Uusi mielipidekirjoitus MedPage Today -julkaisussa esittää kysymyksen, jota monet sairaalat mieluummin välttäisivät keskellä kriisiä: kenen pitäisi olla vastuussa, kun kiristysohjelma iskee? Kirjoittajan aloitus on suorasukainen. Jos vain sähköinen potilastietojärjestelmäsi (EMR) on kiristysohjelmahyökkäyksen kohteena, pidä itseäsi onnekkaana. Terveydenhuollon ulkopuolisille lukijoille kirjoitus on hyödyllinen ikkuna siihen, miten sairaalaan kohdistuva kiristysohjelmahyökkäys vaarantaa potilastiedot ja mitä yksilöt voivat realistisesti tehdä, kun heidän tietonsa ovat mahdollisesti paljastuneet.
Artikkelista saatavilla oleva ote on lyhyt, joten tämä kirjoitus pitäytyy siinä, mitä siinä sanotaan, sekä yleisissä, vakiintuneissa käytännön neuvoissa potilaille.
Miten sairaalaan kohdistuva kiristysohjelmahyökkäys leviää EMR:n ulkopuolelle
Monet kuvittelevat sairaalan kyberhyökkäyksen olevan lukittu potilastietojärjestelmä. MedPage Today -kirjoitus väittää, että todellisuus voi olla paljon laajempi. Joskus vahingot ulottuvat puhelinlinjoihin, sähköpostiin ja jopa kirjaimelliseen ovipääsyyn, kirjoitus toteaa.
Tällä on merkitystä, koska nykyaikaiset sairaalat ovat riippuvaisia yhteydessä olevista järjestelmistä lähes kaikessa. Kun viestintä ja fyysinen pääsy häiriintyvät kliinisten tietojen ohella, henkilökunta menettää perustyökalut, joita he käyttävät hoidon koordinointiin. Artikkelin kehystys antaa ymmärtää, että tällä tavoin lamautettu sairaala on valtavan paineen alla siihen mennessä, kun lunastusvaatimus saapuu.
Potilaille keskeinen johtopäätös on, että tapauksen vaikutukset eivät välttämättä rajoitu viivästyksiin. Samat järjestelmät, joissa säilytetään ajanvaraushistoriaa, vakuutustietoja ja yhteystietoja, voivat olla niitä, joihin hyökkääjät pääsevät ensin käsiksi.
Kaksinkertainen kiristys: miksi salauksen purkamisesta maksaminen ei suojaa potilastietoja
Kun sairaala on lamautettu, lunastusvaatimus saapuu, kirjoitus kertoo, ja usein kyseessä on kaksinkertainen kiristys. Sairaalaa painostetaan maksamaan kahdesti: kerran tietojensa salauksen purkamiseksi ja jälleen estääkseen hyökkääjiä julkaisemasta niitä.
Tämä on keskeinen kohta kaikille, joiden tiedot ovat sairaalan tietokannassa. Pääsyn palauttaminen järjestelmiin ja tietojen pitäminen yksityisinä ovat kaksi erillistä ongelmaa. Vaikka sairaala saisi tiedostonsa takaisin, kopiot ovat saattaneet jo poistua verkosta. Maksu ei tarjoa teknistä takeita siitä, että varastetut tiedot poistetaan, ja julkaisulla uhkaavat hyökkääjät ovat jo osoittaneet olevansa valmiita käyttämään painostusta liiketoimintamallina.
Olemme nähneet, miten tämä etenee muualla. Kattauksessamme siitä, miten Stormous-kiristysohjelma iski hollantilaiseen kirkkoverkkoon ja vuoti 10 Gt, ryhmä otti vastuun ja julkaisi varastettua materiaalia. Tapaus koski uskonnollista järjestöä eikä sairaalaa, mutta se havainnollistaa samaa kaavaa: kiristysohjelmaryhmät käyttävät tietojen vuotamista vipuvartena, ja seuraukset kantavat ne ihmiset, joiden tiedot ovat sisällä.
