FBI wzywa sektor medyczny do dzielenia się danymi o zagrożeniach ransomware

Ponowny nacisk FBI na dzielenie się informacjami o zagrożeniach

FBI prosi organizacje medyczne o coś, czego wiele z nich historycznie unikało: otwarte mówienie o cyberatakach, których doświadczyły. Według doniesień biuro wzywa firmy z sektora ochrony zdrowia do dzielenia się wiedzą na temat napotkanych zagrożeń, ponieważ ataki ransomware na ten sektor utrzymują się na stałym poziomie. Przekaz jest jasny: gdy jeden szpital lub klinika pada ofiarą gangu ransomware, taktyki, narzędzia i wskaźniki kompromitacji użyte w tym ataku mogą pomóc innym organizacjom w obronie, ale tylko pod warunkiem, że te informacje zostaną faktycznie przekazane dalej.

W kręgach cyberbezpieczeństwa nie jest to nowa koncepcja. Organy ścigania od dawna argumentują, że dzielenie się informacjami o zagrożeniach działa jak system wczesnego ostrzegania dla całej branży. Jeśli szpital w jednym stanie zidentyfikuje kampanię phishingową lub konkretny typ ransomware, a informacja ta dotrze do FBI i zostanie rozpowszechniona wśród innych podmiotów medycznych, może to skrócić okno czasowe, w którym atakujący mogą wykorzystać tę samą taktykę gdzie indziej. Ponowny nacisk FBI na tę kwestię sugeruje, że pomimo lat ostrzeżeń, informacje wciąż nie płyną tak swobodnie, jak życzyliby sobie tego śledczy.

Dlaczego organizacje medyczne milczą

Warto zadać pytanie, od redakcji, dlaczego organizacje medyczne w ogóle wahają się przed ujawnianiem szczegółów ataków. Istnieją praktyczne powody, wykraczające poza zwykłą niechęć. Zgłoszenie ataku może wywołać kontrolę regulacyjną, rodzić pytania ze strony pacjentów i partnerów oraz otwierać drogę do sporów sądowych. Zespoły IT i prawne szpitali często działają ostrożnie, rozważając obowiązki informacyjne w stosunku do ryzyka wizerunkowego. W branży, która już boryka się z niedoborami kadrowymi i budżetowymi w obszarze cyberbezpieczeństwa, podjęcie dodatkowego kroku w celu zebrania i udostępnienia szczegółów zagrożenia organom ścigania lub partnerom branżowym może po prostu spaść na dalszy plan listy priorytetów, szczególnie w bezpośrednim chaosie związanym z reagowaniem na trwające naruszenie.

Nie oznacza to, że organizacje medyczne działają w złej wierze. Oznacza to, że bodźce związane z ujawnianiem informacji są złożone, a apel FBI jest w istocie próbą zmiany tego rachunku poprzez wykazanie, że dzielenie się informacjami wywiadowczymi przynosi korzyści wszystkim, w tym organizacji, która je udostępnia. Ta dynamika nie jest charakterystyczna tylko dla szpitali. Operatorzy infrastruktury krytycznej stoją przed podobnym napięciem, co było widać, gdy CISA ostrzegła przed wzrostem ataków na sterowniki PLC w zakładach wodociągowych, w innym sektorze, gdzie terminowa wymiana informacji między operatorami a agencjami federalnymi jest traktowana jako pierwsza linia obrony, a nie refleksja po fakcie.

Koszt milczenia dla pacjentów i konsumentów

Gdy organizacje medyczne milczą na temat cyberzagrożeń, z którymi się mierzą, ryzyko ostatecznie ponoszą pacjenci. Dokumentacja medyczna zawiera jedne z najbardziej wrażliwych danych osobowych, jakie istnieją – od diagnoz i historii leczenia po informacje ubezpieczeniowe i rozliczeniowe. Opóźnione powiadomienie o naruszeniu lub brak udostępnionych informacji, które mogłyby zapobiec kolejnemu atakowi, przekłada się bezpośrednio na większą liczbę ujawnionych rekordów i więcej osób pozostawionych w niewiedzy na temat własnych danych.

Ten schemat powolnego lub niepełnego ujawniania informacji nie ogranicza się do sektora medycznego. Pojawia się zawsze, gdy organizacje rozważają przejrzystość w stosunku do krótkoterminowych obaw o reputację, co widać w przypadkach takich jak domniemane włamanie grupy Handala do agencji rządowych ZEA, gdzie skala naruszenia staje się znana publicznie dopiero z oświadczeń samych atakujących, a nie z proaktywnego ujawnienia. Niezależnie od tego, badanie Proofpoint wykazało, że organizacje, które płacą okup, są często ponownie celem ataków, co przypomina, że ciche, reaktywne podejście do incydentów ransomware rzadko rozwiązuje podstawową lukę, niezależnie od tego, czy okup został zapłacony.

Co to oznacza dla Ciebie

Jeśli jesteś pacjentem placówki medycznej, prawdopodobnie masz ograniczony wgląd w to, jak dobrze ta organizacja dzieli się informacjami o zagrożeniach lub jak wewnętrznie radzi sobie z incydentami ransomware. Istnieją jednak kroki, które pozostają pod Twoją kontrolą. Zapytaj swoich świadczeniodawców o ich polityki bezpieczeństwa danych i powiadamiania o naruszeniach. Zwracaj uwagę na listy powiadamiające o naruszeniach, gdy nadejdą, i działaj na ich podstawie szybko, zamiast odkładać je na bok. Rozważ używanie silnych, unikalnych haseł do portali pacjenta i włączanie uwierzytelniania wieloskładnikowego wszędzie tam, gdzie jest to oferowane. Szyfrowanie danych zarówno podczas transmisji, jak i w spoczynku, wraz z bezpiecznymi narzędziami zdalnego dostępu, takimi jak VPN dla personelu medycznego pracującego poza tradycyjnym obwodem sieci, odgrywa rolę w zmniejszaniu powierzchni ataku, którą grupy ransomware wykorzystują w pierwszej kolejności.

Praktyczne wnioski

Apel FBI do organizacji medycznych o dzielenie się informacjami o cyberzagrożeniach uwypukla strukturalną lukę, która dotyka wszystkich powiązanych z systemem opieki zdrowotnej, nie tylko działy IT. Ponieważ ataki ransomware nadal celują w szpitale i kliniki, szybsza i bardziej otwarta komunikacja o zagrożeniach może oznaczać mniej udanych ataków w przyszłości. W międzyczasie pacjenci mogą się chronić, uważnie śledząc powiadomienia o naruszeniach, stosując silne uwierzytelnianie w każdym portalu medycznym i zadając świadczeniodawcom bezpośrednie pytania o ich praktyki w zakresie cyberbezpieczeństwa. Dzielenie się informacjami o zagrożeniach może być rozmową polityczną toczącą się na szczeblu instytucjonalnym, ale jej rzeczywisty wpływ spada bezpośrednio na ludzi, których dane są stawką.