Nárůst kybernetické kriminality
Všeobecně zaznamenáváme nárůst kybernetické kriminality a nejinak je tomu ve zdravotnictví. To má ale svá specifika. Jednak úložiště dat v ambulancích a nemocnicích obsahují spousty citlivých údajů, které jiné instituce nemohou mít, a jednak pokrývají obrovskou část populace.
Podle časopisu Medscape se cena jednoho zdravotního záznamu s osobními daty pacienta na černém trhu pohybuje okolo 50 dolarů, zatímco podle jiného zdroje je průměrná cena nákladů na „vyžehlení“ problému okolo 200 dolarů za záznam.
Na černém trhu jsou využitelná jména, rodná čísla, kontaktní údaje, diagnózy apod. Kromě záznamů jednotlivých pacientů je však poptávka i po statistických a vědeckých datech nemocnic a výzkumných ústavů. V zahraničí je obvyklá součást záznamu pacienta i informace o platbách za zdravotní péči – tj. čísla pojištění a platebních karet.
Problémy zdravotnictví
Stejně jako v některých jiných odvětvích, značnou potíž IT ve zdravotnictví představuje personální situace. Často jsou IT pozice podfinancované, není dostatek personálu pro zabezpečení informačních technologií a navíc není mnoho dostatečně kvalifikovaných pracovníků. Mimo jiné i to pak vede k tomu, že technologie používané ve zdravotnictví bývají nastavené pokud možno co nejjednodušeji a jednotně, aby umožnily snadnou správu.
Například administrátorské účty a hesla k zdravotnickým přístrojům (rentgeny, CT, infuzní pumpy, dávkovače, anesteziologické přístroje, apod.) bývají často nastaveny ve firmware „natvrdo“, aby umožnily okamžitý přístup servisním pracovníkům. Dokonce i některé manuály k přístrojům upozorňují, že změna přístupových účtů k přístrojům může vést k ztrátě záruky či omezení servisu. Studie v USA s pomocí vyhledávacího nástroje Shodan ukázala, že tisíce přístrojů jsou pak dostupné na veřejných IP adresách a otevřených portech online. Takový stav samozřejmě může vést k napadení nejen inkriminovaného přístroje vzdáleným přístupem, ale jeho prostřednictvím i k napadení celé nemocniční sítě.
Úniky dat
Nejviditelnějším problémem jsou zřejmě úniky citlivých dat ve zdravotnictví. Podle výzkumu Ponemon institutu se v USA s únikem dat potkalo 90 % poskytovatelů zdravotních služeb, navíc 40 % dokonce více než pětkrát v posledních dvou letech. Dle studie jde nejčastěji o ukradená či ztracená zařízení, phishing a malware, až poté následují minoritnější útoky typu spyware, DDoS, clickjacking, rootkity a další.
Jde o zahraniční data a troufám si tvrdit, že pokud by se podobný průzkum dělal u nás, zřejmě by se dospělo k mnohem optimističtějším výsledkům (na jednu stranu spousta útoků zůstává nepozorována a zároveň na druhou stranu jsme zatím příliš malý trh pro podobné útoky).
Klíčové je včasné zjištění průniku útočníka, které hraje významnou roli. Celých 16 % společností v USA působících ve zdravotnictví v průzkumu pro společnost KPMG přiznalo, že nemají vůbec nástroj, kterým by mohli zjistit únik dat, a 23 % nemá dostatečně kvalifikované pracovníky pro zajištění bezpečnosti dat. Podle zjištění společnosti Verizon bylo 39 % útoků zjištěno až po několika měsících. Další práce Verizonu zmiňuje několik studií, které zjistily, že lidé pod dojmem nedostatečné ochrany svých zdravotních dat často před poskytovateli zdravotní péče tají důležité informace, aby zabránili jejich případnému úniku. To samozřejmě může mít dopad na diagnostiku a volbu terapie u těchto pacientů.
Jak jsem zmiňoval výše, často jsou úniky dat umožněny nedostatečně zabezpečenými zdravotnickými přístroji připojenými do sítě. Společnost TrapX se například zmiňuje o úniku dat skrze krevní analyzátor fungující pod starší verzí neaktualizovaných Windows.
