Americké zdravotnictví v ohrožení: Posilování odolnosti vůči ransomwarovým útokům

Postup útoku kyberzločince obvykle zahrnuje dva kroky: získání počátečního přístupu k síti často prostřednictvím phishingu nebo zneužitím chyb zabezpečení, které následuje nasazení ransomwaru nebo zašifrování důležitých systémů a dat. Vývoj uvedených taktik, včetně využití legitimních nástrojů a rozšíření RaaS, vedl k vyšší přístupnosti a četnosti těchto útoků.

Kampaně určené zdravotnickým zařízením často využívají velmi konkrétní nástrahy. Jack Mott zdůrazňuje, že aktéři hrozeb například vytváří e-maily obsahující specifický zdravotnický žargon, jako jsou reference na pitevní zprávy, aby dosáhli vyšší přesvědčivosti a dokázali zdravotnický personál úspěšně oklamat. 

Takové taktiky sociálního inženýrství, a to zvláště ve vysoce stresovém prostředí, jako je zdravotnictví, zneužívají častý pocit naléhavosti u zdravotnických pracovníků, který může vést k možnému zanedbání zabezpečení. 

Jack Mott zároveň zmiňuje, že útočníci používají stále sofistikovanější metody a často se snaží vyhnout odhalení uváděním skutečných jmen, legitimních služeb a nástrojů běžně využívaných v IT odděleních (například nástroje vzdálené správy). Uvedené taktiky ztěžují systémům zabezpečení rozlišit, jestli jde o škodlivou nebo legitimní aktivitu. 

Data Analýzy hrozeb Microsoft zároveň ukazují, že útočníci často zneužívají známé chyby zabezpečení v softwaru či systémech příslušné organizace zjištěné už v minulosti. Tyto běžné chyby zabezpečení a rizika (CVE) jsou důkladně zdokumentované a mají k dispozici opravy, takže útočníci na ně často cílí, protože ví, že mnoho organizací je zatím neodstranilo.¹⁸

Útočníci po získání počátečního přístupu často provádějí průzkum sítě, který můžou indikátory označit jako neobvyklou kontrolní aktivitu. Tento postup aktérům hrozeb pomáhá namapovat síť, zjistit důležité systémy a připravit další fázi útoku: nasazení ransomwaru.

Zdravotnická pracoviště čelí stále sofistikovanějším ransomwarovým útokům, takže si musí v souvislosti s kybernetickou bezpečností osvojit mnohostranný přístup. Musí se připravit tak, aby kybernetické incidenty zvládla, reagovala na ně a zotavila se z nich a zároveň zajistila nepřetržitou péči o pacienty.

Následující pokyny a rady nabízí komplexní strukturu pro zvýšení odolnosti, zajištění rychlého zotavení, podporu pracovníků zaměřených především na zabezpečení a propagaci spolupráce v rámci celého sektoru zdravotnictví.

Efektivní zásady správného řízení pro kybernetickou bezpečnosti ve zdravotnictví jsou nezbytné pro zajištění připravenosti a odpovídající reakce na ransomwarové útoky. Doktoři Dameff a Tully z centra UC San Diego Center for Healthcare Cybersecurity doporučují vytvoření robustní struktury zásad správného řízení zahrnující jasné role, pravidelná školení a mezioborovou spolupráci. Tento krok pomáhá zdravotnickým zařízením zvýšit odolnost vůči ransomwarovým útokům a zajistit nepřetržitou péči o pacienty i v případě, že čelí významnému narušení.

Klíčovým aspektem této struktury je rozštěpení informačních sil mezi klinický personál, týmy zabezpečení IT a pracovníky nouzové správy tak, aby vznikly soudržné plány reakcí na incidenty. Spolupráce mezi odděleními je životně důležitá pro zajištění bezpečnosti pacientů a kvality péče, pokud dojde k ohrožení technologických systémů.

Doktoři Dameff a Tully zároveň zdůrazňují nezbytnost vytvoření dedikované skupiny či rady pro zásady správného řízení, která se bude pravidelně scházet a dané plány reakcí na incidenty kontrolovat nebo aktualizovat. Doporučují, aby uvedené skupiny pro zásady správného řízení měly oprávnění k testování plánů reakcí na základě realistických simulací a drilů, aby se zajistilo, že veškerý personál (a to včetně mladších klinických pracovníků, kteří nemusí mít s papírovými záznamy zkušenosti) je připraven efektivně fungovat i bez digitálních nástrojů.

