Jakie są największe wyzwania związane z cyberbezpieczeństwem w placówkach medycznych?
Artur Sadownik: Zagadnienia dotyczące ochrony systemów i danych przetwarzanych w placówkach medycznych zawsze były nietrywialne i wymagały często stosowania nietrywialnych rozwiązań. Systemy i urządzenia wykorzystywane w placówkach medycznych, podobnie jak w przypadku pozostałych sektorów, są coraz bardziej złożone i coraz bardziej cyfrowe. W odróżnieniu do normalnego biznesu, w którym mamy do czynienia z ochroną komputerów, serwerów, drukarek i innego sprzętu tradycyjnie wiązanego z klasycznym biurem i zdalnym dostępem do niego, w przypadku placówek medycznych działamy dodatkowo z bardzo zaawansowanymi urządzenia- mi monitorującymi, obrazującymi, testującymi, itp. Działają one pod kontrolą jakiegoś oprogramowania, będąc w istocie mniej lub bardziej zaawansowanymi komputerami czy sterownikami przemysłowymi, z pogranicza światów OT i IoT. I tu pojawia się problem z tym, jak te zaawansowane systemy skutecznie zabezpieczać, począwszy od ich separacji, bo zwykle one pracują w jednej rozległej sieci z komputerami biurowymi, czy kioskami dla klientów, poprzez aktualizację podatności systemów i oprogramowania na nich zainstalowanych, czy choćby monitorowaniu i zarządzaniu dostępem do tych systemów.
Specjalistyczne systemy i urządzenia wykorzystywane w medycynie powinny być stale aktualizowane, tak jak każde inne komputery działające w sieci. W praktyce nie jest to łatwe – albo to są zamknięte platformy, albo nie ma na takie operacje przyzwolenia czy czasu. W efekcie są one narażone na rozmaite zagrożenia, które mogą do nich przeniknąć drogą sieciową, czy też poprzez nośniki danych, wykorzystywane chociażby do przenoszenia wyników badań. Trzeba także wyraźnie zaznaczyć, że dużą część placówek medycznych ta cyfrowość i nowoczesność zwyczajnie zaskoczyła – nikt tam zwykle nie planował zbudowania sieci oraz systemów ochrony w sposób, który znamy z sektora komercyjnego. Do tego często istotniejszym priorytetem dla zarządzających, dysponujących ograniczonymi środkami, by-ło wyposażenie danej placówki w kolejne urządzenie zapewniające realizację określonych potrzeb czysto medycznych, niż wdrażanie skutecznych systemów bezpieczeństwa.
Jakie są główne różnice między zabezpieczeniami teleinformatycznymi w instytucjach medycznych a innymi sektorami? Czy są specyficzne wymagania lub regulacje, które placówki medyczne muszą spełnić?
A.S.: Zabezpieczenia teleinformatyczne, które stosujemy w instytucjach medycznych zwykle są bardzo podobno do tych, które stosujemy w typowych firmach z sektora enterprise, czy sektora przemysłowego. Trudno sobie dzisiaj wyobrazić firmę, w której nie trzeba byłoby chronić brzegu sieci przed nieuprawnionym dostępem z zewnątrz za pomocą nowoczesnych zapór ogniowych, ruchu internetowego, generowanego przez pracowników, stacji i serwerów przed niechcianym (złośliwym) oprogramowaniem, czy też poczty elektronicznej. Dodatkowo dochodzą systemy ochrony aplikacji i stron internetowych, na przykład, z informacjami dotyczącymi danej organizacji oraz jej klientów (np. wynikami badań). W przypadku specjalistycznego, skomputeryzowanego sprzętu medycznego zaczynamy przemieszczać się ze świata klasycznego do bardziej przemysłowego i tutaj w zależności od dostępnych możliwości zaczynamy stosować dedykowane do tej klasy rozwiązań systemy ochrony oraz monitorowania. Co do wymagań i regulacji, w przypadku placówek medycznych poruszamy się w Polsce głównie wokół wymagań stawianych przez wytyczne RODO/GDPR i KSC/NIS z ich kolejnymi aktualizacjami. Pomagają one zwrócić uwagę na konkretne obszary do priorytetowego pokrycia odpowiednimi środkami bezpieczeństwa, przy wykorzystaniu środków własnych danej placówki, czy też funduszy publicznych na ten cel (np. z NFZ).
