Ο Αντιπρόεδρος της BlueVoyant Προειδοποιεί ότι η Αδύναμη Διακυβέρνηση Δεδομένων Τροφοδοτεί το Ransomware

Γιατί τα Δεδομένα Υγειονομικής Περίθαλψης Αποτελούν Πρωταρχικό Στόχο Ransomware

Οι οργανισμοί υγειονομικής περίθαλψης διαθέτουν μερικά από τα πιο πολύτιμα δεδομένα που μπορούν να κλέψουν οι εγκληματίες: ιατρικά ιστορικά, στοιχεία ασφάλισης, αριθμούς κοινωνικής ασφάλισης και αρχεία χρέωσης που μπορούν να μεταπωληθούν ή να αξιοποιηθούν καταχρηστικά για χρόνια. Η Lorri Janssen-Anessi, Αντιπρόεδρος Παγκόσμιων Επιχειρήσεων Κινδύνου στη BlueVoyant, υποστηρίζει ότι οι άμυνες κατά του ransomware μέσω διακυβέρνησης δεδομένων στην υγειονομική περίθαλψη πρέπει να μετακινηθούν από δευτερεύουσα σκέψη σε βασική επιχειρησιακή προτεραιότητα, υποστηρίζοντας ότι ο τρόπος με τον οποίο ένας οργανισμός διαχειρίζεται τα δεδομένα του καθορίζει εάν μια επίθεση γίνεται μια μικρή αναστάτωση ή μια καταστροφική παραβίαση.

Τα νοσοκομεία και οι κλινικές αποτελούν ελκυστικούς στόχους για έναν απλό λόγο: δεν μπορούν να αντέξουν οικονομικά τον χρόνο διακοπής λειτουργίας. Όταν το ransomware κλειδώνει τα αρχεία ασθενών ή τα συστήματα προγραμματισμού, η πίεση να πληρωθούν λύτρα και να αποκατασταθεί γρήγορα η λειτουργία είναι τεράστια, και αυτός ο επείγων χαρακτήρας είναι ακριβώς αυτό στο οποίο βασίζονται οι επιτιθέμενοι. Παλαιά συστήματα πληροφορικής, κατακερματισμένα δίκτυα από συγχωνεύσεις και εξαγορές, και ένα συνονθύλευμα προμηθευτών με πρόσβαση σε ευαίσθητα συστήματα διευρύνουν όλα την επιφάνεια επίθεσης. Το αποτέλεσμα είναι ένας κλάδος όπου μια μόνο επιτυχημένη εισβολή μπορεί να δημιουργήσει κυματισμούς στον προγραμματισμό, τη χρέωση και την άμεση φροντίδα των ασθενών ταυτόχρονα.

Τι Σημαίνει Πραγματικά η Διακυβέρνηση Δεδομένων για την Ιδιωτικότητα των Ασθενών

Η διακυβέρνηση δεδομένων δεν είναι απλώς ένα πλαίσιο συμμόρφωσης. Αναφέρεται στις πολιτικές, τις διαδικασίες και τις δομές λογοδοσίας που καθορίζουν ποιος μπορεί να έχει πρόσβαση στα δεδομένα, πώς αυτά ταξινομούνται, πού αποθηκεύονται και για πόσο διάστημα διατηρούνται. Για ένα νοσοκομείο, αυτό σημαίνει να γνωρίζει ακριβώς ποια συστήματα περιέχουν προστατευμένες πληροφορίες υγείας, ποιος έχει νόμιμο λόγο να αγγίξει αυτά τα δεδομένα, και να διαθέτει σαφές αρχείο αυτής της πρόσβασης ανά πάσα στιγμή.

Χωρίς ισχυρή διακυβέρνηση, οι οργανισμοί συχνά δεν ανακαλύπτουν πόσα ευαίσθητα δεδομένα εκτέθηκαν παρά πολύ καιρό μετά την εκδήλωση ενός περιστατικού, επειδή δεν είχαν ποτέ σαφή χάρτη για το πού βρίσκονταν αυτά τα δεδομένα εξαρχής. Η καλή διακυβέρνηση περιορίζει αυτή την αβεβαιότητα. Σημαίνει ότι ένας οργανισμός μπορεί να απαντήσει, γρήγορα και με σιγουριά, τι επηρεάστηκε κατά τη διάρκεια ενός περιστατικού και ποιος πρέπει να ειδοποιηθεί. Αυτή η σαφήνεια έχει τεράστια σημασία για τους ασθενείς, επειδή επηρεάζει άμεσα το πόσο γρήγορα μαθαίνουν εάν οι δικές τους πληροφορίες ήταν μέρος μιας παραβίασης.

Πώς η Κρυπτογράφηση και οι Έλεγχοι Πρόσβασης Περιορίζουν τη Ζημιά από Εξαγωγή Δεδομένων

Ακόμη και το καλύτερο πλαίσιο διακυβέρνησης δεν μπορεί να αποτρέψει κάθε απόπειρα εισβολής. Αυτό που μπορεί να κάνει είναι να περιορίσει την ακτίνα έκρηξης μόλις οι επιτιθέμενοι περάσουν την περίμετρο. Η κρυπτογράφηση διασφαλίζει ότι τα κλεμμένα δεδομένα είναι πολύ λιγότερο χρήσιμα για τους εγκληματίες εάν δεν μπορούν να διαβαστούν χωρίς τα σωστά κλειδιά. Οι έλεγχοι πρόσβασης, ιδιαίτερα η αρχή του ελάχιστου προνομίου, περιορίζουν το πόσο μακριά μπορεί να κινηθεί πλευρικά ένας επιτιθέμενος μόλις βρεθεί μέσα σε ένα δίκτυο, καθώς η παραβίαση των διαπιστευτηρίων ενός υπαλλήλου δεν θα πρέπει να παρέχει πρόσβαση σε ολόκληρη τη βάση δεδομένων ασθενών.

