От защитата на данните към защита на медицинската дейност

За една болница кибератаката никога не е само технологичен проблем. Когато информационните системи, медицинската апаратура, електронните досиета, лабораторните платформи и комуникациите са свързани в обща цифрова среда, прекъсването на една система може да засегне цялата медицинска дейност.

Въпросът вече не е само дали болницата ще бъде атакувана, а дали ще може да продължи да лекува пациенти, когато част от цифровата й инфраструктура бъде компрометирана.

Тази промяна в разбирането за риска се вижда все по-ясно и в международните практики. Предложенията за нов модел на киберустойчивост в здравеопазването поставят акцент върху способността на лечебните организации да предотвратяват, понасят и преодоляват сериозни киберинциденти.

За болниците в България това е важен сигнал. Независимо от конкретната регулаторна рамка, киберсигурността постепенно се превръща от ИТ функция в част от управлението на оперативния и медицинския риск.

Болницата е много повече от информационна система

Съвременната болница представлява сложна екосистема от взаимосвързани технологии.

В нея влизат електронни медицински досиета, лабораторни системи, PACS и системи за образна диагностика, операционни и интензивни отделения, мрежова инфраструктура, системи за контрол на достъпа, комуникационни платформи, облачни услуги и огромен брой медицински устройства.

Това означава, че атакуемата повърхност е много по-голяма от компютрите и сървърите, които традиционно се разглеждат като обект на киберзащита.

Един компрометиран потребителски акаунт може да даде достъп до критична система. Уязвимо медицинско устройство може да се превърне във входна точка към мрежата. Компрометиран външен доставчик може да прекъсне услуга, от която зависят множество медицински процеси.

Затова защитата трябва да започва с въпроса:

Кои са критичните процеси в болницата и от какви технологии и доставчици зависи тяхното функциониране?

Медицинската апаратура е отделна категория киберриск

Една от най-големите грешки е медицинското устройство да бъде третирано като обикновен компютър.

Много апарати остават в експлоатация години наред. През това време операционната система може да достигне края на поддръжката си, да се появят нови уязвимости, а производителят да ограничи възможностите за актуализация.

При стандартен компютър организацията може да инсталира корекция или да го замени. При медицинската техника ситуацията е различна. Промяната на софтуера може да изисква валидация, сервизна процедура или специално планиране, а изключването на устройството може да прекъсне реален клиничен процес.

Затова медицинската киберсигурност трябва да се управлява едновременно като технологичен риск и като риск за безопасността на пациента.

Новите практически насоки на Health-ISAC например разглеждат девет ключови области – удостоверяване, права за достъп, криптиране, логове, актуализации, отдалечена поддръжка, защита на данните, облачна свързаност и мрежови интерфейси.

Това дава на болниците и производителите общ език за разговор за сигурността още преди закупуването и внедряването на дадено устройство.

Отдалеченият достъп на производителя не трябва да бъде „сляпа зона“

Медицинската апаратура често се поддържа дистанционно. Това е необходимо и ефективно, но създава допълнителна доверена връзка към инфраструктурата на лечебното заведение.

Постоянен VPN тунел, споделен сервизен акаунт или неконтролиран отдалечен достъп могат да превърнат външния доставчик в потенциален вход към вътрешната мрежа.

Достъпът трябва да бъде индивидуален, ограничен във времето, удостоверен с многофакторна автентикация, одобрен от болницата и подлежащ на регистриране и контрол.

При необходимост могат да се използват PAM, ZTNA, защитени сервизни работни станции, jump host и запис на сесиите.

Това не означава недоверие към производителя. Означава, че доверието трябва да бъде управляемо и проверимо.

Не всяко устройство може да бъде защитено по един и същ начин

В реална болница неизбежно ще има наследени системи.

Някои устройства няма да поддържат MFA. Други няма да могат да бъдат обновявани незабавно. Трети може да използват остарели протоколи или операционни системи.

Това не означава автоматично, че устройството трябва да остане незащитено.

Когато защитата не може да бъде реализирана на самото устройство, рискът трябва да бъде компенсиран на ниво архитектура.

Тук особено значение придобиват мрежовата сегментация, ACL, защитните стени, NAC, ограничаването на комуникациите, мониторингът и контролът върху сервизните интерфейси.

Ако критично устройство не може да бъде обновено, трябва да има конкретно решение: какъв е рискът, кой го поема, какви компенсиращи мерки са въведени и кога ситуацията ще бъде преразгледана.

Болницата трябва да знае от кого зависи

Друг критичен аспект е веригата на доставките.

