Obnovljeni poticaj FBI-a za dijeljenje obavještajnih podataka o prijetnjama
FBI traži od zdravstvenih organizacija da učine nešto što su mnoge od njih povijesno izbjegavale: otvoreno govoriti o kibernetičkim napadima koje su doživjele. Prema izvješćima, ured potiče zdravstvene tvrtke da dijele ono što znaju o prijetnjama s kojima su se susrele, dok napadi ransomwarea na taj sektor nastavljaju stabilnim tempom. Poruka je jasna. Kada bolnicu ili kliniku pogodi skupina ransomwarea, taktike, alati i indikatori kompromitacije korišteni u tom napadu mogli bi pomoći drugim organizacijama da se obrane, ali samo ako se te informacije doista proslijede.
To nije nova ideja u krugovima kibernetičke sigurnosti. Agencije za provedbu zakona dugo tvrde da dijeljenje obavještajnih podataka o prijetnjama djeluje kao sustav ranog upozoravanja u cijeloj industriji. Ako bolnica u jednoj državi identificira kampanju krađe identiteta ili određeni komad ransomwarea, a ta informacija dođe do FBI-a i distribuira se drugim zdravstvenim pružateljima usluga, to može suziti prozor koji napadači imaju za iskorištavanje iste taktike negdje drugdje. Obnovljeno naglašavanje FBI-a na ovome sugerira da, unatoč godinama upozorenja, informacije još uvijek ne teku tako slobodno kako bi istražitelji željeli.
Zašto zdravstvene organizacije šute
Urednički je vrijedno zapitati se zašto bi zdravstvene organizacije uopće oklijevale dijeliti detalje napada. Postoje praktični razlozi koji nadilaze puku nevoljkost. Prijava napada može izazvati regulatorni nadzor, potaknuti pitanja pacijenata i partnera te otvoriti vrata sudskim sporovima. Bolnički IT i pravni timovi često postupaju oprezno, vagajući obveze objavljivanja naspram reputacijskog rizika. U industriji koja je već tanka s kadrovima i proračunom za kibernetičku sigurnost, poduzimanje dodatnog koraka za prikupljanje i dijeljenje detalja prijetnje s agencijama za provedbu zakona ili kolegama iz industrije može jednostavno pasti s popisa prioriteta, osobito u neposrednom kaosu odgovora na aktivno kršenje.
Ništa od ovoga ne znači da zdravstvene organizacije postupaju u lošoj vjeri. To znači da su poticaji oko objavljivanja složeni, a apel FBI-a u osnovi je pokušaj promjene te računice tako što se tvrdi da dijeljene obavještajne informacije koriste svima, uključujući i organizaciju koja ih dijeli. Ova dinamika nije jedinstvena za bolnice. Operateri kritične infrastrukture suočavaju se sa sličnom napetošću, kao što se vidjelo kada je CISA upozorila na porast napada na PLC-ove vodovodnih komunalnih usluga, još jedan sektor u kojem se pravovremeno dijeljenje informacija između operatera i saveznih agencija tretira kao prva linija obrane, a ne naknadna misao.
Cijena šutnje za pacijente i potrošače
Kad zdravstvene organizacije šute o kibernetičkim prijetnjama s kojima se suočavaju, ljudi koji na kraju snose rizik su pacijenti. Medicinski zapisi sadrže neke od najosjetljivijih osobnih podataka koji postoje, od dijagnoza i povijesti liječenja do podataka o osiguranju i naplati. Odgođena obavijest o kršenju ili nedostatak dijeljenih obavještajnih podataka koji su mogli spriječiti drugi napad izravno se pretvara u više izloženih zapisa i više ljudi koji su u mraku o vlastitim podacima.
Ovaj obrazac sporog ili nepotpunog objavljivanja nije ograničen na zdravstvo. Pojavljuje se kad god organizacije vagaju transparentnost naspram kratkoročnih reputacijskih briga, kao što se vidi u slučajevima poput tvrdnje grupe Handala o kršenju vladinih agencija UAE-a, gdje razmjeri kršenja postaju javni putem vlastitih tvrdnji napadača, a ne proaktivnim objavljivanjem. Odvojeno, istraživanje Proofpointa pokazalo je da su organizacije koje plaćaju zahtjeve za otkupninom često ponovno mete, podsjetnik da tiho, reaktivno rješavanje incidenata ransomwarea rijetko rješava temeljnu ranjivost, bez obzira na to je li otkupnina plaćena ili ne.
Što to znači za vas
Ako ste pacijent zdravstvenog pružatelja usluga, vjerojatno imate ograničen uvid u to koliko dobro ta organizacija dijeli obavještajne podatke o prijetnjama ili interno rješava incidente ransomwarea. No, još uvijek postoje koraci unutar vaše kontrole. Pitajte svoje zdravstvene pružatelje o njihovoj sigurnosti podataka i politikama obavijesti o kršenju. Obratite pozornost na pisma obavijesti o kršenju kad stignu i brzo reagirajte na njih umjesto da ih odložite. Razmislite o korištenju jakih, jedinstvenih lozinki za pacijentske portale i omogućite višefaktorsku autentifikaciju gdje god je ponuđena. Enkripcija podataka u prijenosu i mirovanju, zajedno sa sigurnim alatima za udaljeni pristup poput VPN-ova za zdravstveno osoblje koje radi izvan tradicionalnih perimetara mreže, igra ulogu u smanjenju površine napada koju grupe ransomwarea iskorištavaju u prvom redu.
Primjenjivi zaključci
Poziv FBI-a zdravstvenim organizacijama da dijele obavještajne podatke o kibernetičkim prijetnjama naglašava strukturni jaz koji utječe na sve povezane sa zdravstvenim sustavom, a ne samo na IT odjele. Kako napadi ransomwarea nastavljaju ciljati bolnice i klinike, brža i otvorenija komunikacija o prijetnjama mogla bi značiti manje uspješnih napada u budućnosti. U međuvremenu, pacijenti se mogu zaštititi tako da pomno prate obavijesti o kršenju, koriste snažnu autentifikaciju na bilo kojem medicinskom portalu i postavljaju izravna pitanja pružateljima usluga o njihovim praksama kibernetičke sigurnosti. Dijeljenje obavještajnih podataka o prijetnjama može biti razgovor o politici koji se odvija na institucionalnoj razini, ali njegov stvarni utjecaj pada izravno na ljude čiji su podaci ugroženi.
