Насколько здравоохранение готово к цифровым технологиям?

Каждый день специалисты по ИТ-безопасности, работающие в сфере здравоохранения, вынуждены решать две задачи, во многом противоречащие друг другу. С одной стороны, они должны обеспечивать работоспособность и информационную открытость «цифрового здравоохранения», а с другой — поддерживать надежный уровень защиты информации, устройств и сетей от утечек данных и прочих киберугроз.

Осложняется их задача тем, что многие медицинские работники, не слишком знакомые с кибербезопасностью, тем не менее используют информационные системы для работы с конфиденциальной информацией пациентов. К тому же в программном и аппаратном обеспечении постоянно обнаруживаются новые уязвимости, требующие немедленного устранения.

Высококвалифицированные и опытные медики редко бывают ко всему прочему еще и экспертами по ИТ-безопасности. #infosec #безопасность

Tweet

Растущая угроза

По данным Ponemon Institute, число кибератак на медицинские организации за последние пять лет удвоилось. В 2015 году 112 млн медицинских карт пациентов были украдены только в США, причем 78,8 млн из них утекли в результате только одной хакерской атаки на медицинскую страховую компанию Anthem Blue Cross. Не лучше дела обстоят и в Европе: в феврале 2016 года некоторые больницы в Германии пострадали от атак программ-вымогателей, что в ряде случаев даже привело к переносу срочных операций.

На сегодняшний день решения по обеспечению информационной безопасности зачастую принимаются на уровне отдельных клиник. На практике это чаще всего означает, что инвестиции в ИТ-безопасность будут минимальны. Однако, по всей видимости, в скором времени такой подход придется пересмотреть.

Медицинские учреждения и их ИБ-отделы должны будут привести свои информационные системы в соответствие с современными требованиями по кибербезопасности. И не просто «для галочки», чтобы пройти проверки контролирующих органов и избежать штрафов. В первую очередь это нужно для того, чтобы пациенты могли пользоваться всеми преимуществами передовой «цифровой медицины» без опасений, что их конфиденциальные данные попадут не в те руки.

(Дез)интегрированные ИТ-системы

В ИТ-инфраструктуре медицинских учреждений нередко встречаются уязвимости. Новые подходы, в частности облачные технологии, виртуальные среды и беспроводные сети, зачастую пытаются реализовать на устаревшем оборудовании. А критически важные системы продолжают работать на старых, отживших свой век операционных системах. И это может подвергнуть клинику риску случайной утечки, а иногда и вовсе дать киберпреступникам шанс добраться до хранилищ данных.

Персонал

Однако во многих медучреждениях самым слабым местом являются сотрудники. Высококвалифицированные и опытные медики редко бывают ко всему прочему еще и экспертами по ИТ-безопасности. Между тем практически все они хранят или пересылают сугубо конфиденциальные данные. А если работники не осознают степень риска и не знают правил ответственного и осторожного обращения с информацией, то даже самые эффективные меры ИТ-безопасности пойдут прахом.

Привлекательность медицины для киберпреступников

Учреждения, работающие в сфере здравоохранения, интересуют злоумышленников по целому ряду причин. Во-первых, существует черный рынок, на котором можно выгодно продать похищенные данные. Во-вторых, киберпреступники могут шантажировать пациентов при помощи конфиденциальных медицинских сведений или же требовать выкуп за неразглашение таких данных у клиник. В-третьих, злодеи могут внедрить в инфраструктуру компании программу-шифровальщик и вымогать деньги за ключ. Ну и в конце концов, преступники могут просто парализовать работу больницы или клиники, вмешавшись в работу их информационных систем. Наше исследование степени защищенности медицинских учреждений показало, что взломать их достаточно просто.

Как подготовиться к будущему

Существует ряд мер, которые медицинские учреждения могут принять, чтобы успешно противостоять постоянно растущему количеству угроз. Хорошая новость заключается в том, что многие из них уже входят в список «передовых практик».

В том числе внедрение многоуровневой системы безопасности, способной защитить все применяемые в инфраструктуре устройства (как новые, так и несколько устаревшие). Кроме того, подобная система должна отслеживать обновление программного обеспечения, обеспечивать шифрование всех данных и поддерживать качественную систему авторизации. Все это должно дополняться продуманными политиками безопасности, которые смогут обеспечивать отслеживание и учет конфиденциальных или личных данных, а также ограничивать доступ к ним.

Заключение

В ближайшие несколько лет темпы внедрения новых технологий в здравоохранении будут только нарастать. В то же время киберпреступники станут более профессиональными и изобретательными, а количество атак будет увеличиваться. Вполне вероятно, что через некоторое время здравоохранение будет вынуждено внедрить строгие централизованные правила обеспечения ИТ-безопасности. Однако имеет ли смысл ждать этого? Не лучше ли уже сегодня начать использовать современные средства защиты и гарантировать безопасность данных ваших пациентов и клиник?