Citlivé údaje o zdravotnom stave pacientov nemusia byť v zdravotníckych zariadeniach stopercentne chránené. Mnohí lekári a zdravotnícke zariadenia nevenujú dostatočnú pozornosť kybernetickej bezpečnosti.

Vyplýva to z prvého uceleného prieskumu, ktorý zrealizovala zdravotná poisťovňa Dôvera v spolupráci so spoločnosťami Lekar a.s. a Eset. Do prieskumu, ktorý prebiehal od apríla do júna 2024 formou anonymného dotazníka, sa zapojilo 412 poskytovateľov zdravotnej starostlivosti. Boli medzi nimi malé ambulancie aj veľké polikliniky.

Útok na dáta v ambulancii? Už sa to deje

• Obdobie covidu znásobilo množstvo rôznych typov kybernetických útokov. Od schovávania sa za podvodné poštové či bankové služby až po hrozbu pokuty za vymyslený priestupok v zahraničí.
• Až 27 percent ambulantných lekárov v prieskume uviedlo, že zdieľa pracovný e-mail a prístupy k nemu s inými kolegami. Horšie však vychádza skutočnosť, že 63 percent používa na prácu súkromný e-mail, čím priamo otvárajú dvere phishingu.
• Škody spôsobené útokmi na malé ambulancie však môžu byť devastačné.

Pozvánka pre hackerov

Z prieskumu vyplynulo, že viac ako polovica poskytovateľov zdravotnej starostlivosti (58 percent) nedokáže rozpoznať hackerský útok. „Chápeme, že prvoradou úlohou lekárov je liečiť. Upozorňujeme však, že neschopnosť identifikovať bezpečnostný incident alebo zraniteľnosť môže viesť napríklad k strate dát, pozmeneniu ich obsahu a znefunkčneniu prevádzky,“ upozorňuje Roman Varga, manažér kybernetickej bezpečnosti v zdravotnej poisťovni Dôvera.

Aké riziko hrozí? Dáta o zdravotnom stave patria medzi „najhodnotnejšie“ údaje na čiernom trhu a ich únik býva sprevádzaný finančným vydieraním.

Na neopatrnosť môže doplatiť aj pacient. Predstavte si, že by vám v lekárni vydali nesprávne lieky, pretože útočník pozmenil údaje v zdravotných záznamoch. Známy je prípad kyberútoku z roku 2021, po ktorom museli v Írsku odložiť tisícky lekárskych zákrokov. 

„Počet kybernetických útokov na zdravotnícke zariadenia rastie alarmujúcim tempom. Jednou z najrozšírenejších a najnebezpečnejších hrozieb v sektore zdravotníctva je ransomvér, škodlivý kód, ktorý šifruje zariadenia, pričom za ich odblokovanie si útočníci pýtajú výkupné v astronomických sumách. V lepšom prípade spôsobí útok finančné a reputačné škody, v horšom prípade naň doplatia pacienti svojím zdravím či životom. Investície do moderných bezpečnostných opatrení, ktoré dokážu ransomvér odvrátiť, predstavujú iba zlomok z prípadných škôd spôsobených úspešným útokom,“ spresnil Ondrej Krajč, Senior Technical Pre-Sales Representative spoločnosti ESET.

„Súkromný“ mail od lekára

Ďalším alarmujúcim výsledkom prieskumu bolo, že takmer 63 percent opýtaných používa súkromný mail na služobné účely. „Práve súkromný účet lekára, ktorý využíva aj na posielanie pracovných mailov, sa môže stať vstupnou bránou pre útočníka. Je to najčastejšia cesta, ako naletieť útočníkom cez tzv. phishingové maily,“ vysvetľuje Varga.

