Pięć największych wyzwań w zakresie bezpieczeństwa opieki zdrowotnej

Telemedycyna, wprowadzenie elektronicznej dokumentacji medycznej czy migracja do chmury publicznej to trendy, które zmieniają sektor opieki zdrowotnej. Jednak problem polega na tym, że to wszystko dzieje się przy niesprzyjających okolicznościach - trwającej od kilkunastu miesięcy pandemii i wzmożonych atakach przeprowadzanych przez hakerów. Jak donosi HIPAA Journal 2020 był najgorszym rokiem w historii dla służby zdrowia pod względem naruszeń danych. W samych tylko Stanach Zjednoczonych odnotowano 642 zgłoszenia naruszeń danych, dla porównania w 2018 roku było ich 368. Incydenty mające miejsce w ubiegłym roku doprowadziły do wycieku około 300 tysięcy rekordów. 

Z podobnymi trudnościami borykają się placówki medyczne na całym świecie, także w Polsce. Zaistniała sytuacja zmusza działy IT do bardziej zdecydowanych działań w zakresie zabezpieczania danych przechowywanych przez szpitale, przychodnie czy uczelnie medyczne. Tym bardziej, że informacje dotyczące zdrowia zalicza się do tzw. danych wrażliwych i są łakomym kąskiem dla cyberprzestępców - mówi Mariusz Politowicz z firmy Marken, dystrybutora rozwiązań Bitdefender w Polsce.

Specjaliści z firmy Bitdefender przedstawili pięć największych wyzwań, z którymi muszą się zmierzyć działy IT, aby powstrzymać cyberprzestępców.

1. Spłacanie długu technologicznego

Dług technologiczny, czyli świadome bądź nieświadome zaniedbania w aktualizowaniu i rozwoju systemów informatycznych, występuje we wszystkich branżach, w tym również medycznej. Placówki zdrowia bardzo często korzystają z przestarzałych systemów informatycznych, niestandardowego oprogramowania czy nieelastycznych systemów pamięci masowych, co utrudnia rozwój. Organizacje opieki zdrowotnej powinny wygospodarować czas i środki finansowe na zmniejszenie zadłużenia technologicznego w zakresie kodowania, wykorzystania platform i starszych technologii. Czasami systemy i aplikacje wymagają jedynie modernizacji. Ale w niektórych przypadkach trzeba dokonać całkowitej wymiany i pożegnać się z przestarzałym oprogramowaniem, serwerami czy komputerami. Wybranie odpowiedniego scenariusza zależy od sytuacji w jakiej znajduje się placówka medyczna, jej priorytetów oraz stosu technologicznego.

2. Przegląd pod kątem bezpieczeństwa urządzeń medycznych (w tym IoT)

Medyczne urządzenia IoT zmieniają opiekę zdrowotną. Systemy zdalnego monitorowania i systemy mobilne zmniejszają liczbę ponownych hospitalizacji i pomagają skuteczniej radzić sobie z chorobami przewlekłymi, takimi jak choroby serca, nadciśnienie i cukrzyca. Jak w przypadku większości rzeczy, korzyści wiążą się z ryzykiem. Tego typu urządzenia mogą być atakowane, manipulowane i wykorzystywane jako kanały do ​​kradzieży danych. Branża medyczna powinna wymagać od producentów, aby projektowali sprzęt w taki sposób, aby był bezpieczny po wyjęciu z pudełka, a także zapewniać jego cykliczną aktualizację. Dostawcy są zobowiązani monitorować urządzenia, łatać luki w zabezpieczeniach i reagować na pojawiające się naruszenia.

3. Wysoka wartość danych i systemów medycznych

Dane dotyczące zdrowia pacjentów stają się często celem przestępców, ponieważ są bardzo cenne. Za prawo jazdy trzeba zapłacić w Darknecie 1 USD,  a dokumentację medyczną nawet do 1000 USD.  Nielegalny handel danymi to nie jedyny sposób w jaki cyberprzestępcy wyłudzają pieniądze. Inną metodą jest przeprowadzanie ataków ransomware. Oprócz podejmowania kroków niezbędnych do ochrony przed tym złośliwym oprogramowaniem, należy nadać priorytet danym i odpowiednio je zabezpieczyć.

4. Ciągłe zabezpieczanie złożonych, zmodernizowanych środowisk.

Technologia dla przedsiębiorstw opieki zdrowotnej nigdy nie była bardziej złożona. Oprócz wzmagania się z popularnymi systemami EHR/EMR, oprogramowaniami do zarządzania praktyką medyczną czy z systemami do zarządzania danymi pacjentów, organizacje opieki zdrowotnej zmagają się przede wszystkim ze starszym sprzętem, starzejącymi się systemami operacyjnymi i sieciami. Zarządzanie archaicznymi rozwiązaniami przy jednoczesnej ich integracji z nowoczesnymi systemami niesie ze sobą poważne konsekwencje dla bezpieczeństwa. Dlatego trzeba podjąć działania mające na celu zabezpieczenie różnych środowisk informatycznych.

5. Zwiększanie kompetencji pracowników służby zdrowia w zakresie cyberbezpieczeństwa.

Jak wynika z badań przeprowadzonych przez ISACA i HCL Technologies aż 61 proc. respondentów wywodzących się z sektora służby zdrowia uważa, że działy IT zatrudniają za mało pracowników ds. cyberbezpieczeństwa, a 55 proc. posiada wolne stanowiska dla tej grupy specjalistów. Niestety, problem polega na tym, że nawet przy dużych staraniach trudno będzie znaleźć odpowiednich fachowców. Jednym ze sposobów na rozwiązanie tego problemu jest skorzystanie z usług firm zewnętrznych. Placówki służby zdrowia coraz częściej zwracają się do usługodawców o zarządzanie procesami związanymi z wykrywaniem zagrożeń, a także monitorowanie punktów końcowych, sieci oraz środowisk chmurowych.

Źródło: marken.com.pl; bitdefender.pl