Zmieniając nieco temat, jakie są najważniejsze funkcje systemów kopii zapasowych i jak wpływają one na ciągłość działania placówek medycznych?
A.S.: Jak zwykło się mawiać wśród specjalistów IT – firmy dzielą się na te, które robią kopie zapasowe, i te które będą je robiły, bo się w pewnym momencie przekonają, że są one bardzo istotne. Chyba nie ma takiej osoby wśród nas, która przypadkowo nie skasowałaby jakiegoś istotnego pliku albo nadpisała wersję, do której chciałaby powrócić. Nawet w przypadku takich, powiedzmy często małej wagi przypadków, możliwość odzyskania odpowiedniej wersji pliku jest bardzo pożądana. A co dopiero, kiedy zmierzymy się z awarią systemu dyskowego w komputerze, serwerze, czy zaawansowanym urządzeniu medycznym? Nie wspominam o przypadkach intencjonalnego zaszyfrowania zasobów dyskowych przez cyberprzestępców. Skutki każdego z tych przypadków można zniwelować, gdy posiadamy odpowiedni backup danych i konfiguracji. W przypadku placówek medycznych mówimy o zbiorach danych pacjentów, wraz z wynikami badań, czy też konfiguracji poszczególnych systemów pomagających leczyć oraz ocalać życie, gdzie czas zwłoki w podjęciu działań może prowadzić do nieodwracalnych zmian zdrowotnych, czy wręcz śmierci pacjentów. Stąd wykonywanie kopii zapasowych ma bardzo istotne znaczenie dla ciągłości funkcjonowania danej placówki medycznej.
Jakie są kluczowe cechy systemów typu firewall i jak one wspierają ochronę danych pacjentów oraz infrastruktury medycznej?
A.S.: Nowoczesne systemy firewall zapewniają możliwość odseparowania sieci, w której zainstalowana jest infrastruktura medyczna oraz bazy danych pacjentów od Internetu. Dzięki nim z jednej strony nieuprawnione osoby z zewnątrz nie mogą się łączyć z systemami wewnątrz sieci danej placówki, z drugiej zaś – firewalle zapewniają możliwość precyzyjnej kontroli kto, kiedy, na jakich zasadach oraz z jakich zasobów Internetu może korzystać. Wiele rozwiązań tego typu zapewnia także skanowanie ruchu na okoliczność różnego rodzaju zagrożeń, czy też blokowanie stron internetowych, które mogą potencjalnie nieść zagrożenie. Dodatkowo za pomocą zapór ogniowych możliwe jest podzielenie sieci na segmenty funkcjonalne (np. osobny segment dla komputerów biurowych, osobny dla infrastruktury medycznej danego oddziału), co w konsekwencji może utrudnić potencjalnemu cyberprzestępcy na swobodne przenikanie przez sieć całego przedsiębiorstwa i przejmowanie infrastruktury medycznej po przejęciu komputera jednego z pracowników.
Jakie są trzy najważniejsze obszary, na które placówki medyczne powinny zwrócić uwagę w kontekście cyberbezpieczeństwa, i jakie konkretne rozwiązania oferuje Nomios w tych obszarach?
A.S.: Wskazanie konkretnych trzech obszarów, od których należy priorytetowo rozpocząć przygodę z cyberbezpieczeństwem w placówkach medycznych nie jest łatwe ze względu na skomplikowanie ich środowisk, ale jeśli musiałabym wybierać, to zacząłbym od zabezpieczenia wszystkich systemów komputerowych, łącznie z serwerami i urządzeniami medycznymi, które to umożliwiają za pomocą rozwiązań klasy EDR. Rozwiązania te wykrywają podejrzaną aktywność na chronionym systemie, identyfikują złośliwe oprogramowanie oraz pomagają identyfikować i czyścić z zagrożeń potencjalnie zarażone stacje.
