Cyberbezpieczeństwo w szpitalach leży i kwiczy. Oto, ile placówek zaatakowano w ostatnich miesiącach

Liczba incydentów związana z wyciekiem danych pacjentów nie spada. Cyberbezpieczeństwo, bo o nim mowa, stało się niezwykle istotnym elementem w ochronie zdrowia, choć zwykle o tym nie myślimy. Nasze wrażliwe dane ulokowane na serwerach placówek medycznych stanowią smakowity kąsek dla cyberprzestępców. Jak szpitale chronią dane pacjentów? Jak cyberbezpieczeństwo ma się na polskim podwórku?

Ochrona zdrowia w epicentrum ataków cybernetycznych

W kontekście medycyny czy wszelkich placówek ochrony zdrowia myślimy głównie o tym, aby jakość opieki medycznej była jak najwyższa. Chcemy szybko, bezboleśnie odwiedzić lekarza, kupić potrzebne leki i czekać na poprawę zdrowia. Zapominamy jednak o tym, że wraz z coraz szybciej pędzącym rozwojem technologicznym dostrzegamy zwykle masę pozytywnych stron, nie bacząc na te ciemniejsze…

Cyberbezpieczeństwo stanowi kompleksowy zestaw różnych praktyk, narzędzi, procedur i technologii, które mają na celu ochronę systemów informatycznych, sieci komputerowych i danych przed wszelkimi zagrożeniami związanymi z cyberprzestępczością. Informacje o charakterze wrażliwym pozyskiwane poprzez kradzież danych mogą skutecznie uprzykrzyć życie i być wykorzystywane do kolejnych wyłudzeń. W Polsce, jak i na świecie, placówki medyczne przechowują ogromne ilości danych, które stanowią smaczny kąsek dla cyberprzestępców.

Dla zapewnienia należytego poziomu ochrony danych konieczne jest wdrożenie odpowiednich środków ochrony takich jak silne mechanizmy uwierzytelniania, regularne aktualizacje oprogramowania, szkolenie personelu medycznego (którzy przecież korzystają z tego systemu na co dzień) w zakresie bezpieczeństwa cybernetycznego oraz stałe monitorowanie aktywności sieciowej tak, by sprawnie i szybko zareagować na potencjalne zagrożenia. Utrata tych danych może prowadzić do sparaliżowania codziennej działalności placówek medycznych.

Nie potrzeba broni, żeby zrobić krzywdę. Jakie są motywacje cyberataków?

Oprócz przeważających kwestii finansowych, które jako pierwsze przychodzą do głowy w kontekście ataków cybernetycznych, można wymienić kilka motywacji cyberprzestępców. Za zdecydowaną większością kradzieży danych stoją oczywiście kwestie finansowe. Z raportu ENISA opublikowanego na początku lipca 2023 roku wynika, że 83% ataków było motywowane zyskiem.

Raport powstał na podstawie analizy sektora ochrony zdrowia na rynku europejskim, ze względu na jego ogromne znaczenie dla obywateli. 10% wszystkich akcji hakerów stanowiły ataki motywowane ideologicznie. Za tym terminem kryją się aktywności powiązane z działalnością haktywistyczną oraz istniejącą wyraźną deklaracją dotyczącą celu ataku. Szpiegostwo, którego celem było gromadzenie informacji, stanowiło 1% ataków. Ostatnie, brakujące 6% ataków były incydentami niecelowymi lub, których motywacje pozostają nieznane.

Cyberbezpieczeństwo w liczbach. Data Protection Trends Raport 2023

Według Data Protection Trends Raport 2023 zrealizowanego przez firmę Veeam 91% placówek ochrony zdrowia zostało zaatakowanych za pomocą ransomware. W 2022 roku odsetek ten wynosił 76%. To znak, że cyberprzestępcy nie śpią.

Ransomware to forma złośliwego oprogramowania, która blokuje pliki lub urządzenie użytkownika, a następnie żąda anonimowej płatności online w zamian za przywrócenie dostępu. Jak podaje strona malwarebytes.com historia ransomware sięga lat 80. ubiegłego wieku, a w ostatnim czasie szybko zyskuje na popularności. Wówczas do przesyłania „okupu” wykorzystywano pocztę tradycyjną, dziś cyberprzestępcy żądają pieniędzy pod postacią kryptowalut lub przelewu z karty kredytowej.

Jeżeli weźmiemy pod lupę polskie podwórko, to już 17 milionów użytkowników korzysta z Internetowego Konta Pacjenta. To więc co najmniej 17 milionów powodów, aby władze bardziej zainteresowały się tematem cyberbezpieczeństwa w Polsce. Według dostępnych danych w tymże systemie wystawiono ponad 1,7 miliarda e-recept oraz 154 miliony e-skierowań. Zgodnie z raportem CERT Polska (raport „Krajobraz bezpieczeństwa polskiego internetu”, 2022 r.) w ochronie zdrowia odnotowano 251 incydentów z zakresu cyberbezpieczeństwa.

Według wspomnianego raportu cyberataki stanowią najczęstszą przyczynę przestoju w działalności placówek medycznych. Ataki ransomwere w ochronie zdrowia spowodowały zaszyfrowanie lub zniszczenie aż 39% danych. Jedynie 55% z nich było możliwe do odzyskania.