Kenen pitäisi johtaa torjuntaa, kun sairaalaan isketään
MedPage Today -kirjoituksen otsikko kehystää keskeisen väittelyn: kenen pitäisi hallita sairaalaan kohdistuvaa kyberhyökkäystä? Ote ei kerro kirjoittajan täyttä vastausta, joten emme laita sanoja hänen suuhunsa. Mutta kysymys itsessään viittaa todelliseen organisatoriseen haasteeseen.
Kiristysohjelmatapaus ei ole puhtaasti IT-ongelma. Se koskettaa potilasturvallisuutta, lakisääteisiä velvoitteita, viestintää, taloutta ja päätöstä siitä, ryhdytäänkö hyökkääjien kanssa minkäänlaiseen vuorovaikutukseen. Jos kliiniset johtajat, tekninen henkilökunta ja johto kukin olettavat jonkun muun ohjaavan, arvokasta aikaa menetetään. Komentoketjun selvittäminen ennen hyökkäystä sen aikana tekemisen sijaan on teema, joka kannattaa ottaa vakavasti.
Yleisön kannalta tässä on vähemmän kyse syyllisten etsimisestä ja enemmän siitä, että ymmärretään sairaalan valmistautumisen laadun voivan vaikuttaa siihen, kuinka paljon potilastietoja paljastuu ja kuinka nopeasti ihmisille kerrotaan.
Mitä tämä tarkoittaa sinulle
Et voi hallita sitä, miten sairaalasi puolustaa verkkoaan. Voit kuitenkin vähentää vahinkoja, jos tietosi ovat osa tietoturvaloukkausta. Potilastiedot sisältävät usein yksityiskohtia, joita on vaikea muuttaa, kuten syntymäaikoja, osoitteita ja vakuutustunnisteita, mikä tekee niistä arvokkaita petoksille ja kohdennetuille huijauksille.
Käytännön toimenpiteitä ovat:
- Lue ilmoitus huolellisesti. Jos palveluntarjoajasi lähettää tietoturvaloukkausilmoituksen, pane merkille, mitkä tietotyypit olivat vaarantuneet ja mitä suojapalveluita tarjotaan.
- Seuraa tilejäsi. Tarkista tiliotteet, vakuutuksen etuusselvitykset ja luottoraportit löytääksesi tapahtumia, joita et tunnista.
- Harkitse luottokieltoa. Se rajoittaa kenenkään kykyä avata uutta luottoa nimissäsi, ja sen voi peruuttaa tarvittaessa.
- Varo tietojenkalastelua. Hyökkääjät, joilla on vuotaneet yhteystiedot, voivat esiintyä sairaalanasi, vakuutusyhtiönäsi tai apteekkinasi. Älä klikkaa linkkejä tai soita numeroihin odottamattomissa viesteissä; ota yhteyttä organisaatioon tunnetun virallisen kanavan kautta.
- Käytä yksilöllisiä salasanoja ja monivaiheista tunnistautumista potilasportaaleissa ja sähköpostissa, jotta yksi paljastunut tunnistetieto ei avaa pääsyä muualle.
Keskeiset johtopäätökset
MedPage Today -mielipide muistuttaa, että sairaalaan kohdistuva kiristysohjelmahyökkäys voi ulottua paljon EMR:n ulkopuolelle ja että kaksinkertainen kiristys tarkoittaa potilastietojen voivan olla vaarassa vielä järjestelmien palauttamisen jälkeenkin. Sillä, kuka johtaa torjuntaa, on merkitystä, mutta yksilöillä on oma osuutensa, kun tietoturvaloukkauksesta ilmoitetaan.
Jos terveydenhuollon palveluntarjoajasi ilmoittaa tapauksesta, toimi varhain: seuraa tilejäsi, harkitse luottokiellon asettamista ja suhtaudu odottamattomiin viesteihin epäluuloisesti. Nähdäksesi, miten kiristysohjelmaryhmät julkaisevat varastettuja tietoja käytännössä, lue raporttimme Stormous-vuodosta, joka kohdistui hollantilaiseen kirkkoverkkoon – tuore esimerkki siitä, mitä voi tapahtua, kun lunastusvaatimukseen ei vastata.