Αυτή η πολυεπίπεδη προσέγγιση έχει σημασία επειδή οι σύγχρονες επιχειρήσεις ransomware συνδυάζουν όλο και περισσότερο την κρυπτογράφηση με την κλοπή δεδομένων, απειλώντας να δημοσιεύσουν κλεμμένα αρχεία εκτός εάν πληρωθούν λύτρα. Πρόσφατη ανάλυση του κλάδου έχει ποσοτικοποιήσει πόσο συχνή έχει γίνει αυτή η κλιμάκωση. Μια πρόσφατη έκθεση του κλάδου διαπίστωσε ότι το 17% των κυβερνοεπιθέσεων κατέληξαν σε πραγματική κλοπή δεδομένων, μια υπενθύμιση ότι οι αποτυχίες διακυβέρνησης δεν είναι απλώς θεωρητικοί κίνδυνοι. Όταν μια εισβολή μετατρέπεται σε εξαγωγή δεδομένων, η ισχυρή κρυπτογράφηση και οι αυστηρά περιορισμένες προσβάσεις είναι συχνά η διαφορά μεταξύ ενός περιορισμένου περιστατικού και μιας πλήρους έκθεσης αρχείων ασθενών.

Τι Μπορούν να Κάνουν οι Ασθενείς Όταν Αποτυγχάνουν οι Άμυνες του Παρόχου τους

Οι ασθενείς έχουν περιορισμένη ορατότητα στο πώς ο πάροχος υγειονομικής περίθαλψης διαχειρίζεται εσωτερικά τα δεδομένα, και αυτός είναι ακριβώς ο λόγος για τον οποίο η συζήτηση περί διακυβέρνησης έχει σημασία για αυτούς ακόμη κι αν γίνεται στα παρασκήνια. Το να υποθέτει κανείς ότι μόνο οι υποσχέσεις ενός παρόχου εγγυώνται ασφάλεια είναι ένα ριψοκίνδυνο στοίχημα. Αντί αυτού, οι ασθενείς θα πρέπει να αντιμετωπίζουν τη δική τους επαγρύπνηση ως ένα συμπληρωματικό επίπεδο προστασίας.

Αυτό σημαίνει να δίνουν προσοχή στις επιστολές ειδοποίησης παραβίασης αντί να τις αγνοούν, να παρακολουθούν τις καταστάσεις επεξήγησης παροχών για υπηρεσίες που δεν έλαβαν ποτέ, και να παγώνουν την πίστωσή τους εάν υπάρχει υποψία ιατρικής κλοπής ταυτότητας. Οι ασθενείς μπορούν επίσης να ρωτήσουν απευθείας τους παρόχους για τις πολιτικές διατήρησης δεδομένων τους και εάν τα παλαιότερα αρχεία διαγράφονται ποτέ, καθώς δεδομένα που δεν χρειάζεται πλέον να υπάρχουν δεν μπορούν να κλαπούν σε μελλοντική παραβίαση.

Τι Σημαίνει Αυτό για Εσάς

Οι πρακτικές διακυβέρνησης που συμβαίνουν στα τμήματα πληροφορικής των νοσοκομείων έχουν άμεση σύνδεση με τα αποτελέσματα των ασθενών, τόσο κλινικά όσο και οικονομικά. Οι ισχυρές άμυνες κατά του ransomware μέσω διακυβέρνησης δεδομένων στην υγειονομική περίθαλψη μειώνουν τις πιθανότητες μια εισβολή να εξελιχθεί σε μαζικό γεγονός κλοπής δεδομένων, και επιταχύνουν την ανταπόκριση όταν κάτι πάει στραβά. Για τους ασθενείς, το μάθημα δεν είναι να πανικοβάλλονται κάθε φορά που ένας τίτλος αναφέρει παραβίαση στην υγειονομική περίθαλψη, αλλά να παραμένουν προνοητικοί: να ξέρουν πώς να διαβάζουν μια ειδοποίηση παραβίασης, να κατανοούν τα δικαιώματά τους σχετικά με την ιατρική κλοπή ταυτότητας, και να αντιμετωπίζουν τις πρακτικές δεδομένων του παρόχου τους ως κάτι για το οποίο αξίζει να ρωτούν.

Βασικά Συμπεράσματα

• Η υγειονομική περίθαλψη παραμένει κορυφαίος στόχος ransomware επειδή η επιχειρησιακή διαταραχή δημιουργεί πίεση για γρήγορη πληρωμή.
• Η διακυβέρνηση δεδομένων, όχι μόνο τα τεχνικά εργαλεία, καθορίζει πόσο καλά μπορεί ένας οργανισμός να ανταποκριθεί και να περιορίσει ένα περιστατικό.
• Η κρυπτογράφηση και οι έλεγχοι πρόσβασης ελάχιστου προνομίου περιορίζουν πόσα κλεμμένα δεδομένα μπορούν πραγματικά να χρησιμοποιήσουν οι επιτιθέμενοι.
• Οι ασθενείς θα πρέπει να παρακολουθούν στενά τις ειδοποιήσεις παραβίασης και τις καταστάσεις χρέωσης, καθώς τα κενά διακυβέρνησης αλλού μπορούν να εκθέσουν προσωπικά αρχεία.

Το να παραμένει κανείς ενημερωμένος για το πώς οι οργανισμοί υγειονομικής περίθαλψης διαχειρίζονται και προστατεύουν τα δεδομένα είναι ένας από τους απλούστερους τρόπους με τους οποίους οι ασθενείς μπορούν να παραμείνουν μπροστά από κινδύνους που δεν μπορούν να ελέγξουν άμεσα.