procedur.  Zdarza się jeszcze, że nie wszyscy pracownicy placówek medycznych o tym pamiętają. Warto dodać, że to problem globalny, z którym mierzy się ochrona zdrowia na całym świecie. 

Cyberatak na szpital – przykłady z życia wzięte

Spójrz na kilka najgłośniejszych przykładów cyberataków na placówki medyczne, które dla ciebie zestawiliśmy:

• Atak na Lotnicze Pogotowie Ratunkowe z żądaniem okupu

W nocy z 13 na 14 lutego 2021 roku, w Lotniczym Pogotowiu Ratunkowym przestały działać kluczowe dla ratowników systemy – w tym narzędzie do przesyłania informacji dotyczących interwencji medycznych. Ratownicy awaryjnie korzystali z połączeń telefonicznych i prywatnych e-maili, więc na szczęście atak nie wpłynął znacząco na realizację misji ratunkowych i transportów między szpitalami. Specjaliści walczyli przez tydzień ze skutkami ataku ransomware. Hakerzy zaszyfrowali dostęp do danych i zażądali 390 tys. dolarów okupu za ich odblokowanie!

• Cyberatak na Universal Health Services (USA i Wielka Brytania)

Inny przykład jest cyberatak ransomware przeprowadzony we wrześniu 2020 roku na szeroką skalę, głównie w USA. 
Celem była sieć placówek Universal Health Services, rozsiana po niemal całym terytorium Stanów Zjednoczonych oraz w Wielkiej Brytanii. Z ograniczonym dostępem do infrastruktury IT mierzyło się 400 szpitali i przychodni. Szczęśliwie atak udało się zneutralizować, ale działania cyberprzestępców sparaliżowały system informatyczny UHS na cały weekend (do ataku doszło w piątek). Przez ten czas personel musiał korzystać wyłącznie z papierowego obiegu informacji, a szpitale musiały relokować pacjentów oczekujących na pilne zabiegi. W efekcie UHS odnotowało straty finansowe na poziomie 67 mln dolarów!

• Atak na szpital w Düsseldorfie i śmierć pacjentki

Również we wrześniu 2020 roku cyberprzestępcy zaatakowali Uniwersytet Heinricha Heinego. Hakerzy zaszyfrowali 30 serwerów, a na jednym z nich zostawili plik zawierający informację z żądaniem okupu za odblokowanie systemu. Klasyczny atak ransomware okazał się tragiczny w skutkach – doprowadził do śmierci pacjentki Szpitala Uniwersyteckiego w Düsseldorfie. Na skutek awarii systemu spowodowanej cyberatakiem, lekarze nie mogli przyjąć kobiety i byli zmuszeni odesłać karetkę do innej placówki, w oddalonym o 32 km Wuppertalu. Pacjentka zmarła w drodze. 

Jak zadbać o cyberbezpieczeństwo szpitali?

Do najczęstszych problemów cyberbezpieczeństwa szpitali, na które zwracają uwagę specjaliści to m.in. luki w aplikacjach i architekturze sieci. 
W przypadku luk w aplikacjach chodzi przede wszystkim o:

• brak szyfrowania i anonimizacji danych,
• http smuggling,
• SQL Injection,
• brak aktualizacji (m.in. WiFi, MITM, poczty).

Kolejna kwestia to kładzenie nacisku wyłącznie na monitorowanie sieci bez odpowiedniej dbałości o bezpieczeństwo dostępu do danych.
Sposobem na szybkie usunięcie tych i innych błędów, są regularne audyty i testy bezpieczeństwa. Pozwalają one wykryć nieprawidłowości i znaleźć sposób na ich skorygowanie. Poza tym bardzo ważne są też cykliczne szkolenia pracowników szpitali i innych placówek medycznych w zakresie bezpieczeństwa IT.
Już wyjaśniamy co to jest i na czym polega. Spójrz niżej. 

Audyty i testy bezpieczeństwa – co to jest i jak działa?

