Obnovený důraz FBI na sdílení informací o hrozbách
FBI žádá zdravotnické organizace, aby udělaly něco, čemu se mnohé z nich historicky vyhýbaly: otevřeně hovořily o kybernetických útocích, které zažily. Podle zpráv úřad naléhá na zdravotnické společnosti, aby sdílely, co vědí o hrozbách, s nimiž se setkaly, zatímco ransomwarové útoky na tento sektor pokračují stabilním tempem. Zpráva je přímočará. Když se nějaká nemocnice nebo klinika stane terčem ransomwarového gangu, taktiky, nástroje a indikátory kompromitace použité při tomto útoku by mohly pomoci dalším organizacím bránit se – ovšem pouze za předpokladu, že se tyto informace skutečně předají dál.
V kyberbezpečnostních kruzích nejde o novou myšlenku. Orgány činné v trestním řízení dlouhodobě tvrdí, že sdílení informací o hrozbách funguje jako systém včasného varování napříč celým odvětvím. Pokud nemocnice v jednom státě identifikuje phishingovou kampaň nebo konkrétní typ ransomwaru a tato informace se dostane k FBI a následně je distribuována dalším poskytovatelům zdravotní péče, může to zkrátit časové okno, které útočníci mají k využití stejné taktiky jinde. Obnovený důraz FBI na tuto problematiku naznačuje, že navzdory letitým varováním informace stále neproudí tak volně, jak by si vyšetřovatelé přáli.
Proč zdravotnické organizace mlčí
Stojí za to se redakčně zamyslet, proč by zdravotnické organizace vůbec mohly váhat se sdílením podrobností o útocích. Existují praktické důvody, které přesahují prostou neochotu. Nahlášení útoku může vyvolat regulační kontrolu, vyvolat otázky ze strany pacientů a partnerů a otevřít dveře soudním sporům. Nemocniční IT a právní týmy často postupují obezřetně a zvažují povinnost zveřejnění oproti reputačnímu riziku. V odvětví, které se již tak potýká s nedostatkem personálu a rozpočtů na kybernetickou bezpečnost, může podniknutí dalšího kroku – sestavení a sdílení podrobností o hrozbách s orgány činnými v trestním řízení nebo kolegy z oboru – jednoduše spadnout na konec seznamu priorit, zejména v bezprostředním chaosu reakce na probíhající narušení.
To vše neznamená, že by zdravotnické organizace jednaly ve zlé víře. Znamená to, že motivace kolem zveřejňování jsou komplikované a výzva FBI je v podstatě pokusem změnit tuto kalkulaci tím, že argumentuje, že sdílené informace prospívají všem, včetně organizace, která je sdílí. Tato dynamika není jedinečná pro nemocnice. Provozovatelé kritické infrastruktury čelí podobnému napětí, jak bylo vidět, když CISA varovala před nárůstem útoků na PLC vodohospodářských zařízení, tedy v dalším sektoru, kde je včasné sdílení informací mezi provozovateli a federálními agenturami považováno za první linii obrany, nikoli za dodatečný krok.
Cena mlčení pro pacienty a spotřebitele
Když zdravotnické organizace mlčí o kybernetických hrozbách, kterým čelí, riziko nakonec nesou pacienti. Zdravotní záznamy obsahují jedny z nejcitlivějších osobních údajů, jaké existují – od diagnóz a historie léčby po informace o pojištění a fakturaci. Opožděné oznámení o narušení nebo nedostatek sdílených informací, které mohly zabránit druhému útoku, se přímo promítá do většího počtu odhalených záznamů a více lidí, kteří zůstávají v nejistotě ohledně svých vlastních dat.
Tento vzorec pomalého nebo neúplného zveřejňování se neomezuje jen na zdravotnictví. Objevuje se vždy, když organizace zvažují transparentnost oproti krátkodobým reputačním obavám, jak je vidět na případech, jako je skupinou Handala proklamované narušení vládních agentur SAE, kde se rozsah narušení dostává na veřejnost spíše prostřednictvím vlastních tvrzení útočníka než proaktivním zveřejněním. Samostatně průzkum společnosti Proofpoint zjistil, že organizace, které platí výkupné, jsou často terčem útoků znovu, což je připomínkou, že tiché a reaktivní řešení ransomwarových incidentů málokdy odstraní základní zranitelnost, ať už je výkupné zaplaceno, nebo ne.
Co to znamená pro vás
Pokud jste pacientem nějakého poskytovatele zdravotní péče, pravděpodobně máte jen omezenou viditelnost do toho, jak dobře tato organizace interně sdílí informace o hrozbách nebo jak zvládá ransomwarové incidenty. Stále však existují kroky, které můžete ovlivnit. Ptejte se svých poskytovatelů zdravotní péče na jejich zásady zabezpečení dat a oznamování narušení. Věnujte pozornost oznámením o narušení, když přijdou, a reagujte na ně rychle, místo abyste je odkládali. Zvažte používání silných a jedinečných hesel pro pacientské portály a povolení vícefaktorové autentizace všude, kde je nabízena. Šifrování dat jak při přenosu, tak v klidu spolu s nástroji pro bezpečný vzdálený přístup, jako jsou VPN pro zdravotnický personál pracující mimo tradiční perimetr sítě, hraje roli při snižování útočné plochy, kterou ransomwarové skupiny v první řadě zneužívají.
Praktické kroky
Výzva FBI, aby zdravotnické organizace sdílely informace o kybernetických hrozbách, poukazuje na strukturální mezeru, která se dotýká každého, kdo je napojen na zdravotnický systém, nejen IT oddělení. Jak ransomwarové útoky nadále cílí na nemocnice a kliniky, rychlejší a otevřenější komunikace o hrozbách by mohla v budoucnu znamenat méně úspěšných útoků. Mezitím se pacienti mohou chránit tím, že budou pozorně sledovat oznámení o narušení, používat silnou autentizaci na všech lékařských portálech a klást poskytovatelům přímé otázky ohledně jejich kyberbezpečnostních praktik. Sdílení informací o hrozbách sice může být politickou debatou probíhající na institucionální úrovni, ale jeho reálný dopad dopadá přímo na lidi, jejichž data jsou v sázce.
