Zašto su zdravstveni podaci glavna meta ransomwarea

Zdravstvene organizacije posjeduju neke od najvrjednijih podataka koje kriminalci mogu ukrasti: povijesti bolesti, podatke o osiguranju, matične brojeve i evidenciju naplate koji se mogu preprodavati ili zlorabiti godinama. Lorri Janssen-Anessi, potpredsjednica Globalnog upravljanja rizicima u BlueVoyantu, zagovara stajalište da obrana od ransomwarea kroz upravljanje podacima u zdravstvu mora prijeći iz faze naknadne misli u ključni operativni prioritet, tvrdeći da način na koji organizacija upravlja svojim podacima određuje hoće li napad postati manji poremećaj ili katastrofalna povreda podataka.

Bolnice i klinike atraktivne su mete iz jednostavnog razloga: ne mogu si priuštiti prekid rada. Kada ransomware zaključa zapise o pacijentima ili sustave za zakazivanje, pritisak da se plati otkupnina i brzo obnovi rad je ogroman, a upravo na tu hitnost napadači računaju. Naslijeđeni IT sustavi, fragmentirane mreže nastale spajanjima i akvizicijama te šarolik skup dobavljača s pristupom osjetljivim sustavima dodatno proširuju napadnu površinu. Rezultat je industrija u kojoj jedan uspješan prodor može imati lančane posljedice na zakazivanje, naplatu i izravnu skrb o pacijentima istovremeno.

Što upravljanje podacima zapravo znači za privatnost pacijenata

Upravljanje podacima nije samo potvrdni okvir za usklađenost. Odnosi se na politike, procese i strukture odgovornosti koje određuju tko može pristupiti podacima, kako su klasificirani, gdje su pohranjeni i koliko dugo se čuvaju. Za bolnicu to znači točno znati koji sustavi sadrže zaštićene zdravstvene informacije, tko ima opravdan razlog za pristup tim podacima te imati jasan zapis o tom pristupu u svakom trenutku.

Bez čvrste upravljačke politike, organizacije često ne otkriju koliko je osjetljivih podataka bilo izloženo sve do znatno nakon incidenta jer nikada nisu imale jasnu kartu gdje su ti podaci uopće živjeli. Dobra upravljačka politika sužava tu neizvjesnost. Znači da organizacija može brzo i pouzdano odgovoriti čemu je pristupljeno tijekom incidenta i koga treba obavijestiti. Ta jasnoća iznimno je važna za pacijente jer izravno utječe na to koliko brzo saznaju je li njihov vlastiti podatak bio dio povrede podataka.

Kako enkripcija i kontrole pristupa ograničavaju štetu od izvlačenja podataka

Čak ni najbolji okvir upravljanja ne može spriječiti svaki pokušaj provale. Ono što može učiniti jest ograničiti radijus eksplozije nakon što napadači prođu perimetar. Enkripcija osigurava da ukradeni podaci budu znatno manje korisni kriminalcima ako se ne mogu pročitati bez odgovarajućih ključeva. Kontrole pristupa, posebno načelo najmanjih privilegija, ograničavaju koliko daleko se napadač može bočno kretati unutar mreže jer kompromitacija vjerodajnica jednog zaposlenika ne bi trebala omogućiti pristup cijeloj bazi podataka o pacijentima.

Ovaj slojeviti pristup važan je jer suvremene ransomware operacije sve češće kombiniraju enkripciju s krađom podataka, prijeteći objavom ukradenih zapisa ako se ne plati otkupnina. Nedavne industrijske analize kvantificirale su koliko je ta eskalacija postala uobičajena. Nedavno industrijsko izvješće pokazalo je da 17% cyber incidenata završi stvarnom krađom podataka, što je podsjetnik da propusti u upravljanju nisu samo teorijski rizici. Kada se provala pretvori u izvlačenje podataka, snažna enkripcija i usko ograničeni pristupi često su razlika između kontroliranog incidenta i potpune izloženosti zapisa o pacijentima.

Što pacijenti mogu učiniti kada obrana njihovog pružatelja usluga zakaže

Pacijenti imaju ograničenu vidljivost u to kako njihov zdravstveni pružatelj interno upravlja podacima, i upravo je to razlog zašto im je razgovor o upravljanju podacima važan, iako se odvija iza kulisa. Pretpostaviti da samo obećanja bilo kojeg pružatelja jamče sigurnost rizična je oklada. Umjesto toga, pacijenti bi trebali tretirati vlastitu budnost kao komplementarni sloj zaštite.

To znači obraćati pozornost na pisma o obavijesti o povredi podataka umjesto da ih ignoriraju, pratiti izjave o naknadama za usluge koje nikada nisu primili te zamrznuti kreditnu sposobnost ako se sumnja na medicinsku krađu identiteta. Pacijenti također mogu izravno pitati pružatelje o njihovim politikama čuvanja podataka i o tome jesu li stariji zapisi ikada izbrisani jer podaci koji više ne trebaju postojati ne mogu biti ukradeni u budućoj povredi podataka.

Što to znači za vas

Prakse upravljanja koje se odvijaju unutar bolničkih IT odjela imaju izravnu vezu s ishodima za pacijente, kako kliničkim tako i financijskim. Snažna obrana od ransomwarea kroz upravljanje podacima u zdravstvu smanjuje izglede da provala postane masovna krađa podataka i ubrzava odgovor kada nešto pođe po zlu. Za pacijente, pouka nije paničariti svaki put kada naslov spomene povredu podataka u zdravstvu, već ostati proaktivan: znati kako čitati obavijest o povredi, razumjeti svoja prava vezana uz medicinsku krađu identiteta i tretirati prakse pružatelja usluga u pogledu podataka kao nešto o čemu vrijedi pitati.

Ključni zaključci

  • Zdravstvo ostaje glavna meta ransomwarea jer operativni prekid stvara pritisak za brzo plaćanje.
  • Upravljanje podacima, ne samo tehnički alati, određuje koliko dobro organizacija može odgovoriti na incident i ograničiti ga.
  • Enkripcija i kontrole pristupa s najmanjim privilegijama ograničavaju koliko ukradenih podataka napadači zapravo mogu iskoristiti.
  • Pacijenti bi trebali pomno pratiti obavijesti o povredama i izjave o naplati jer propusti u upravljanju drugdje i dalje mogu izložiti osobne zapise.

Ostati informiran o tome kako zdravstvene organizacije upravljaju i štite podatke jedan je od najjednostavnijih načina na koje pacijenti mogu ostati ispred rizika koje ne mogu izravno kontrolirati.