Wykrycie słabych punktów zabezpieczeń infrastruktury IT w szpitalu to pierwszy krok do podniesienia poziomu cyberbezpieczeństwa w urzędzie. W tej sytuacji najlepiej sprawdzają się audyty i testy bezpieczeństwa IT.
Dlaczego trzeba przeprowadzać je cyklicznie?
Zdecydowana większość skutecznych przypadków złamania zabezpieczeń, wykrywana jest średnio po 6 miesiącach od ich zaistnienia. Hakerzy często etapami penetrują system, żeby nie wzbudzić za szybko podejrzeń i ukryć swoją obecność. To faza przygotowawcza przed właściwym atakiem. W efekcie miesiącami mogą mieć dostęp do danych przechowywanych przez szpital i jego infrastruktury IT. 

TESTY BEZPIECZEŃSTWA IT – W SZPITALU I NIE TYLKO

Testy bezpieczeństwa nazywamy również testami penetracyjnymi lub pentestami. Składają się z dwóch części:

• testów zewnętrznych,
• testów wewnętrznych.

Te pierwsze mają za zadanie zobaczyć czy możliwe jest nieautoryzowane uzyskanie dostępu do baz danych lub systemów za pośrednictwem sieci zewnętrznej. Krótko mówiąc, specjaliści przeprowadzą symulowany atak hakerski, aby wykryć wszelkie nieprawidłowości. Z kolei testy wewnętrzne polegają na sprawdzeniu słabych punktów i nieprawidłowości w konfiguracji urządzeń działających w ramach sieci wewnętrznej – tu szczególną uwagę trzeba poświęcić wszystkim urządzeniom podłączanym do wewnętrznej sieci szpitalnej, także IoT. 

Szkolenia pracowników w zakresie bezpieczeństwa IT

Ważną częścią audytów bezpieczeństwa i testów wewnętrznych są także szkolenia zatrudnionych osób w danej placówce w zakresie cyberbezpieczeństwa.  W ramach tych testów specjaliści badają poziom wiedzy pracowników o sposobach działań hakerów oraz odporność personelu na tego typu manipulacje. Dlaczego to takie ważne? Bardzo często hakerzy wykorzystują niską czujność pracowników i stosują różne techniki manipulacyjne, rozsyłając np. fałszywe maile czy wiadomości SMS. Często wykorzystują też nasze naturalne obawy i konteksty sytuacyjne, np. w 2020 r. dużą popularność wykazywał atak „na COVID”.

Jak wygląda szkolenie pracowników w zakresie bezpieczeństwa IT?
Przede wszystkim szkolenia pracowników muszą odbywać się cyklicznie. Wtedy masz pewność, że dobre praktyki staną się nawykiem w Twoim zespole. 
Najlepiej działa forma warsztatów. Odbywają się one w następujący sposób:

1. Zewnętrzni specjaliści badają poziom wiedzy i sposób reakcji uczestników.
2. Następny krok to przekazywanie wiedzy o właściwych reakcjach na cyberataki.
3. Po części teoretycznej specjaliści sprawdzają wzrost umiejętności uczestników po szkoleniu.
4. Ostatni krok to ocena skuteczności szkolenia.

Jak pozyskać środki na te cele?

Często spotykaną barierą, która utrudnia szpitalom możliwość podniesienia poziomu cyberbezpieczeństwa to brak środków na ten cel lub kwota, która nie wystarcza na jego realizację.  Dlatego Ministerstwo Zdrowia uruchomiło program dofinansowania, pozwalający placówkom medycznym zainwestować w swoje cyberbezpieczeństwo. W zależności od wysokości kontraktu NFZ, może to być nawet od 240 do 900 tysięcy złotych. Wnioski na ten cel można składać do 30 listopada 2022 roku. 
Trzeba jednak podkreślić, że warunkiem otrzymania takiego dofinansowania jest przeprowadzenie poziomu dojrzałości cyberbezpieczeństwa w formie ankiety.  Wypełnienie tej ankiety może sprawiać trudności, dlatego oferujemy swoją pomoc w tym zakresie – już na etapie wywiadu.  
Pomożemy ci wypełnić ankietę, aby placówka w której pracujesz, otrzymała sfinansowanie poprawy bezpieczeństwa IT. 

WAŻNE!

Projekt można realizować od 30 kwietnia do 31 grudnia 2022 r. Po tym terminie nie można realizować przedsięwzięcia w tej formie.

Wiesz już więcej o tym, jak zadbać o cyberbezpieczeństwo szpitala. Myślisz o podjęciu takich działań w swojej placówce?

---