Kolejnym obszarem byłaby ochrona kanałów internetowych, a w szczególności poczty elektronicznej, która jak mówiłem wcześniej, jest najłatwiejszym kanałem do skutecznego wykorzystania przez cyberprzestępców. Trzecim – zarządzanie podatnościami, czyli skanowanie całej infrastruktury pod kątem możliwości zainfekowania poszczególnych jej elementów z wykorzystaniem znanych podatności (kolokwialnie – dziur) w oprogramowaniu oraz wdrożenie procesu aktualizacji, zmniejszając ryzyko przejmowania systemów przez cyberprzestępców.
Jakie technologie i metody są wykorzystywane w systemach poczty elektronicznej wraz z systemem bezpieczeństwa do zapobiegania atakom phishingowym i złośliwemu oprogramowaniu?
A.S.: Poczta elektroniczna jest obecnie najczęściej wykorzystywanym kanałem do zarażenia komputera ofiary, z którego potem można wykonywać ataki na kolejne systemy przyłączone wewnątrz sieci firmowej. Stąd też niezbędne jest wykorzystywanie do ochrony tego kanału odpowiednio skutecznych rozwiązań. Zwykle łączą one w sobie kilka elementów, takich jak ochrona przed spamem (niechcianą korespondencją), ochrona przed niechcianym oprogramowaniem (ang. malware) czy funkcjonalność weryfikowania linków i plików przesyłaną pocztą elektroniczną, na przykład, za pomocą rozwiązań klasy sandbox (uruchamianie kodu w wyizolowanym środowisku, w celu zidentyfikowania potencjalnie złośliwego zachowania i wyeliminowania zagrożeń).
Wspomniane tu rozwiązania, działające w sposób automatyczny, mimo dokładania wszelkich starań przez producentów zabezpieczeń, nie dają stuprocentowego zabezpieczenia przed atakami kierowanymi pocztą elektroniczną do pracowników danej organizacji. Stąd niezbędnym wydaje się być uruchomienie procesu szkoleniowego, uświadamiającego pracowników o zagrożeniach płynących z wykorzystywania kanałów internetowych oraz o sposobach rozróżniania treści fałszywych od tych, które rzeczywiście powinny trafić do ich skrzynek pocztowych. Większość dzisiejszych udanych ataków na organizacje zaczyna się od kliknięcia w link udający normalną stronę, czy też otwarcia pliku z – wydawałoby się – istotną dla nas informacją. Króluje tu prosta zasada: nie spodziewałem się czegoś takiego, to podejrzliwie sprawdzam, czy na pewno nie jest to jakaś próba wykorzystania mojej nieuwagi. Nie otwieram plików pochodzących od nieznanych nadawców, a już tym bardziej – nie klikam w linki z wiadomości pocztowych. Bezpieczniej jest je po prostu przepisać niż potem długo żałować ich użycia.
Na koniec, zapytam, jakie są korzyści z regularnych szkoleń z zakresu cyberbezpieczeństwa dla personelu medycznego? Jak Nomios może pomóc w ich organizacji?
A.S.: W ofercie Nomios posiadamy zautomatyzowane systemy szkoleniowe, zapewniające stałe podnoszenie świadomości pracowników odnośnie zagrożeń płynących ze świata cyfrowego. Dodatkowo, po ustaleniu zakresu szkolenia, możemy przygotować dedykowane warsztaty z wybranych zagadnień cyberbezpieczeństwa, jak również szkolenia produktowe, powiązane z rozwiązaniami z naszego portfolio.
Korzyścią płynącą z przeprowadzania takich szkoleń i warsztatów jest na pewno bezpieczeństwo danych nas dotyczących, o które powinniśmy zabiegać i jego wymagać. Może od dzisiaj zaczniemy oprócz zdrowia życzyć sobie również bezpieczeństwa?
To całkiem racjonalne podejście.
Serdecznie dziękujemy za rozmowę.
