Dorongan Baru FBI untuk Berbagi Intelijen Ancaman
FBI meminta organisasi layanan kesehatan untuk melakukan sesuatu yang selama ini dihindari banyak pihak: berbicara secara terbuka tentang serangan siber yang mereka alami. Menurut laporan, biro tersebut mendesak perusahaan layanan kesehatan untuk membagikan apa yang mereka ketahui tentang ancaman yang mereka hadapi di tengah serangan ransomware terhadap sektor ini yang terus terjadi dengan laju stabil. Pesannya jelas. Ketika satu rumah sakit atau klinik diserang geng ransomware, taktik, alat, dan indikator kompromi yang digunakan dalam serangan itu dapat membantu organisasi lain mempertahankan diri, tetapi hanya jika informasi itu benar-benar diteruskan.
Ini bukanlah ide baru di kalangan keamanan siber. Badan penegak hukum telah lama berpendapat bahwa berbagi intelijen ancaman bertindak sebagai sistem peringatan dini di seluruh industri. Jika sebuah rumah sakit di satu negara bagian mengidentifikasi kampanye phishing atau jenis ransomware tertentu, dan informasi itu sampai ke FBI lalu didistribusikan ke penyedia layanan kesehatan lainnya, hal itu dapat mempersempit peluang yang dimiliki penyerang untuk mengeksploitasi taktik yang sama di tempat lain. Penekanan baru FBI tentang hal ini menunjukkan bahwa, meskipun sudah bertahun-tahun diperingatkan, informasi masih belum mengalir sebebas yang diinginkan para penyelidik.
Mengapa Organisasi Layanan Kesehatan Tetap Bungkam
Pertanyaan editorial yang patut diajukan adalah, mengapa organisasi layanan kesehatan ragu untuk membagikan detail serangan sejak awal. Ada alasan praktis yang melampaui sekadar keengganan. Melaporkan serangan dapat mengundang pengawasan regulasi, menimbulkan pertanyaan dari pasien dan mitra, serta membuka peluang untuk litigasi. Tim TI dan hukum rumah sakit sering kali bergerak hati-hati, mempertimbangkan kewajiban pengungkapan terhadap risiko reputasi. Dalam industri yang sudah kekurangan staf dan anggaran keamanan siber, mengambil langkah ekstra untuk mengumpulkan dan membagikan detail ancaman kepada penegak hukum atau rekan industri dapat dengan mudah menjadi prioritas yang terabaikan, terutama dalam kekacauan sesaat saat menanggapi pelanggaran yang sedang aktif.
Tidak satu pun dari ini berarti organisasi layanan kesehatan bertindak dengan itikad buruk. Ini berarti insentif seputar pengungkapan itu rumit, dan imbauan FBI pada dasarnya adalah upaya untuk mengubah kalkulasi itu dengan menyatakan bahwa intelijen bersama menguntungkan semua orang, termasuk organisasi yang membagikannya. Dinamika ini tidak unik untuk rumah sakit. Operator infrastruktur penting menghadapi ketegangan serupa, seperti yang terlihat ketika CISA memperingatkan lonjakan serangan pada PLC utilitas air, sektor lain di mana berbagi informasi tepat waktu antara operator dan badan federal diperlakukan sebagai pertahanan garis depan, bukan sekadar renungan.
Biaya dari Kebungkaman bagi Pasien dan Konsumen
Ketika organisasi layanan kesehatan bungkam tentang ancaman siber yang mereka hadapi, orang-orang yang pada akhirnya menanggung risikonya adalah pasien. Rekam medis berisi beberapa data pribadi paling sensitif yang ada, mulai dari riwayat diagnosis dan perawatan hingga informasi asuransi dan penagihan. Pemberitahuan pelanggaran yang tertunda, atau kurangnya intelijen bersama yang seharusnya dapat mencegah serangan kedua, secara langsung berarti lebih banyak catatan yang terekspos dan lebih banyak orang yang tidak tahu-menahu tentang data mereka sendiri.
Pola pengungkapan yang lambat atau tidak lengkap ini tidak hanya terbatas pada layanan kesehatan. Hal ini muncul setiap kali organisasi mempertimbangkan transparansi versus kekhawatiran reputasi jangka pendek, seperti yang terlihat dalam kasus seperti klaim kelompok Handala tentang pembobolan lembaga pemerintah UEA, di mana skala pelanggaran diketahui publik melalui klaim penyerang sendiri alih-alih pengungkapan proaktif. Secara terpisah, sebuah survei Proofpoint menemukan bahwa organisasi yang membayar tuntutan ransomware sering kali menjadi target lagi, sebuah pengingat bahwa penanganan insiden ransomware secara diam-diam dan reaktif jarang menyelesaikan kerentanan yang mendasarinya, terlepas dari apakah tebusan dibayar atau tidak.
Apa Artinya Ini Bagi Anda
Jika Anda adalah pasien dari penyedia layanan kesehatan, Anda mungkin memiliki visibilitas terbatas tentang seberapa baik organisasi tersebut membagikan intelijen ancaman atau menangani insiden ransomware secara internal. Namun, masih ada langkah-langkah yang berada dalam kendali Anda. Tanyakan kepada penyedia layanan kesehatan Anda tentang keamanan data dan kebijakan pemberitahuan pelanggaran mereka. Perhatikan surat pemberitahuan pelanggaran saat diterima, dan segera bertindak alih-alih mengesampingkannya. Pertimbangkan untuk menggunakan kata sandi yang kuat dan unik untuk portal pasien dan mengaktifkan autentikasi multi-faktor di mana pun tersedia. Enkripsi data baik saat transit maupun diam, bersama dengan alat akses jarak jauh yang aman seperti VPN untuk staf layanan kesehatan yang bekerja di luar perimeter jaringan tradisional, memainkan peran dalam mengurangi permukaan serangan yang awalnya dieksploitasi oleh kelompok ransomware.
Hal-Hal yang Dapat Ditindaklanjuti
Seruan FBI kepada organisasi layanan kesehatan untuk membagikan intelijen ancaman siber menyoroti kesenjangan struktural yang memengaruhi semua orang yang terhubung ke sistem layanan kesehatan, bukan hanya departemen TI. Seiring serangan ransomware yang terus menargetkan rumah sakit dan klinik, komunikasi yang lebih cepat dan terbuka tentang ancaman dapat berarti lebih sedikit serangan yang berhasil di masa mendatang. Sementara itu, pasien dapat melindungi diri mereka sendiri dengan memantau pemberitahuan pelanggaran secara saksama, menggunakan autentikasi yang kuat di semua portal medis, dan mengajukan pertanyaan langsung kepada penyedia tentang praktik keamanan siber mereka. Berbagi intelijen ancaman mungkin merupakan percakapan kebijakan yang terjadi di tingkat institusional, tetapi dampak nyatanya di dunia nyata langsung dirasakan oleh orang-orang yang datanya dipertaruhkan.
