Proč mají vaše lékařské záznamy na dark webu 50x větší hodnotu než vaše kreditní karta?

Komentář k blogu:

Podle Ministerstva zdravotnictví a sociálních služeb se úniky dat ve zdravotnictví jen v roce 112 dotkly více než 2023 milionů záznamů o pacientech, což představuje 35% nárůst oproti předchozímu roku. Elektronické zdravotní záznamy (EHR), platformy telemedicíny, propojené zdravotnické prostředky a aplikace pro zdravotnické služby způsobily revoluci v péči o pacienty, ale také vytvořily bezprecedentní bezpečnostní výzvy. Důsledky sahají daleko za rámec regulačních sankcí – ovlivňují důvěru pacientů, klinický provoz a dokonce i bezpečnost pacientů. Tento blog zkoumá kritické rizikové faktory spojené s bezpečností dat ve zdravotnictví a zkoumá strategie pro zmírnění těchto vyvíjejících se hrozeb.

Proč jsou zdravotní záznamy na dark webu tak cenné?

Dark web je část internetu, která není indexována vyhledávači jako Google. Pro přístup k němu je potřeba speciální software, jako je Tor (The Onion Router). Není ve své podstatě nelegální, ale často se používá k anonymní komunikaci a transakcím, což z něj dělá centrum nelegálních aktivit.

Zdravotní data představují dokonalou bouři cenných informací. Na rozdíl od informací o kreditních kartách, které mají po odcizení omezenou životnost, obsahují lékařské záznamy trvalé identifikátory a komplexní osobní údaje, které lze zneužívat po celá léta. Zdravotnické organizace představují atraktivní cíle, jak je znázorněno níže.

• Bohatý na osobní údaje: Lékařské záznamy obsahují celá jména, data narození, čísla sociálního zabezpečení, adresy, údaje o pojištění a někdy i údaje o platbách – zlatý důl pro zloděje identity.
• Delší trvanlivost: Na rozdíl od kreditních karet (které lze zrušit) jsou anamnéza a osobní údaje trvalé, takže jsou užitečnější pro dlouhodobé podvody.
• Starší systémy: Mnoho zařízení používá desítky let starou technologii a často zastaralé a nepodporované operační systémy.
• Pomaleji detekovatelné: Průměrná doba potřebná k odhalení narušení bezpečnosti ve zdravotnictví je výrazně delší než v jiných odvětvích. To dává útočníkům více času na to, aby si udrželi zisk, aniž by byli odhaleni.
• Rozpočtová omezení: Zdravotnické subjekty často mají potíže s vyvážením požadavků na klinické vybavení s požadovanou bezpečnostní infrastrukturou.
• Složitá prostředí: Typická nemocniční síť propojuje tisíce zařízení od stovek dodavatelů, což vytváří obrovské pole pro útok.
• Provoz 24/7: Na rozdíl od jiných odvětví se zdravotnická zařízení nemohou kvůli bezpečnostním aktualizacím jednoduše vypnout.

Zdravotnictví Záznamy mají na černém trhu až 50krát vyšší hodnotu než informace o kreditních kartách. Obsahují vše, co zločinec potřebuje k boji proti krádeži identity, pojistným podvodům a cíleným phishingovým kampaním, říká... ReutersZdravotnictví je hlavním cílem kybernetických útoků kvůli citlivé povaze dat pacientů a potenciálu pro narušení kritických služeb. Organizace musí upřednostňovat investice do kybernetické bezpečnosti a zavádět robustní bezpečnostní opatření k ochraně informací o pacientech a udržení provozní odolnosti.

Rizikové faktory spojené se zabezpečením dat ve zdravotnictví

I když hodnota dat ze zdravotnictví z nich činí hlavní cíl, jsou to právě systémové slabiny odvětví, které zvyšují jeho riziko. Skutečné nebezpečí spočívá v kombinaci dat s vysokou hodnotou a systémových slabin napříč technologiemi, lidmi a procesy. Níže jsou uvedeny klíčové prvky, které toto odvětví i nadále vystavují častým a nákladným bezpečnostním incidentům.

