Hlavní navigace

Bezpečnost dat ve zdravotnictví: většina úniků se zjistí pozdě

Petr Kajzar

Spousta činností ve zdravotnictví se přesouvá do virtuálního prostoru. Zatímco jinde si už uvědomili nutnost zabezpečení citlivých dat, medicína na svou bezpečnostní evoluci zatím čeká.

Nárůst kybernetické kriminality

Všeobecně zaznamenáváme nárůst kybernetické kriminality a nejinak je tomu ve zdravotnictví. To má ale svá specifika. Jednak úložiště dat v ambulancích a nemocnicích obsahují spousty citlivých údajů, které jiné instituce nemohou mít, a jednak pokrývají obrovskou část populace.

Podle časopisu Medscape se cena jednoho zdravotního záznamu s osobními daty pacienta na černém trhu pohybuje okolo 50 dolarů, zatímco podle jiného zdroje je průměrná cena nákladů na „vyžehlení“ problému okolo 200 dolarů za záznam.

Na černém trhu jsou využitelná jména, rodná čísla, kontaktní údaje, diagnózy apod. Kromě záznamů jednotlivých pacientů je však poptávka i po statistických a vědeckých datech nemocnic a výzkumných ústavů. V zahraničí je obvyklá součást záznamu pacienta i informace o platbách za zdravotní péči – tj. čísla pojištění a platebních karet.

Problémy zdravotnictví

Stejně jako v některých jiných odvětvích, značnou potíž IT ve zdravotnictví představuje personální situace. Často jsou IT pozice podfinancované, není dostatek personálu pro zabezpečení informačních technologií a navíc není mnoho dostatečně kvalifikovaných pracovníků. Mimo jiné i to pak vede k tomu, že technologie používané ve zdravotnictví bývají nastavené pokud možno co nejjednodušeji a jednotně, aby umožnily snadnou správu.

Například administrátorské účty a hesla k zdravotnickým přístrojům (rentgeny, CT, infuzní pumpy, dávkovače, anesteziologické přístroje, apod.) bývají často nastaveny ve firmware „natvrdo“, aby umožnily okamžitý přístup servisním pracovníkům. Dokonce i některé manuály k přístrojům upozorňují, že změna přístupových účtů k přístrojům může vést k ztrátě záruky či omezení servisu. Studie v USA s pomocí vyhledávacího nástroje Shodan ukázala, že tisíce přístrojů jsou pak dostupné na veřejných IP adresách a otevřených portech online. Takový stav samozřejmě může vést k napadení nejen inkriminovaného přístroje vzdáleným přístupem, ale jeho prostřednictvím i k napadení celé nemocniční sítě.

Úniky dat

Nejviditelnějším problémem jsou zřejmě úniky citlivých dat ve zdravotnictví. Podle výzkumu Ponemon institutu se v USA s únikem dat potkalo 90 % poskytovatelů zdravotních služeb, navíc 40 % dokonce více než pětkrát v posledních dvou letech. Dle studie jde nejčastěji o ukradená či ztracená zařízení, phishing a malware, až poté následují minoritnější útoky typu spyware, DDoS, clickjacking, rootkity a další.

Jde o zahraniční data a troufám si tvrdit, že pokud by se podobný průzkum dělal u nás, zřejmě by se dospělo k mnohem optimističtějším výsledkům (na jednu stranu spousta útoků zůstává nepozorována a zároveň na druhou stranu jsme zatím příliš malý trh pro podobné útoky).

Klíčové je včasné zjištění průniku útočníka, které hraje významnou roli. Celých 16 % společností v USA působících ve zdravotnictví v průzkumu pro společnost KPMG přiznalo, že nemají vůbec nástroj, kterým by mohli zjistit únik dat, a 23 % nemá dostatečně kvalifikované pracovníky pro zajištění bezpečnosti dat. Podle zjištění společnosti Verizon bylo 39 % útoků zjištěno až po několika měsících. Další práce Verizonu zmiňuje několik studií, které zjistily, že lidé pod dojmem nedostatečné ochrany svých zdravotních dat často před poskytovateli zdravotní péče tají důležité informace, aby zabránili jejich případnému úniku. To samozřejmě může mít dopad na diagnostiku a volbu terapie u těchto pacientů.

Jak jsem zmiňoval výše, často jsou úniky dat umožněny nedostatečně zabezpečenými zdravotnickými přístroji připojenými do sítě. Společnost TrapX se například zmiňuje o úniku dat skrze krevní analyzátor fungující pod starší verzí neaktualizovaných Windows.

