Подновеният натиск на ФБР за споделяне на разузнаване за заплахи

ФБР моли здравните организации да направят нещо, което много от тях исторически са избягвали: да говорят открито за кибератаките, които са преживели. Според информации, бюрото настоява здравните компании да споделят какво знаят за заплахите, с които са се сблъскали, докато атаките с рансъмуер срещу сектора продължават с постоянен темп. Посланието е ясно. Когато една болница или клиника бъде ударена от група за рансъмуер, тактиките, инструментите и индикаторите за компрометиране, използвани в тази атака, биха могли да помогнат на други организации да се защитят, но само ако тази информация действително бъде предадена нататък.

Това не е нова идея в средите на киберсигурността. Правоохранителните агенции отдавна твърдят, че споделянето на разузнаване за заплахи действа като система за ранно предупреждение в даден отрасъл. Ако болница в един щат идентифицира фишинг кампания или конкретен вид рансъмуер и тази информация стигне до ФБР и бъде разпространена до други здравни доставчици, това може да стесни прозореца, който атакуващите имат, за да използват същата тактика другаде. Подновеният акцент на ФБР върху това показва, че въпреки години предупреждения, информацията все още не тече толкова свободно, колкото на разследващите им се иска.

Защо здравните организации мълчат

Струва си да се запитаме, редакционно, защо здравните организации изобщо биха се колебали да споделят подробности за атаките. Има практически причини, които надхвърлят простото нежелание. Докладването на атака може да привлече регулаторен надзор, да повдигне въпроси от пациенти и партньори и да отвори врата към съдебни спорове. Болничните IT и правни екипи често действат предпазливо, претегляйки задълженията за разкриване срещу репутационния риск. В отрасъл, който вече е под натиск по отношение на персонала и бюджета за киберсигурност, предприемането на допълнителната стъпка да съберат и споделят подробности за заплахите с правоохранителните органи или колеги от бранша може просто да падне по-надолу в списъка с приоритети, особено в непосредствения хаос на реагирането на активен пробив.

Нищо от това не означава, че здравните организации действат недобросъвестно. Означава, че стимулите около разкриването са сложни, а призивът на ФБР по същество е опит да промени тази сметка, като изтъкне, че споделеното разузнаване е от полза за всички, включително за организацията, която го споделя. Тази динамика не е уникална за болниците. Операторите на критична инфраструктура са изправени пред сходно напрежение, както се видя, когато CISA предупреди за ръст на атаките срещу PLC на водоснабдителни дружества – друг сектор, където навременното споделяне на информация между операторите и федералните агенции се третира като първа линия на защита, а не като закъсняла мисъл.

Цената на мълчанието за пациентите и потребителите

Когато здравните организации мълчат за киберзаплахите, пред които са изправени, хората, които в крайна сметка поемат риска, са пациентите. Медицинските досиета съдържат едни от най-чувствителните лични данни, които съществуват – от диагнози и история на лечението до застрахователна и фактурна информация. Забавеното уведомление за пробив или липсата на споделено разузнаване, което би могло да предотврати втора атака, се превръща директно в повече изложени на риск досиета и повече хора, оставени в неведение относно собствените си данни.

Този модел на бавно или непълно разкриване не се ограничава само до здравеопазването. Той се появява винаги, когато организации претеглят прозрачността срещу краткосрочни репутационни притеснения, както се случи в случаи като твърденията на групата Handala за пробив в правителствени агенции на ОАЕ, при които мащабът на пробива става публичен чрез собствените твърдения на атакуващите, а не чрез проактивно оповестяване. Отделно от това, проучване на Proofpoint установи, че организациите, които плащат исканията за откуп при рансъмуер, често биват атакувани отново – напомняне, че тихото, реактивно справяне с инциденти с рансъмуер рядко решава основната уязвимост, независимо дали е платен откуп.

Какво означава това за вас

Ако сте пациент на здравен доставчик, вероятно имате ограничена видимост за това доколко добре тази организация споделя разузнаване за заплахи или управлява инциденти с рансъмуер вътрешно. Но все пак има стъпки във ваш контрол. Попитайте вашия здравен доставчик за политиките му за сигурност на данните и уведомяване при пробиви. Обръщайте внимание на писмата за уведомяване за пробив, когато пристигнат, и действайте бързо, вместо да ги отлагате. Обмислете използването на силни, уникални пароли за пациентските портали и активиране на многофакторна автентикация навсякъде, където се предлага. Криптирането на данни както при пренос, така и в покой, заедно със сигурни инструменти за отдалечен достъп като VPN за здравния персонал, работещ извън традиционните мрежови периметри, играе роля за намаляване на атакуващата повърхност, която групите за рансъмуер използват на първо място.

Приложими изводи

Призивът на ФБР здравните организации да споделят разузнаване за киберзаплахи подчертава структурна празнина, която засяга всеки, свързан със здравната система, не само IT отделите. Тъй като атаките с рансъмуер продължават да вземат на прицел болници и клиники, по-бързата и по-отворена комуникация за заплахите може да означава по-малко успешни атаки в бъдеще. Междувременно, пациентите могат да се защитят, като следят внимателно уведомленията за пробиви, използват силна автентикация на всеки медицински портал и задават на доставчиците директни въпроси относно техните практики за киберсигурност. Споделянето на разузнаване за заплахи може да е разговор за политики, който се случва на институционално ниво, но неговото реално въздействие пада директно върху хората, чиито данни са заложени на карта.