„Ambulancie, ktoré poskytujú pacientom wi-fi pripojenie, by mali zabezpečiť, aby táto sieť bola fyzicky oddelená od pracovnej siete. Tým sa zabráni nežiaducemu prístupu k citlivým údajom a ochráni sa chod pracovných systémov a samotnej infraštruktúry,“ dopĺňa Ondrej Krajč zo spoločnosti ESET.

Hľadajte odborníkov

Vzdelávanie a povinnosť mať napríklad manažéra kybernetickej bezpečnosti sa podľa platných zákonov na Slovensku týka prevádzkovateľov tzv. základnej služby, napríklad nemocníc alebo zdravotných poisťovní. Poskytovateľom zdravotnej starostlivosti preto odborník na kyberbezpečnosť odporúča zveriť túto agendu do rúk špecialistov na kybernetickú bezpečnosť, ktorí dokážu proces ochrany a zálohovania dát nastaviť na mieru. Nevyhnutné je aj vzdelávanie poskytovateľov zdravotnej starostlivosti v oblasti IT a kybernetickej bezpečnosti.

Zvládli by naše zdravotnícke zariadenia kyber útok, ktorý sa odohral v Rumunsku?

Kybernetický útok, aký postihol vo februári 2024 v Rumunsku sektor zdravotníctva, by mal na Slovensku s vysokou pravdepodobnosťou podobné následky. Ale nepredbiehajme.

Rumunský príbeh

Kybernetický útok na rumunské nemocnice začal v noci z nedele na pondelok, keď zvyčajne panuje relatívny pokoj. Útočníci sa zamerali na intenzívne používaný lekársky informačný systém. Prvým známym cieľom bola nemocnica Pitești Pediatric Hospital, útok sa však rýchlo rozšíril na ďalšie zariadenia. Podľa Romanian National Cyber Security Directorate (rumunský úrad zodpovedný za kybernetickú bezpečnosť) útok zasiahol 25 nemocníc a ďalších 79 zdravotníckych zariadení sa následne preventívne odpojilo od internetu.

Útočníci sa do systému dostali pravdepodobne prostredníctvom vzdialeného pripojenia, ktoré využívala jedna z údržbárskych spoločností. Použili variant ransomvéru **Phobos**, vytvorený rusky hovoriacimi hackerami. Zašifrovali dôležité súbory a požadovali výkupné vo výške 3,5 Bitcoinu, čo je približne 157 000 Eur. Rumunské kybernetické úrady uviedli, že kľúčové údaje boli krátko pred útokom zálohované, čo znížilo dopad útoku.

Slovenské zdravotníctvo čelí rovnakým hrozbám

Aj naše zdravotnícke služby sú veľmi závislé od informačných technológií. Obdobný útok by preto mohol mať vážne dôsledky na poskytovanie zdravotnej starostlivosti na Slovensku.

V prípade úspešného kyber útoku hrozia tieto následky:

• Oneskorenie poskytovaných lekárskych služieb. Bez prístupu k elektronickým zdravotným záznamom by sa mohlo výrazne skomplikovať a spomaliť poskytovanie zdravotnej starostlivosti.
• Odloženie plánovaných operácií. Bez dát ako sú výsledky laboratórnych vyšetrení, záznamy či ďalšie dôležité dáta, vrátane nedostupnosti zariadení napojených na diagnostiku nie je možné vykonať požadované úkony.
• Narušenie komunikácie. Lekári by mohli mať problémy s komunikáciou medzi sebou, s inými oddeleniami alebo nemocnicami.
• Problémy s diagnostikou. Diagnostické zariadenia, ako sú CT skenery a MRI by mohli zostať nefunkčné, čo by spôsobilo zdržanie v diagnostike a liečbe pacientov.
• Zvýšené riziko chýb. Manuálna správa záznamov ako záložné riešenie by mohlo viesť k chybám, ktoré by mohli mať za následok nesprávnu liečbu alebo dokonca ohrozenie života pacientov.

Ako sa vyhnúť slovenskému príbehu s rumunským scenárom

Usudzujem, že sme niekde v polovičke prípravy na polmaratón. Na maratón nemôžeme ani myslieť.  

