Stack bezpieczeństwa dla ochrony zdrowia

kolejność priorytetów w placówce opieki zdrowotnej

Dostęp do systemów klinicznych jest krytyczny: MFA na kontach sięgających po dane pacjentów, zastąpione współdzielone loginy, szybko offboardowany rotujący personel. Ochrona danych pacjentów jest krytyczna: wiedza, gdzie żyją i dokąd płyną, szyfrowanie, przetestowane kopie zapasowe. Odporność i odzyskiwanie są wysokim priorytetem: przetestowane, izolowane kopie zapasowe i przećwiczony plan na incydent, bo ransomware to główne zagrożenie sektora. Obowiązki NIS2 są wysokim priorytetem: kontrola dostępu, MFA, obsługa incydentów, odpowiedzialność zarządu. Poczta i ludzie są wysokim priorytetem, bo phishing to sposób, w jaki zaczyna się większość ransomware w ochronie zdrowia. AI w opiece jest wysokim priorytetem i nowo przybyłym tematem, bo skrybowie AI i asystenci obsługują dziś dane pacjentów. Endpointy i urządzenia medyczne, w tym sprzęt współdzielony, przestarzały i podłączony do sieci, to poziom bazowy.

problem dostępu w realnych liczbach

Wzorzec, który pojawia się w przychodniach raz za razem, warto skonkretyzować, bo jest bardzo częsty i bardzo łatwy do naprawienia. W niedawnym audycie dostępów u średniej wielkości klienta z ochrony zdrowia środowisko trzymało 31 kont, z czego uwierzytelnianie wieloskładnikowe miały tylko 4, poniżej 13 procent. Współdzielone konto recepcji, z którego korzystało kilka osób, było też pełnym Global Administratorem, bez MFA. Pozostałe po kimś konto serwisowe też niosło uprawnienia Global Administratora. Nic z tego nie wzięło się z niedbalstwa. Wzięło się z ruchliwej placówki klinicznej, gdzie dostęp dodawano, żeby wszystko szło do przodu, i nikt nigdy nie wrócił, żeby po sobie posprzątać.

Tak naprawdę wygląda ryzyko w ochronie zdrowia: zwyczajny dostęp, którego nikt nie zamknął, siedzący w systemach, które akurat trzymają dokumentację pacjentów. Praca kliniczna oznacza wiele osób sięgających po te same systemy, lekarzy, pielęgniarki, personel zastępczy, recepcję, na współdzielonych urządzeniach i czasem współdzielonych loginach, przy wysokiej rotacji, co jest dokładnie przepisem na dostęp, który się rozrasta, i offboarding, który się wymyka. Wprowadzenie MFA na konta sięgające po dane pacjentów, zastąpienie współdzielonych loginów indywidualnymi tam, gdzie się da, i sprawienie, żeby offboarding faktycznie usuwał dostęp, to ruchy o najwyższej dostępnej wartości.

ochrona danych i zdolność ich odzyskania

Same dane pacjentów to klejnot koronny. To dane szczególnej kategorii w rozumieniu RODO, co oznacza surowsze zasady postępowania i poważniejsze konsekwencje wycieku, więc liczy się wiedza, gdzie żyją i dokąd płyną, szyfrowanie ich i kontrola tego, jak są udostępniane. Ale najpoważniej trzeba potraktować kopie zapasowe. Przetestowana, izolowana kopia zapasowa to jedyne, co stoi między atakiem ransomware a prawdziwym kryzysem w opiece, a ochrona zdrowia jest atakowana intensywnie właśnie dlatego, że takie zakłócenie jest tak kosztowne. Kopię zapasową, której nigdy nie odtworzono na próbę, należy zakładać, że nie zadziała, kiedy będzie potrzebna, bo to najczęstsze i najboleśniejsze odkrycie podczas prawdziwego incydentu.

nis2 nakłada się na pracę, którą już wykonujesz

Zdrowie to sektor kluczowy w rozumieniu NIS2, więc wielu dostawców wchodzi w zakres i dziedziczy obowiązki dotyczące kontroli dostępu, uwierzytelniania wieloskładnikowego, obsługi incydentów i odpowiedzialności zarządu. Uspokajająca część jest taka, że praca nad dostępem i odpornością opisana powyżej to większość tego, czego NIS2 wymaga po stronie technicznej, więc robienie jej dobrze to też większość zgodności. Jak w każdym z tych reżimów, trudniejsza połowa polega zwykle na uczynieniu kontroli widocznymi i udowodnionymi, nie tylko obecnymi.

drzwi phishingowe i AI, o którym nikt nie mówił

Większość ransomware w ochronie zdrowia zaczyna się od maila phishingowego, który klika przeciążony pracownik w ruchliwy dzień, więc filtrowanie poczty i lekki, praktyczny wysiłek edukacyjny dopasowany do realiów kliniki są warte tego małego wysiłku, bo stoją na początku łańcucha, który prowadzi do zakłócenia, którego dostawcy opieki obawiają się najbardziej.

Jest też nowszy obszar, który wkrada się po cichu. Klinicyści zaczęli używać skrybów AI i asystentów, które przyjmują informacje o pacjentach, a AI wchodzi w diagnostykę i triaż, co oznacza, że dane zdrowotne szczególnej kategorii mogą płynąć do narzędzi, których nikt nie zatwierdził. Wiedza, jakie AI jest w użyciu i jakich danych pacjentów dotyka, staje się realną częścią stacku ochrony zdrowia, nie sprawą na przyszłość.

urządzenia i reszta minimum

Współdzielone urządzenia kliniczne, przestarzałe systemy, których nie da się załatać, i podłączony do sieci sprzęt medyczny to osobne wyzwanie i wymagają kogoś, kto rozumie środowisko kliniczne. Solidna ochrona endpointów na wszystkich urządzeniach nadal jest poziomem bazowym, obok pracy nad pocztą i kopiami zapasowymi opisanej wyżej. Siedzą one nieco niżej niż warstwy dostępu i danych, bo w placówce opieki zdrowotnej najczęstsza i najbardziej szkodliwa ekspozycja leży w tym, kto może sięgnąć po systemy pacjenckie i czy dostawca może dalej działać, choć nadal mają znaczenie.

dostawca opieki czy health-tech

Kolejność powyżej pasuje wprost do dostawcy opieki. Firma, która buduje oprogramowanie dla tego sektora, przesuwa się w stronę stacku firmy software'owej: jej kod i dane pacjentów jej klientów to klejnoty koronne, a dostawcy, którym sprzedaje, zweryfikują ją dokładnie właśnie ze względu na te dane. Tak czy inaczej, dostęp do systemów trzymających dane zdrowotne to środek ciężkości.

od czego zacząć

Zacznij od zobaczenia, kto może sięgnąć po systemy trzymające dane pacjentów, bo tam żyje najczęstsza ekspozycja w ochronie zdrowia i pozostaje niewidoczna, dopóki ktoś jej nie zmapuje. Współdzielone konta, brakujące MFA, pracownicy, którzy odeszli i zachowali dostęp, wszystko to czeka gotowe do naprawienia, gdy tylko da się to zobaczyć.