Лечебното заведение може да има добра защита на собствената си инфраструктура, но да зависи от външен доставчик на софтуер, облачна платформа, медицинска система, комуникационна услуга или техническа поддръжка.

Това означава, че оценката на киберриска трябва да включва не само собствените активи, но и критичните зависимости от трети страни.

Случаят с Change Healthcare в САЩ показа мащаба на подобен системен риск – компрометирането на един голям доставчик доведе до сериозни прекъсвания за множество участници в здравната система. Именно такива инциденти насочват вниманието към картографирането на критичните зависимости и към необходимостта болниците да знаят кои външни услуги са жизненоважни за тяхната работа.

Резервното копие не е план за възстановяване

Болницата може да има резервни копия и въпреки това да не бъде готова за сериозна атака.

Причината е проста: при реален инцидент трябва да се знае какво се възстановява първо, от какво зависи дадена система, колко време може да бъде недостъпна и как медицинската дейност ще продължи през този период.

Следователно планът за непрекъсваемост трябва да бъде свързан с киберсигурността.

Необходимо е да се упражняват сценарии като:

• недостъпна електронна медицинска документация;
• компрометирана лабораторна система;
• прекъсната PACS инфраструктура;
• ransomware атака;
• недостъпност на критичен външен доставчик;
• компрометирана медицинска апаратура;
• продължителна загуба на мрежова свързаност.

Планът, който никога не е тестван, е предположение, а не доказана устойчивост.

Именно затова международните здравни организации провеждат мащабни практически упражнения, при които се проверяват не само техническите действия, но и координацията, комуникацията и възстановяването.

Какво трябва да провери една болница още сега?

За да бъде киберсигурността реален компонент от управлението на риска, лечебното заведение трябва да има ясна картина поне по няколко направления.

1. Пълен инвентар на критичните активи
Не само сървъри и работни станции, а и медицински устройства, мрежови компоненти, облачни услуги и външни зависимости.

2. Оценка на медицинските устройства
Каква операционна система използват? Поддържат ли се? Как се актуализират? Кой има достъп? Има ли отдалечена поддръжка? Какви данни обработват?

3. Мрежова сегментация
Критичната медицинска инфраструктура не трябва автоматично да бъде част от една плоска мрежа с офисните системи.

4. Управление на идентичностите и привилегиите
Всеки достъп трябва да бъде свързан с конкретен потребител и конкретни права. Особено внимание трябва да се отдели на администраторските и сервизните акаунти.

5. Контрол върху доставчиците
Договорите и техническите отношения трябва да определят кой има достъп, кога, как и при какви условия.

6. Мониторинг и логове
Болницата трябва да може да установи какво се е случило, кога е започнал инцидентът и кои системи са засегнати.

7. Реално тестван план за реакция и възстановяване
Не само документ, а практически упражнения с участието на ИТ, ръководството, медицинските екипи и критичните доставчици.

Киберсигурността трябва да започва преди закупуването на техниката

Една от най-важните промени е необходимостта киберсигурността да бъде включена още при избора на медицинска апаратура.

Вместо въпросът да бъде само „Има ли устройството тази защитна функция?“, по-полезният въпрос е:

„Какъв риск адресира тази функция и как ще бъде компенсиран този риск, ако устройството не я поддържа?“

Този подход позволява на болницата да взема решения според реалния риск, а не само според наличието на сертификат или отделна защитна функция. Health-ISAC също поставя акцент върху този модел – оценка на възможностите, ограниченията и компенсиращите мерки през целия жизнен цикъл на медицинското устройство.

АНТИВИРУС БГ: киберсигурността трябва да защитава медицинската дейност

За болницата крайната цел не е да притежава определен брой защитни технологии.

Крайната цел е медицинската дейност да остане достъпна, надеждна и безопасна дори когато организацията е подложена на кибератака.

Това изисква съчетание от технологична защита, управление на риска, контрол на достъпа, сегментация, мониторинг, защита на медицинските устройства, сигурност на доставчиците, подготовка за инциденти и възстановяване.

АНТИВИРУС БГ може да подпомогне лечебните заведения при изграждането на този цялостен подход – от оценката на текущото състояние и идентифицирането на критичните рискове до изграждането на конкретни мерки за защита и повишаване на киберустойчивостта.

Защото в здравеопазването цената на един киберинцидент не се измерва само в загубени данни, прекъснати услуги или финансови разходи.

Понякога се измерва в способността на лекаря да получи необходимата информация навреме и на болницата да продължи да лекува.