Nemocnice na rázcestí: Kyberbezpečnosť je životne dôležitá

KOMENTÁR V MÉDIÁCH

V poslednej dobe pribúda počet kybernetických útokov na zdravotnícke zariadenia. Väčšinou nevedia, ako im čeliť, ale budú sa to musieť naučiť. Nulové riziko útoku neexistuje a nikdy existovať nebude. Rizikám sa dá účinne predchádzať, musí sa ale od základov zmeniť prístup manažmentu nemocníc.

Vo večnom boji s počítačovou kriminalitou môže zdravot-níckym zariadeniam pomôcť aj štát. V decembri 2019 počítačový vírus paralyzoval benešovskú nemocnicu.

Po napadnutí fungovala týždne v obmedzenej prevádzke. Zrušené boli plánované operácie, zatvorili väčšinu oddelení.

V Čechách nejde o prvý prípad. Cieľom útoku boli v oblasti zdravotníctva aj ďalšie zariadenia (napríklad liečebňa v Janove na Rokycansku). Niektorí už zaplatili útočníkom aj výkupné za sprístupnenie dát.

Podobnú skúsenosť majú aj na Slovensku. Pred dvomi rokmi zasiahol vírus WannaCry viac ako 200 000 cieľov približne v 150 krajinách. Nevyhla sa mu ani nemocnica v Nitre, ktorá mala niekoľko dní vypnuté počítače a fungovala vo veľmi obmedzenom režime. Minulý rok v novembri napadli hackeri niekoľko nemocníc v americkej Alabame a Austrálii. Lekári prestali prijímať neakútnych pacientov, zrušili niektoré výkony.

Lákavý cieľ 

Posledný útok v Čechách znovu rozvíril debatu o kybernetickej bezpečnosti a ukázal, že ochrana zdravotníckych zariadení je nedostatočná.

„Pre nemocnice nikdy nebola oblasť IT prioritou. Aj keď mali vždy nejaké podporné oddelenie, ktoré dohliadalo na to, aby fungovala konektivita a systémy dôležité pre chod zariadenia, nikto koncepčne neriešil kybernetickú bezpečnosť.“

STANISLAV SMOLÁR
vedúci oddelenia Kybernetickej bezpečnosti, Soitron

Nemocnice sú pritom pre vydieračov lákavým cieľom. Už v minulosti si overili, že sú nedostatočne chránené, navyše spravujú citlivé osobné dáta a útoky môžu ohroziť zdravie či životy ľudí. Útočníci môžu žiadať vysoké výkupné. 

„Ransomware útoky pribúdajú rýchlym tempom. A všetci odborníci bez výnimky sa zhodujú na tom, že bezpečnostné riziká budú pribúdať,“ dopĺňa Stanislav Smolár.

Nemocnice cyber security neriešia

Podľa odborníkov je problémom nízke povedomie o kybebezpečnosti, ktorá sa týka celého personálu nemocnice. Navyše v zdravotníctve zúfalo chýbajú IT experti. Vedenie nemocníc si neuvedomuje všadeprítomné nebezpečenstvo, preto sa (zatiaľ) ochranou pred kyberútokmi nezaoberá.

Jeden z najrozšírenejších mýtov znie: nás sa to netýka. Svojmu IT oddeleniu veríme, čiže se nemôže nič stať. Pokiaľ manažment nevyburcuje ani legislatíva, ktorá existuje aj v ČR a nariaďuje nemocniciam riešiť kybernetickú bezpečnosť, musí, bohužiaľ, prísť kritická masa udalostí, ktorá ukáže, že ohrozuje každého. V tom momente sa z toho stane zásadná téma.

V rozpočtoch nemocníc však väčšinou nie je dostatok peňazí na IT bezpečnosť. Jedine, ak ju manažment určí ako zásadnú prioritu, dajú sa hľadať účinné riešenia.  

Medicínske vybavenie a súbory s dátami pacientov sú pre zdravotnícke zariadenia najdôležitejšie. Strate dát a paralýze nemocnice sa dá čeliť oddelením životne dôležitých systémov od používateľských sietí. Ransomware totiž väčšinou útočí cez koncové počítače, z ktorých sa nákaza šíri. 

Dobrým riešením je najať si externého experta na cyber security. „Kontrola dokáže odhalit, či nemáte nejaký zraniteľný softvér. To sú veci, ktoré si môžu nemocnice obstarať pomerne rýchlo a lacno. Je možné skontrolovať aj celú internú infraštruktúru nemocnice a analyzovať ju z hľadiska bezpečnosti,“ uvádza Stanislav Smolár. 

Ako môže pomôcť štát?

„Nemocnice spravujú vzácne osobné dáta a za ich únik môžu čeliť žalobám, náhrade škôd dotknutých osôb, a predovšetkým zlej reputácii, ktorá môže byť až likvidačná. Po útoku často trvá niekoľko týždňov, než sa podarí obnoviť kritické systémy. V takom prípade potrebujete IT špecialistu, aby vám ukázal, ako takej katastrofe čeliť.“

MARTIN LOHNERT
riaditeľ dohľadového centra kybernetickej bezpečnosti Void SOC

Subjektom v zdravotníctve by mohol pomôcť aj štát. Rada pre kybernetickú bezpečnosť, ktorá je poradným orgánom predsedu vlády pre túto oblasť, ale zatiaľ nie je príliš aktívna. Za svoje záujmy nelobujú ani Asociácie nemocníc ČR, Združenie súkromných nemocníc ČR ani ďalšie organizácie združujúce zdravotnícke zariadenia. 

Ministerstvo zdravotníctva by podľa expertov mohlo vytvoriť akýsi manuál pre nemocnice, ako jednotne postupovať pri zaistení kyberbezpečnosti. 

„Nemocnice fungujú do značnej miery na podobnom princípe. Pokiaľ by existoval manuál, ako má ideálne vyzerať bezpečnostná architektúra nemocníc, aké odporúčania by mala dodržiavať, bol by to krok pozitívnym smerom. Máloktorá zdravotnícka organizácia má skúsného IT architekta, ktorý by dokázal takú infraštruktúru navrhnúť,“ upozorňuje Martin Lohnert. 

Nemocnica by tak nemusela vytvárať bezpečnostnú architektúru sama, prípadne so súkromnými externými dodávateľmi. „V konečnom dôsledku riešenie aj tak zostane na organizácii. Musia tam byť uvedomelí ľudia, ktorí vnímajú, že to riziko je dnes reálne a obrovské,“ dodáva Lohnert.

Skokový nárast

Polícia monitoruje trestné činy v kyberpriestore od roku 2011, kedy bolo evidovaných asi 1500 útokov. Od tej doby narástol ich počet takmer päťnásobne, v roku 2018 zaznamenala polícia viac ako 7000 útokov.  Štatistika pritom neukazuje skutočný počet prípadov, ale len trestných činov, ktoré boli kvalifikované.