Po tom, čo prebehla implementácia smernice NIS1 pre poskytovateľov základnej služby, je tu šanca na úspešnú obranu za podmienky, že dôjde k spojeniu síl. Tým mám na mysli spojenie súkromných spoločností s ich funkčnými riešeniami so  sektorovými štátnymi požiadavkami. To napríklad Dôvera ukázala so svojim e-receptom.

Aj nová implementácia smernice NIS2, ktorá  je na spadnutie, bude pre celý sektor prínosom. Vďaka aplikácii regulačných pravidiel, ktoré so sebou prináša, posilní bezpečnosť zdravotníckych subjektov.

Aby sme predišli rumunskému scenáru je nevyhnutné, aby slovenské zdravotnícke zariadenia mali pripravené plány na riešenie kybernetických útokov a aby si pravidelne aktualizovali svoje bezpečnostné protokoly. Tým by sa minimalizovalo riziko a dopad takýchto incidentov na zdravotnícke služby.

Ing. Roman Varga, manažér kybernetickej bezpečnosti v zdravotnej poisťovni Dôvera

Najzávažnejšie riziká, ktoré vyplynuli z prieskumu o kyberbezpečnosti v ambulanciách 

1.     Nedostatočné vzdelávanie v oblasti IT bezpečnosti

Až 78 % respondentov uviedlo, že sa okrem seminárov, ktoré organizuje vzdelávacia inštitúcia Slovenskej lekárskej komory, spoločnosť Lekár, a.s., nestretli s iným spôsobom vzdelávania v oblasti IT bezpečnosti.

2.     Nedostatočné zálohovanie a obnova dát

Až 15 % respondentov nevykonáva pravidelné zálohy svojich dát o pacientoch, len 34 % vie obnoviť prevádzku po tzv. ransomwarovom útoku.

Z prieskumu spoločností Dôvera, Lekár, a.s. a Eset tiež vyplynulo, že zhruba 40 % oslovených sa o agendu súvisiacu s IT stará svojpomocne. 

3.     Neschopnosť identifikovať bezpečnostné incidenty a hrozby

Až 58 % respondentov nevie identifikovať bezpečnostný incident alebo zraniteľnosť, čo môže viesť k strate dát, pozmeneniu ich obsahu a znefunkčneniu prevádzky. Reálny hackersky útok riešili už 2 % respondentov.

4.     Používanie súkromných e-mailov na pracovné účely

Až 63 % respondentov používa svoj súkromný e-mail aj na pracovné účely. Sú to otvorené dvere pre tzv. phishingové útoky. Stačí jeden nesprávny klik a útočníci môžu dáta ukradnúť a zašifrovať. Poskytovatelia ZS sa vystavujú riziku vydierania a nefunkčnosti prevádzky ambulancie. 

Až 28,9 % respondentov zdieľa pracovný e-mail (aj s heslom do tohto e-mailu) aj s inými kolegami alebo zamestnancami.

Našťastie, viac ako polovica odpovedala, že využíva pri prihlasovaní druhý faktor a iba v 12 % ambulanciách sa na wifi ambulancie môže pripojiť pacient.

KOMPLETNÝ PREHĽAD ODPOVEDÍ V DOTAZNÍKU NÁJDETE NA NAŠOM WEBE. 

^{*Historicky prvý prieskum o stave kybernetickej bezpečnosti v ambulanciách uskutočnila Dôvera v spolupráci so spoločnosťami Eset a  Lekar, a.s. v rámci druhého ročníka webináru o kybernetickej bezpečnosti pre lekárov. Jedinou formou vzdelávania lekárov v tejto oblasti bol podľa zistení prieskumu vo väčšine prípadov práve prvý ročník tohto podujatia.}

rNUlife.sk / TS doplnená, Daniel Mičuda