Sektor ochrony zdrowia od lat pozostaje jednym z głównych celów cyberataków, a zagrożenie to rośnie w zastraszającym tempie. Według danych Agencji Unii Europejskiej ds. Cyberbezpieczeństwa (ENISA), już 8% wszystkich ataków ransomware dotyka właśnie tej branży. Dla porównania, tylko sektor biznesowy (18%) i przemysłowy (17%) odnotowują wyższą częstotliwość ataków.
– Ochrona zdrowia to dla cyberprzestępców istotny cel z kilku powodów. Sektor ten przetwarza ogromną ilość danych, w tym przede wszystkim danych osobowych. Dynamika pracy personelu bywa zawrotna. Szacuje się, że każdego dnia pielęgniarki logują się na jednym komputerze aż 80 razy. W wielu przypadkach, by przyspieszyć działania, nie dbają o bezpieczeństwo cyfrowe np. dzielą się hasłami przyklejonymi na karteczkach przy komputerze. Co szczególnie ważne dla niektórych grup cyberprzestępców, atak wycelowany w ochronę zdrowia, czyli sektor należący do tzw. infrastruktury krytycznej, to szansa na destabilizację danego państwa – wystarczy wspomnieć, że 42% incydentów w tym sektorze stanowią ataki na szpitale – ostrzega Kamil Sadkowski, analityk laboratorium antywirusowego ESET.
Olbrzymie straty finansowe
Cyberataki na szpitale i placówki medyczne nie ograniczają się jedynie do zakłócenia działalności – wiążą się również z wysokimi kosztami. Średni koszt incydentu bezpieczeństwa w ochronie zdrowia to około 300 000 euro, a to nie uwzględnia ewentualnych kar za naruszenie ochrony danych osobowych.
– Według danych ENISA dla aż 83% cyberprzestępców główną motywacją do działania są finanse. Wystarczy nadmienić, że średni koszt incydentu bezpieczeństwa w ochronie zdrowia jest szacowany na 300 000 euro, nie wliczając potencjalnych kar nałożonych przez organy ochrony danych – wylicza Kamil Sadkowski.
Paraliż systemu opieki zdrowotnej
Jednym z najbardziej kosztownych ataków ransomware w historii był ten, który w maju zeszłego roku uderzył w Ascension Healthcare – jednego z największych dostawców opieki zdrowotnej w USA. Przestępcy zablokowali dostęp do elektronicznej dokumentacji medycznej w 120 szpitalach, co całkowicie sparaliżowało diagnostykę oraz przeprowadzanie badań takich jak tomografia komputerowa czy rezonans magnetyczny.
Bez dostępu do cyfrowych zasobów, pielęgniarki i lekarze byli zmuszeni do korzystania z tradycyjnych papierowych dokumentów, co znacząco wydłużało czas obsługi pacjentów. Nie można było również przesyłać skanów wyników badań do specjalistów w czasie rzeczywistym – każdy dokument musiał być drukowany i dostarczany osobiście.
Finalne straty Ascension Healthcare wyniosły łącznie miliard dolarów – 130 milionów pochłonęło zarządzanie kryzysowe, a przychody firmy spadły o 900 milionów dolarów.
– Jak wskazuje raport Ponemon Institute, najtrudniejsze są jednak konsekwencje dla zdrowia i życia pacjentów. Spośród placówek medycznych, które doświadczyły czterech najbardziej popularnych rodzajów cyberataków objętych badaniem (ransomware, ataki BEC, ataki na łańcuchy dostaw i na rozwiązania chmurowe), w 69 proc. z nich odnotowano zakłócenia w opiece nad pacjentami. W 56 proc. placówek zauważono pogorszenie wyników leczenia pacjentów z powodu opóźnień w procedurach i badaniach, w 53 proc. zaobserwowano wzrost złożoności procedur medycznych, a w 28 proc. wzrost śmiertelności pacjentów – uzupełnia Kamil Sadkowski.
Unia Europejska wprowadza nowe regulacje
W odpowiedzi na rosnące zagrożenie cyberatakami na sektor ochrony zdrowia, Unia Europejska wdraża strategię poprawy bezpieczeństwa cyfrowego. Plan zakłada utworzenie do 2026 roku Ogólnoeuropejskiego Centrum Wsparcia Cyberbezpieczeństwa dla szpitali, które będzie dostarczać wytyczne, narzędzia oraz szkolenia dla podmiotów ochrony zdrowia.
Dodatkowo, Unia planuje wprowadzenie systemu wczesnego ostrzegania przed zagrożeniami cybernetycznymi oraz współpracę z dostawcami technologii w celu szybszego wykrywania i neutralizowania ataków. W ramach nowelizowanej dyrektywy NIS2, placówki medyczne będą musiały wdrożyć kompleksowe systemy zarządzania bezpieczeństwem informacji, przeprowadzać regularne audyty oraz raportować incydenty w celu ograniczenia ich skutków.
Nowe regulacje mają na celu minimalizację ryzyka cyberataków, ale wdrożenie tych zmian będzie wymagało istotnych inwestycji i przeszkolenia personelu. W obliczu rosnącej liczby zagrożeń, ochrona danych pacjentów i bezpieczeństwo infrastruktury medycznej stają się priorytetem na najbliższe lata.
źródło: informacja prasowa
