Cyberbezpieczeństwo a sektor ochrony zdrowia

Wbrew powszechnej opinii, że głównym celem cyberataków są i mogą być zazwyczaj sektory: finansowy, energetyczny i transportowy, ataki hakerów mogą obejmować również dane medyczne pacjentów. Zaatakowanie systemów szpitalnych może mieć poważne konsekwencje w postaci paraliżu działania szpitali czy konieczności zapłacenia żądanego okupu.

Cały problem wiąże się z postępującą informatyzacją usług medycznych. Większość działań diagnostycznych oraz prowadzenie dokumentacji będzie w formie elektronicznej. Zjawisko to wymusza jednocześnie konieczność dostosowania bezpieczeństwa informatycznego.

Sam schemat cyberataku może być podobny w wielu przypadkach. Wysłana jest seria e-maili z załącznikiem lub linkiem, po otwarciu których na komputerach instalowane jest oprogramowanie skanujące bazę danych i blokujące dostęp do nich placówce. Następnie dane przekazywane są do podmiotu atakującego. Wobec braku dostępu do danych placówka medyczna zmuszona jest do zawieszenia funkcjonowania i ewentualnego zapłacenia okupu hakerom.

Pomimo narastającego problemu, wśród samego personelu dalej obserwuje się niską świadomość co do samych cyberzagrożeń. Kwestia nabiera dodatkowo znaczenia, biorąc pod uwagę straty finansowe, które niosą ataki (6 bilionów dolarów) oraz ich ilość (w samych Stanach Zjednoczonych w roku 2015 r. zidentyfikowano ich 111 milionów).

Poza współpracą na szczeblu międzynarodowym oraz działaniami krajowymi, potrzebne są odpowiednie regulacje prawne, które stworzą fundament do walki z cyberzagrożeniami. Do aktów takich zalicza się dyrektywę Parlamentu Europejskiego i Rady 2016/1148 (dyrektywa ws. środków zapewniających wysoki poziom bezpieczeństwa sieci i informacji) – dyrektywa NIS oraz rozporządzenie 2016/679 (ogólne rozporządzenie o ochronie danych).

Dyrektywa NIS obliguje państwa do wdrożenia krajowych strategii przeciwko cyberzagrożeniom, identyfikacji kluczowej infrastruktury oraz opracowanie planów reagowania na wypadek ataków. Z kolei ogólne rozporządzenie tworzy ramy dla administratorów i podmiotów przetwarzających w dziedzinie przechowywania danych osobowych.

Oprócz powyższych regulacji istnieją standardy i dobre praktyki określone jako norma NIST 800-61. Formułuje ona sześć etapów w zapobieganiu atakom:

  1. Przygotowanie (zidentyfikowanie słabych stron zabezpieczenia oraz wyznaczenie osób odpowiedzialnych za cyberbezpieczeństwo);
  2. Identyfikacja (wykrycie ataku oraz jego rodzaju i skali);
  3. Szybka i doraźna odpowiedź na incydent;
  4. Eliminacja (zmniejszenie ryzyka wystąpienia ataków);
  5. Powrót do funkcjonowania (w praktyce oznacza to odzyskanie dostępu do danych oraz wykonanie kopii);
  6. Usprawnienie działania systemu (sporządzenie raportu oraz rekomendacji na przyszłość).

 

Źródło: http://www.rp.pl/Zadania/302079937-Dane-osobowe-Cyberbezpieczenstwo-a-sektor-ochrony-zdrowia.html#ap-2

 

About Redakcja 320 Articles
Omni Modo to po łacinie „na każdy sposób”. Nazwa naszej firmy to nie przypadek. Na każdy sposób chcemy bowiem pokazywać klientom nasze doświadczenie, profesjonalizm i sukcesy w dziedzinie ochrony danych osobowych.