Raport zaprezentowany przez firmę Veeam wyraźnie zwraca uwagę na to, że sektor ochrony zdrowia wciąż boryka się z istnieniem tzw. luki dostępności i ochrony danych. Według dokumentu aż 77% instytucji medycznych zauważa obecność tzw. protection gap, czyli różnicę między ilością danych, jakie potencjalnie mogą stracić bez negatywnych skutków dla swojej działalności, a tym jak często tworzone są kopie zapasowe tych informacji. 80% uznaje zaś, że istnieje w ich placówkach medycznych luka dostępności, czyli oznacza różnicę między minimalnym czasem przywracania działalności w przypadku awarii, a możliwościami dostępnymi w dziale IT (informatycznym).

Warto jednak zauważyć, że prezentowane wartości uległy pewnej poprawie w ciągu 2023 roku. W 2022 roku aż 96% placówek wskazywało na występowanie luki dostępności, podczas gdy 93% placówek wskazywało na występowanie luki w ochronie danych. W 2023 roku oczekuje się również zwiększenia budżetów na ochronę danych o niemal 8%. Ta informacja jest dowodem na rosnącą świadomość w sektorze ochrony zdrowia dotyczącej konieczności skutecznego zabezpieczania danych.

Cyberbezpieczeństwo wymaga dofinansowania

Jak podaje serwis rynekzdrowia.pl w 2022 roku Narodowy Fundusz Zdrowia rozpoczął program dofinansowania działań związanych z podniesieniem poziomu bezpieczeństwa informatycznego w szpitalach, placówkach rehabilitacji leczniczej, leczenia psychiatrycznego i uzdrowiskowego z aktualnymi umowami z NFZ. Dostrzeżono więc istotę inwestycji w cyberbezpieczeństwo polskich placówek medycznych. Oto działania, które zostały podjęte (stan na 7 lipca 2023 roku):

1. na podstawie zarządzenia 68/2022

• w 2022 r. złożono 900 wniosków o zawarcie umowy o dofinansowanie
• podpisano 840 umów.
• 636 podmiotów otrzymało finansowanie w 2022 r., tj. 75,7 proc. spośród wszystkich, które podpisały umowy, w tym:
• szpitale: 568 podmiotów
• psychiatria: 68 podmiotów.
• W 2022 r. 204 podmioty nie rozliczyły finansowania, tj. 24,3 proc. spośród wszystkich, które podpisały umowy, w tym:
• szpitale: 162 podmioty
• psychiatria: 42 podmioty.
• Do 19 maja 2023 r. złożono 229 wniosków aktualizacyjnych, w tym:
• szpitale: 189 podmiotów
• psychiatria: 40 podmiotów.
• Podpisano 220 umów aktualizacyjnych na kwotę 71 474 896,98 zł, w tym:
• szpitale: 182 podmioty (na kwotę 64 375 110,25 zł)
• psychiatria: 38 podmiotów (na kwotę 7 099 786,73 zł).
• Rozliczono 131 wniosków o wypłatę finansowania z umów aktualizacyjnych na kwotę 43 950 144,29 zł, w tym:
• szpitale: 106 podmiotów (na kwotę 39 672 128,17 zł)
• psychiatria: 25 podmiotów (na kwotę 4 278 016,12 zł).

2. na podstawie zarządzenia 8/2023

• złożono 97 wniosków o podpisanie umowy,
• podpisano 79 umów o  wartości 20 896 296,70 zł.

Wyraźna potrzeba ochrony danych wrażliwych ze strony placówek medycznych skłania do refleksji i pokazuje, z jak dużym problemem się mierzą.

Tworzenie kopii zapasowych, edukacja pracowników fundamentem ochrony danych

Oprócz ryzyka nieautoryzowanego dostępu do danych placówki medyczne muszą uwzględniać również potencjalne zagrożenia związane z bezpowrotną utratą zasobów oraz konsekwencjami prawno-finansowymi, jakie wynikają z niewłaściwego zabezpieczenia wrażliwych informacji. Kluczowym elementem jest wypracowanie odpowiedniej i niezawodnej strategii bezpieczeństwa.

Po pierwsze — regularne tworzenie kopii zapasowych powinno być fundamentem takiej strategii. Co najmniej jedna z takich kopii powinna być odizolowana od sieci, dzięki czemu będzie odporna na modyfikacje z zewnątrz. To pozwoli na szybki powrót do działania zaatakowanym placówkom medycznym.

Po drugie — edukowanie w zakresie ochrony danych, cyberbezpieczeństwa, powinno wyjść poza mury szkolne. Istotnym elementem jest edukacja wszystkich pracowników ochrony zdrowia w zakresie bezpieczeństwa internetowego oraz promowanie właściwych nawyków cyfrowych. Cyberprzestępcy często wykorzystują podstępnie błędy człowieka, które pewnie ciężko całkowicie wyeliminować, ale można je znacznie ograniczyć. Dlatego każdy pracownik powinien być świadomy, na co zwracać uwagę i jak reagować w przypadku wykrycia podejrzanych sytuacji.

Jeśli czynnik ludzki zawiedzie, każda placówka powinna być wyposażona w odpowiednie procedury przywracania danych, co pozwoli na szybkie odzyskanie zasobów bez konieczności płacenia okupu przestępcom. To integralna część skutecznej strategii cyberbezpieczeństwa, zwłaszcza w sektorze ochrony zdrowia, gdzie integralność danych jest kluczowa dla życia i zdrowia pacjentów.

Źródło: rynekzdrowia.pl, gov.pl