Sebuah artikel opini baru di MedPage Today mengajukan pertanyaan yang enggan dihadapi banyak rumah sakit di tengah krisis: siapa yang harus bertanggung jawab ketika ransomware menyerang? Poin pembuka penulisnya blak-blakan. Jika hanya sistem rekam medis elektronik (EMR) Anda yang terdampak serangan ransomware, anggap diri Anda beruntung. Bagi pembaca di luar dunia kesehatan, artikel ini adalah jendela yang berguna untuk memahami bagaimana serangan ransomware terhadap rumah sakit menempatkan data pasien dalam risiko, dan apa yang secara realistis dapat dilakukan individu begitu informasi mereka berpotensi terekspos.

Kutipan yang tersedia dari artikel tersebut singkat, jadi tulisan ini berpegang pada apa yang dinyatakannya dan pada saran praktis yang umum dan sudah mapan bagi pasien.

Bagaimana Serangan Ransomware Rumah Sakit Menyebar Melampaui EMR

Banyak orang membayangkan serangan siber terhadap rumah sakit sebagai sistem rekam medis yang terkunci. Artikel MedPage Today berargumen bahwa kenyataannya bisa jauh lebih luas. Kadang-kadang, catatnya, kerusakan mencapai saluran telepon, email, dan bahkan akses pintu secara literal.

Hal itu penting karena rumah sakit modern bergantung pada sistem yang terhubung untuk hampir segala hal. Ketika komunikasi dan akses fisik terganggu bersamaan dengan rekam medis klinis, staf kehilangan alat dasar yang mereka gunakan untuk mengoordinasikan perawatan. Kerangka artikel tersebut menunjukkan bahwa rumah sakit yang lumpuh dengan cara ini berada di bawah tekanan luar biasa saat tuntutan tebusan tiba.

Bagi pasien, intinya adalah bahwa dampak suatu insiden mungkin tidak terbatas pada penundaan. Sistem yang sama yang menyimpan riwayat janji temu, detail asuransi, dan informasi kontak mungkin adalah sistem yang pertama kali dijangkau penyerang.

Double Extortion: Mengapa Membayar untuk Dekripsi Tidak Melindungi Data Pasien

Begitu rumah sakit lumpuh, kata artikel tersebut, tuntutan tebusan datang, dan sering kali berupa double extortion. Rumah sakit didesak membayar dua kali: sekali untuk mendekripsi datanya, dan lagi untuk mencegah penyerang merilisnya.

Ini adalah poin kunci bagi siapa pun yang rekamnya berada di basis data rumah sakit. Memulihkan akses ke sistem dan menjaga kerahasiaan data adalah dua masalah yang terpisah. Bahkan jika rumah sakit memulihkan filenya, salinannya mungkin sudah meninggalkan jaringan. Pembayaran tidak memberikan jaminan teknis bahwa data yang dicuri akan dihapus, dan penyerang yang mengancam akan mempublikasikan telah menunjukkan bahwa mereka bersedia menggunakan tekanan sebagai model bisnis.

Kami telah melihat bagaimana hal ini terjadi di tempat lain. Dalam liputan kami tentang bagaimana ransomware Stormous menyerang jaringan gereja Belanda dan membocorkan 10GB, kelompok tersebut mengklaim bertanggung jawab dan mempublikasikan materi yang dicuri. Kasus itu melibatkan organisasi keagamaan, bukan rumah sakit, tetapi menggambarkan pola yang sama: kelompok ransomware memperlakukan kebocoran data sebagai leverage, dan orang-orang yang informasinya ada di dalamnya menanggung konsekuensinya.

Siapa yang Harus Memimpin Respons Ketika Rumah Sakit Diserang

Judul artikel MedPage Today membingkai debat utamanya: siapa yang harus mengelola serangan siber terhadap rumah sakit? Kutipan tersebut tidak menguraikan jawaban lengkap penulisnya, jadi kami tidak akan menaruh kata-kata di mulutnya. Namun pertanyaan itu sendiri menunjuk pada tantangan organisasi yang nyata.

Insiden ransomware bukan semata-mata masalah TI. Hal itu menyentuh keselamatan pasien, kewajiban hukum, komunikasi, keuangan, dan keputusan apakah akan berhubungan dengan penyerang sama sekali. Jika para pemimpin klinis, staf teknis, dan eksekutif masing-masing menganggap orang lain yang memimpin, waktu berharga akan hilang. Menetapkan rantai komando sebelum serangan, bukan selama serangan, adalah tema yang layak ditanggapi dengan serius.

Bagi publik, ini bukan soal menimpakan kesalahan melainkan lebih soal memahami bahwa kualitas persiapan rumah sakit dapat membentuk seberapa banyak informasi pasien yang terekspos dan seberapa cepat orang diberi tahu.

Apa Artinya Ini Bagi Anda

Anda tidak dapat mengendalikan bagaimana rumah sakit Anda mempertahankan jaringannya. Namun, Anda dapat mengurangi kerusakan jika informasi Anda menjadi bagian dari pelanggaran data. Rekam medis sering kali berisi detail yang sulit diubah, seperti tanggal lahir, alamat, dan pengenal asuransi, yang membuatnya berharga untuk penipuan dan scam yang tertarget.

Langkah-langkah praktis meliputi:

  • Baca pemberitahuan dengan cermat. Jika penyedia layanan Anda mengirim pemberitahuan pelanggaran data, catat jenis data apa yang terdampak dan layanan perlindungan apa pun yang ditawarkan.
  • Pantau akun Anda. Tinjau laporan bank, formulir penjelasan manfaat asuransi, dan laporan kredit untuk aktivitas yang tidak Anda kenali.
  • Pertimbangkan pembekuan kredit. Ini membatasi kemampuan siapa pun untuk membuka kredit baru atas nama Anda dan dapat dicabut saat Anda membutuhkannya.
  • Waspadai phishing. Penyerang dengan detail kontak yang bocor mungkin menyamar sebagai rumah sakit, perusahaan asuransi, atau apotek Anda. Jangan klik tautan atau menelepon nomor dalam pesan tak terduga; hubungi organisasi melalui saluran resmi yang Anda kenal.
  • Gunakan kata sandi unik dan autentikasi multifaktor pada portal pasien dan email, agar satu kredensial yang terekspos tidak membuka lebih banyak akses.

Poin Penting

Opini MedPage Today adalah pengingat bahwa serangan ransomware terhadap rumah sakit dapat menjangkau jauh melampaui EMR, dan bahwa double extortion berarti data pasien mungkin tetap berisiko bahkan setelah sistem dipulihkan. Siapa yang memimpin respons itu penting, tetapi individu memiliki perannya sendiri begitu pelanggaran data diungkapkan.

Jika penyedia layanan kesehatan Anda melaporkan suatu insiden, bertindaklah sejak dini: pantau akun Anda, pertimbangkan membekukan kredit Anda, dan perlakukan pesan tak terduga dengan curiga. Untuk melihat bagaimana kelompok ransomware mempublikasikan data curian dalam praktik, baca laporan kami tentang kebocoran Stormous yang menyasar jaringan gereja Belanda, contoh terkini tentang apa yang bisa terjadi setelah tuntutan tebusan tidak dijawab.