FBIs fornyede innsats for deling av trusseletterretning

FBI ber helseorganisasjoner om å gjøre noe mange av dem historisk har unngått: snakke åpent om cyberangrepene de har opplevd. Ifølge rapporter oppfordrer etaten helseselskaper til å dele det de vet om truslene de har møtt, ettersom løsepengevirusangrep mot sektoren fortsetter i jevnt tempo. Budskapet er enkelt. Når et sykehus eller en klinikk rammes av en løsepengegjeng, kan taktikken, verktøyene og indikatorene på kompromittering som brukes i angrepet hjelpe andre organisasjoner med å forsvare seg, men bare hvis den informasjonen faktisk blir delt videre.

Dette er ikke en ny idé i cybersikkerhetskretser. Politi- og påtalemyndigheter har lenge hevdet at deling av trusseletterretning fungerer som et tidlig varslingssystem på tvers av en bransje. Hvis et sykehus i en delstat identifiserer en phishing-kampanje eller et bestemt løsepengevirus, og den informasjonen når FBI og blir distribuert til andre helseaktører, kan det redusere tidsvinduet angripere har til å utnytte den samme taktikken andre steder. FBIs fornyede vektlegging av dette tyder på at informasjon fortsatt ikke flyter så fritt som etterforskerne ønsker, til tross for årevis med advarsler.

Hvorfor helseorganisasjoner forblir tause

Det er verdt å stille spørsmålet, redaksjonelt sett, hvorfor helseorganisasjoner i utgangspunktet kan nøle med å dele angrepsdetaljer. Det finnes praktiske grunner som går utover enkel motvilje. Å rapportere et angrep kan invitere til regulatorisk gransking, reise spørsmål fra pasienter og partnere, og åpne for rettssaker. IT- og juridiske avdelinger ved sykehus går ofte forsiktig frem og veier åpenhetsforpliktelser opp mot omdømmerisiko. I en bransje som allerede er tynt bemannet og budsjettert for cybersikkerhet, kan det å ta det ekstra steget med å samle og dele trusseldetaljer med politiet eller kolleger i bransjen lett falle nedover prioriteringslisten, særlig i det umiddelbare kaoset under håndteringen av et pågående innbrudd.

Ingenting av dette betyr at helseorganisasjoner handler i ond tro. Det betyr at insentivene rundt åpenhet er kompliserte, og FBIs appell er i hovedsak et forsøk på å endre denne kalkylen ved å argumentere for at delt etterretning kommer alle til gode, inkludert organisasjonen som deler. Denne dynamikken er ikke unik for sykehus. Operatører av kritisk infrastruktur står overfor lignende spenninger, slik vi så da CISA advarte om en økning i angrep på PLS-er i vannverk, en annen sektor der rettidig informasjonsdeling mellom operatører og føderale etater behandles som et frontlinjeforsvar snarere enn en ettertanke.

Prisen pasienter og forbrukere betaler for taushet

Når helseorganisasjoner tier om cybertruslene de står overfor, er det pasientene som til syvende og sist bærer risikoen. Pasientjournaler inneholder noen av de mest sensitive personopplysningene som finnes, fra diagnoser og behandlingshistorikk til forsikrings- og faktureringsinformasjon. En forsinket varsling om innbrudd, eller mangel på delt etterretning som kunne ha forhindret et nytt angrep, fører direkte til flere eksponerte journaler og flere mennesker som holdes uvitende om sine egne data.

Dette mønsteret med treg eller ufullstendig åpenhet er ikke begrenset til helsesektoren. Det oppstår når organisasjoner veier åpenhet opp mot kortsiktige omdømmehensyn, slik vi har sett i saker som Handala-gruppens påståtte innbrudd hos myndigheter i De forente arabiske emirater, der omfanget av et innbrudd blir offentlig kjent gjennom angriperens egne påstander snarere enn proaktiv varsling. En undersøkelse fra Proofpoint viser at organisasjoner som betaler løsepengekrav ofte blir angrepet igjen, en påminnelse om at stille, reaktiv håndtering av løsepengevirus-hendelser sjelden løser den underliggende sårbarheten, uansett om løsepenger betales eller ikke.

Hva dette betyr for deg

Hvis du er pasient hos en helseaktør, har du sannsynligvis begrenset innsyn i hvor godt organisasjonen deler trusseletterretning eller håndterer løsepengevirus-hendelser internt. Men det finnes likevel skritt du selv kan ta. Spør helseaktøren om deres retningslinjer for datasikkerhet og varsling ved innbrudd. Følg med på varslingsbrev om innbrudd når de kommer, og handle raskt i stedet for å legge dem til side. Vurder å bruke sterke, unike passord til pasientportaler og aktivere tofaktorautentisering der det tilbys. Kryptering av data både under overføring og i lagret tilstand, sammen med sikre verktøy for ekstern tilgang som VPN for helsepersonell som jobber utenfor tradisjonelle nettverksgrenser, bidrar til å redusere angrepsflaten som løsepengegjenger utnytter i utgangspunktet.

Praktiske råd

FBIs oppfordring til helseorganisasjoner om å dele cybertrusseletterretning synliggjør et strukturelt gap som berører alle tilknyttet helsesystemet, ikke bare IT-avdelingene. Ettersom løsepengevirusangrep fortsetter å ramme sykehus og klinikker, kan raskere og mer åpen kommunikasjon om trusler bety færre vellykkede angrep i fremtiden. I mellomtiden kan pasienter beskytte seg ved å følge nøye med på varsler om innbrudd, bruke sterk autentisering på alle medisinske portaler, og stille direkte spørsmål til helseaktører om deres cybersikkerhetspraksis. Deling av trusseletterretning kan være en policysamtale som foregår på institusjonsnivå, men den virkelige konsekvensen lander rett på menneskene hvis data står på spill.