Doktoři Dameff a Tully dále vyzdvihují důležitost externí spolupráce. Přimlouvají se za oblastní a národní struktury, které nemocnicím umožní vzájemnou podporu při rozsáhlých incidentech, a zmiňují potřebu vytvoření „strategické národní rezervy“ technologie pro dočasné nahrazení napadených systémů.

Je nezbytné zavést strategii hloubkové ochrany a vytvořit stav vícevrstvého zabezpečení, který ransomwarové útoky efektivně překazí. Tato strategie zahrnuje zabezpečení každé vrstvy infrastruktury zdravotnického pracoviště – od sítě, přes koncové body až po cloud. Zřízením vícevrstvé ochrany zdravotnická zařízení sníží riziko úspěšného ransomwarového útoku.

Týmy analýzy hrozeb Microsoftu v rámci tohoto vícevrstvého přístupu aktivně pro své zákazníky monitorují nestandardní chování. V případě zjištění takové aktivity se odesílá přímé upozornění.

Nejde o placenou službu nebo službu poskytovanou pro určitou úroveň. Firmám všech velikostí se věnuje stejná pozornost. Cílem je okamžitě upozornit na zjištěné potenciální hrozby, včetně ransomwaru, a pomoct s odpovídajícími kroky ochrany organizace.

Kromě zavedení uvedených vrstev ochrany je důležité vytvořit efektivní plán detekce a reakce na incidenty. Vytvoření plánu však nestačí. Zdravotnická pracoviště musí být připravena na efektivní provedení plánu během skutečného útoku, aby minimalizovala škody a zajistila rychlé zotavení.

A konečně nedílnou součást robustní struktury reakcí na incidenty tvoří funkce nepřetržitého monitorování a detekce v reálném čase, které zajišťují okamžité odhalení a řešení potenciálních hrozeb.

Ministerstvo zdravotnictví a sociální péče USA (Department of Health and Human Services) publikovalo přímo pro zdravotnictví dobrovolné cíle výkonu kybernetické bezpečnosti (Cybersecurity Performance Goals, CPG), aby zdravotnickým zařízením usnadnilo určit priority zavádění postupů kybernetické bezpečnosti s vysokým dopadem. V těchto cílech najdete další informace o kybernetické odolnosti ve zdravotnictví.

Cíle CPG byly vytvořeny prostřednictvím procesu spolupráce v rámci veřejného a soukromého partnerství na základě standardních oborových struktur, pokynů, osvědčených postupů a strategií kybernetické bezpečnosti a tvoří soubor procedur kybernetické bezpečnosti, pomocí kterých můžou zdravotnická pracoviště posílit připravenost na kybernetické útoky, zlepšit svou odolnost a ochránit zdravotní údaje a bezpečnost pacientů.

Sestavení týmu pracovníků zaměřených především na zabezpečení vyžaduje nepřetržitou mezioborovou spolupráci. Je důležité rozštěpit informační sila mezi týmy zabezpečení IT, vedoucí pracovníky nouzové správy a klinický personál tak, aby vznikly soudržné plány reakcí na incidenty. Bez spolupráce nemusí být zbývající část nemocnice odpovídajícím způsobem připravena k efektivní reakci během kybernetického incidentu.

Doktoři Dameff a Tully podtrhují význam spojení interních týmů, jako jsou doktoři, vedoucí pracovníci nouzové správy a personál týmu zabezpečení IT, které často pracují izolovaně. Spojení uvedených skupin za účelem návrhu a zavedení komplexních plánů reakcí na incidenty může během útoků zabránit chaosu v chodu daných zařízení.

Zdravotnická pracoviště by měla na regionální úrovni vytvářet partnerství, která jim umožní sdílet kapacitu a zdroje a zajistit nepřerušenou péči o pacienty i v případě, že některé nemocnice napadne ransomware. Tato forma kolektivní obrany současně usnadní zvládnutí návalu pacientů a rozdělí zátěž mezi různé poskytovatele zdravotní péče.

Kromě spolupráce na regionální úrovni hrají stěžejní úlohu národní a globální sítě sdílení informací. Centra ISAC (Information Sharing and Analysis Centers), jako je Health-ISAC, slouží jako platformy zdravotnických zařízení pro výměnu důležitých informací analýzy hrozeb. Errol Weiss, vedoucí pracovník pověřený zabezpečením v centru Health-ISAC, přirovnává tyto organizace k „virtuálním sousedským hlídkám“, v rámci kterých členské organizace rychle sdílí podrobnosti o útocích a fungujících technikách zmírnění následků. Takové sdílení informací pomáhá ostatním s přípravou na eliminaci podobných hrozeb a posiluje kolektivní obranu v širším měřítku.