Dle Verizonu ale stále nejčastěji jde o zneužití vzdálených přístupů, zneužití sítě či chybu pověřeného pracovníka.

Ransomware

Další významnou kapitolu v bezpečnosti dat začíná hrát ransomware. Množí se útoky, které mají za cíl zašifrovat a znepřístupnit data pacientů (a potenciálně je i ukrást a zneužít). Útočník po zašifrování počítače nechá uživateli zprávu, kam může poslat výkupné (v bitcoinech, tj. anonymně a takřka nedohledatelně), a za tuto platbu poté obdrží speciální privátní klíč, pomocí kterého odemkne buď jeden nebo všechny počítače v síti (podle zaplacené částky).

Na jaře 2016 takový útok zažila nemocnice v Baltimore, jejíž informační systém byl několik dní paralyzován a nakonec musela vyplatit výkupné, aby se znovu dostala ke svým datům.

Problémem v takových případech je zajištění plynulého chodu nemocnice v průběhu výpadku počítačových systémů. Mnohdy nejsou dány postupy, jak se chovat při dlouhodobé nedostupnosti nemocničních informačních technologií, nemocnice pak selhává na všech úrovních od recepce („Kde leží moje babička?“), přes laboratoře, diagnostiku, střední zdravotnický personál až po lékaře (laboratorní výsledky, anamnéza nekontaktního pacienta, zobrazovací metody, předání informací dalšímu lékaři např. z ambulance na oddělení,…).

Ve výše uvedeném případě nemocnice MedStar Health v Baltimore přechodně musela používat papírovou dokumentaci. Podrobnosti sice neuvádějí, ale podle mých zkušeností z mnoha různých nemocnic se papírová dokumentace většinou používá ve stylu „napíšeme to teď ve Wordu, a až systémy naběhnou, zkopírujeme to do nemocničního informačního systému“.

V případech napadení ransomware jde často o lidskou chybu, kdy nepozorný uživatel otevře napadený e-mail či podezřelou přílohu e-mailu nebo zapojí infikovaný USB flashdisk a infikuje tím počítač. Malware, který napadl nemocnici v Baltimore, zřejmě využil jiné cesty, a to zranitelnosti serveru, pomocí kterého se sám rozšířil na počítače v nemocniční síti.

Visual hacking

Samostatným a novým prvkem bezpečnosti dat je tzv. visual hacking, kdy se útočník nemusí nabourávat do počítače, ale z dostupných rozhraní (monitory, tablety, apod.) si vlastním zařízením (nejčastěji mobilem) vyfotí zobrazené informace.

Ve studii Ponemon Institute najatý pracovník navštívil osm (nezdravotnických) institucí v USA a snažil se získávat údaje z obrazovek počítačů a v neuvěřitelných 88 % času byl úspěšný. Dokonce 45 % pokusů o krádež dat dokončil do 15 minut, což ukazuje, že krádež citlivých údajů z nechráněné obrazovky počítače může být velmi rychlá a zůstat nezpozorována. V 70 % případů si totiž jeho pokusů o krádež dat nikdo z pracovníků nevšiml, a pokud náhodou ano, pokus o zastavení přišel pozdě. Mezi „ukradenými“ údaji byly přihlašovací údaje pracovníků, kontaktní údaje, údaje o zákaznících a podobně.

Studie ukázala bezpečnostní hrozbu nekrytých obrazovek počítačů a ačkoli se přímo netýkala zdravotnictví, jistě předkládá důvod k zamyšlení. Na velkých pracovištích, v ambulancích, urgentních příjmech a recepcích se stále pohybuje obrovská spousta lidí, z nichž každý může být teoretickým útočníkem na citlivá data pacientů.

Závěr

Poskytovatelé zdravotních služeb se samozřejmě zveřejnění útoků brání, často ale ani nemají nástroje, jak nějaký útok zjistit. Proto informace o bezpečnosti dat ve zdravotnictví nejsou příliš často na pořadu dne. V poslední době nicméně vidíme, že se úniky dat týkají bank, telefonních operátorů, premiérů a dokonce i šéfa CIA, proto není důvod domnívat se, že se tento problém netýká citlivých dat ve zdravotnictví.