• Ransomware a cílené útoky: Zdravotnické organizace čelí neúnavným kybernetickým hrozbám, včetně ransomwaru, phishingu a malwarových útoků. Zpráva společnosti Verizon o vyšetřování úniků dat (DBIR) z roku 2023 zjistila, že 45 % všech úniků dat ve zdravotnictví bylo způsobeno hackerskými útoky, přičemž ransomware je hlavní příčinou. Tyto útoky jsou stále sofistikovanější a útočníci provádějí důkladný průzkum před spuštěním pečlivě cílených kampaní. Důsledky jsou hrozivé. Výzkum společnosti Univerzita Kalifornie, San Diego odhalily, že útoky ransomwaru na nemocnice vytvářejí dominový efekt, kdy blízká zařízení zaznamenávají prudký nárůst počtu pacientů. Toto zvýšení zátěže bylo spojeno s 81% nárůstem případů srdeční zástavy spolu s znatelným poklesem míry přežití.
• Hrozby z vnitřních zdrojů a lidské chyby: Zatímco externí hackeři se dostávají do titulků novin, hrozby zevnitř zůstávají jedním z nejvýznamnějších rizik pro bezpečnost zdravotnických dat. Tyto hrozby mají různé podoby, jako jsou například záměrné interní útoky zevnitř, které úmyslně zneužívají přístup, nedbalý personál, který naletí na phishingové podvody, a zaměstnanci, kteří postrádají řádné školení v oblasti kybernetické bezpečnosti. Zpráva Verizon o vyšetřování narušení dat za rok 2023 zjistila, že 39 % bezpečnostních incidentů ve zdravotnictví se týkalo interních aktérů, což je výrazně více než průměr 25 % v daném odvětví, což zdůrazňuje potřebu přísnějších kontrol přístupu a školení zaměstnanců.
• Zranitelnosti třetích stran a dodavatelského řetězce: Moderní poskytování zdravotní péče zahrnuje řadu externích dodavatelů, z nichž každý představuje potenciální bezpečnostní riziko. Od fakturačních společností přes poskytovatele cloudových služeb až po výrobce zdravotnických prostředků mají tito partneři často přístup k citlivým datům nebo kritickým systémům. Podle Časopis HIPAAV roce 55 se přibližně 2022 % zdravotnických organizací setkalo s narušením bezpečnosti ze strany třetích stran. Útočníci zneužívají nezabezpečené externí servery, slabá hesla a nedostatečné kontroly přístupu k infiltraci do sítí. Zneužívají také slabé bezpečnostní požadavky ve smlouvách s dodavateli, špatné řízení rizik s dodavateli, omezený přehled o navazujících dodavatelích a nedostatečná ochranná opatření v připojených zdravotnických prostředcích.
• Nedostatek šifrování a maskování dat: Přestože šifrování a maskování jsou základní bezpečnostní kontroly a požadavky HIPAA, mnoho zdravotnických organizací je implementuje nekonzistentně nebo nedostatečně. Maskování není „příjemné mít“ – je to poslední linie obrany, když selžou jiné bezpečnostní kontroly. Bohužel mnoho organizací jej implementuje spíše jako opatření pro zajištění souladu s předpisy než jako komplexní strategii ochrany dat. Mezi klíčové problémy patří nešifrovaná data v klidu – jako jsou záznamy o pacientech a zálohy – spolu se slabými nebo zastaralými šifrovacími standardy, které nedokážou odolat moderním hrozbám. Riziko dále zvyšuje špatná správa šifrovacích klíčů, omezené používání maskování dat v neprodukčním prostředí a mezery, kde jsou data během zpracování nebo přenosu vystavena riziku.
• Zastaralá IT infrastruktura a starší systémy: Zdravotnické organizace často provozují technologickou infrastrukturu, která zaostává za ostatními odvětvími o roky nebo dokonce desetiletí. Tyto zastaralé platformy jsou často nekompatibilní s moderními bezpečnostními nástroji, což ztěžuje aplikaci stávajících ochranných opatření. Specializované zdravotnické vybavení navíc často používá proprietární software, který nelze snadno opravit ani upgradovat. Problémy s integrací situaci dále komplikují, protože propojení starších aplikací s moderními bezpečnostními řešeními často s sebou nese problémy s kompatibilitou a provozní rizika.
• Výzvy v oblasti cloudové bezpečnosti a hromadění dat: Vzhledem k rychlému zavádění cloudové infrastruktury ve zdravotnictví se mnoho organizací potýká s problémy souvisejícími bezpečnostními riziky. Nesprávné konfigurace, zmatek ohledně sdílené odpovědnosti a fragmentovaná multicloudová nastavení vedly jen v roce 30 k více než 2023 milionům odhalených záznamů. Hromadění dat je navíc stále velkým problémem. Studie ukázaly, že 78 % dat pacientů je uloženo déle, než je jejich požadovaná životnost, přičemž 42 % je uchováváno déle než 30 let – což rozšiřuje oblast útoku, zvyšuje rizika související s dodržováním předpisů a zvyšuje náklady na ukládání dat.

Závěrem

Organizace, které upřednostňují bezpečnost jako základní prvek své digitální transformace, a nikoli jako dodatečnou myšlenku, budou mít lepší pozici k ochraně dat pacientů a zároveň k využití technologií ke zlepšení péče. Vzhledem k tomu, že zdravotnictví pokračuje ve svém digitálním vývoji, musí se s ním vyvíjet i bezpečnost – nejen aby splňovala požadavky na dodržování předpisů, ale jako nezbytná součást péče o pacienty.

Přečtěte si více:

Blog: Problém 10.93 milionu dolarů: Jak chránit data ve zdravotnictví

Pod povrchem zákona HIPAA se skrývá riziko ve výši 10.93 milionu dolarů. Vybavte svou zdravotnickou organizaci nezbytnými znalostmi pro proaktivní ochranu citlivých dat, pochopte výzvy v oblasti zabezpečení dat ve zdravotnictví a zajistěte, abyste byli vždy připraveni na audit. Neriskujte pokutu – přečtěte si blog hned teď!