Ukazuje se tedy, že téma bezpečnosti dat je i ve zdravotnictví velkým tématem. Data pacientů jsou samozřejmě zabezpečena pokud možno co nejlépe, ale vzhledem k jejich množství (prakticky každý z nás byl někdy pacientem), vzhledem k obrovskému počtu různých zdravotnických přístrojů a možností jejich propojení a vzhledem k nutnosti komunikace nemocnic a diagnostických přístrojů v různých sítích je vždycky možnost skuliny, kudy se může útočník dostat. Nemluvě o hrozbě největší, která je napříč všemi odvětvími stejná – nezodpovědný koncový uživatel.

Americká zdravotnická asociace (American Medical Association) letos již uvedla zabezpečení dat pacientů jako jeden z devíti největších problémů zdravotnictví a lze všeobecně říci, že jde o problém celosvětový.

Našli jste v článku chybu?

13. 9. 2016 6:11

x (neregistrovaný)

Nemá valný význam řešit technické zabezpečení, když nefungují elementární procesy. Zažil jsem projekt vývoje zdravotnického SW, kdy všichni programátoři měli na svých ntb kopii ostré db a nikomu to nevadilo. Že je to fakt prušvih mi došlo, když jsem při ladění nějaké chyby v programu narazil např. na záznam HIV pozitivní osoby, vč. bydliště a dalších osobních údajů.

13. 9. 2016 11:08

Stav některých portálů, českých pojišťoven, je naprosto katastrofální.

VZP - má svoje mouchy, ale jen v detailech. Celkově vzato je moderní a stále se vyvíjí, pro přihlášení používá osobní certifikát.
ZPMR ČR - vypadá, že se za posledních 20 let vývoj nikam nepohnul, nevyužívá osobní certifikát jako ostatní ZP. Pozitivní je, že funguje a nenutí uživatele ohackovat svůj systém.
VoZP, OZP, RBP - Využívají společné prostředí, kde se vývoj zastavil také ještě v minulém století. Pro přihlášení a pod…

Root.cz: Nová třída SD karet A1 s vysokým výkonem

Nová třída SD karet A1 s vysokým výkonem

Vitalia.cz: 7 originálních adventních kalendářů pro mlsné

7 originálních adventních kalendářů pro mlsné

Lupa.cz: Levný tarif pro Brno nebude, je to kartel

Levný tarif pro Brno nebude, je to kartel

DigiZone.cz: R2B2 a Hybrid uzavřely partnerství

R2B2 a Hybrid uzavřely partnerství

120na80.cz: Boreliózu nelze žádným testem prokázat

Boreliózu nelze žádným testem prokázat

Měšec.cz: Exekuční poradna: ptejte se online

Exekuční poradna: ptejte se online

120na80.cz: Horní cesty dýchací. Zkuste fytofarmaka

Horní cesty dýchací. Zkuste fytofarmaka

Podnikatel.cz: E-Ježíšek si zařádí: nákupy od 2 do 5 tisíc

E-Ježíšek si zařádí: nákupy od 2 do 5 tisíc

Podnikatel.cz: Chaos u EET pokračuje. Jsou tu další návrhy

Chaos u EET pokračuje. Jsou tu další návrhy

Lupa.cz: Insolvenční řízení kvůli cookies? Vítejte v ČR

Insolvenční řízení kvůli cookies? Vítejte v ČR

Lupa.cz: Co se dá měřit přes Internet věcí

Co se dá měřit přes Internet věcí

Měšec.cz: Zdravotní a sociální pojištění 2017: Připlatíte

Zdravotní a sociální pojištění 2017: Připlatíte

Root.cz: Certifikáty zadarmo jsou horší než za peníze?

Certifikáty zadarmo jsou horší než za peníze?

Vitalia.cz: Test na HIV je zdarma i za pět set

Test na HIV je zdarma i za pět set

Podnikatel.cz: Vládu obejde, kvůli EET rovnou do sněmovny

Vládu obejde, kvůli EET rovnou do sněmovny

Měšec.cz: Za palivo zaplatíte mobilem (TEST)

Za palivo zaplatíte mobilem (TEST)

Lupa.cz: Propustili je z Avastu, už po nich sahá ESET

Propustili je z Avastu, už po nich sahá ESET

Měšec.cz: U levneELEKTRO.cz už reklamaci nevyřídíte

U levneELEKTRO.cz už reklamaci nevyřídíte

Vitalia.cz: Láska na vozíku: Přitažliví jsme pro tzv. pečovatelky

Láska na vozíku: Přitažliví jsme pro tzv. pečovatelky

120na80.cz: Pánové, pečujte o svoje přirození a prostatu

Pánové, pečujte o svoje přirození a prostatu