Dle Verizonu ale stále nejčastěji jde o zneužití vzdálených přístupů, zneužití sítě či chybu pověřeného pracovníka.
Ransomware
Další významnou kapitolu v bezpečnosti dat začíná hrát ransomware. Množí se útoky, které mají za cíl zašifrovat a znepřístupnit data pacientů (a potenciálně je i ukrást a zneužít). Útočník po zašifrování počítače nechá uživateli zprávu, kam může poslat výkupné (v bitcoinech, tj. anonymně a takřka nedohledatelně), a za tuto platbu poté obdrží speciální privátní klíč, pomocí kterého odemkne buď jeden nebo všechny počítače v síti (podle zaplacené částky).
Na jaře 2016 takový útok zažila nemocnice v Baltimore, jejíž informační systém byl několik dní paralyzován a nakonec musela vyplatit výkupné, aby se znovu dostala ke svým datům.
Problémem v takových případech je zajištění plynulého chodu nemocnice v průběhu výpadku počítačových systémů. Mnohdy nejsou dány postupy, jak se chovat při dlouhodobé nedostupnosti nemocničních informačních technologií, nemocnice pak selhává na všech úrovních od recepce („Kde leží moje babička?“), přes laboratoře, diagnostiku, střední zdravotnický personál až po lékaře (laboratorní výsledky, anamnéza nekontaktního pacienta, zobrazovací metody, předání informací dalšímu lékaři např. z ambulance na oddělení,…).
Ve výše uvedeném případě nemocnice MedStar Health v Baltimore přechodně musela používat papírovou dokumentaci. Podrobnosti sice neuvádějí, ale podle mých zkušeností z mnoha různých nemocnic se papírová dokumentace většinou používá ve stylu „napíšeme to teď ve Wordu, a až systémy naběhnou, zkopírujeme to do nemocničního informačního systému“.
V případech napadení ransomware jde často o lidskou chybu, kdy nepozorný uživatel otevře napadený e-mail či podezřelou přílohu e-mailu nebo zapojí infikovaný USB flashdisk a infikuje tím počítač. Malware, který napadl nemocnici v Baltimore, zřejmě využil jiné cesty, a to zranitelnosti serveru, pomocí kterého se sám rozšířil na počítače v nemocniční síti.
Visual hacking
Samostatným a novým prvkem bezpečnosti dat je tzv. visual hacking, kdy se útočník nemusí nabourávat do počítače, ale z dostupných rozhraní (monitory, tablety, apod.) si vlastním zařízením (nejčastěji mobilem) vyfotí zobrazené informace.
Ve studii Ponemon Institute najatý pracovník navštívil osm (nezdravotnických) institucí v USA a snažil se získávat údaje z obrazovek počítačů a v neuvěřitelných 88 % času byl úspěšný. Dokonce 45 % pokusů o krádež dat dokončil do 15 minut, což ukazuje, že krádež citlivých údajů z nechráněné obrazovky počítače může být velmi rychlá a zůstat nezpozorována. V 70 % případů si totiž jeho pokusů o krádež dat nikdo z pracovníků nevšiml, a pokud náhodou ano, pokus o zastavení přišel pozdě. Mezi „ukradenými“ údaji byly přihlašovací údaje pracovníků, kontaktní údaje, údaje o zákaznících a podobně.
Studie ukázala bezpečnostní hrozbu nekrytých obrazovek počítačů a ačkoli se přímo netýkala zdravotnictví, jistě předkládá důvod k zamyšlení. Na velkých pracovištích, v ambulancích, urgentních příjmech a recepcích se stále pohybuje obrovská spousta lidí, z nichž každý může být teoretickým útočníkem na citlivá data pacientů.
Závěr
Poskytovatelé zdravotních služeb se samozřejmě zveřejnění útoků brání, často ale ani nemají nástroje, jak nějaký útok zjistit. Proto informace o bezpečnosti dat ve zdravotnictví nejsou příliš často na pořadu dne. V poslední době nicméně vidíme, že se úniky dat týkají bank, telefonních operátorů, premiérů a dokonce i šéfa CIA, proto není důvod domnívat se, že se tento problém netýká citlivých dat ve zdravotnictví.
Ukazuje se tedy, že téma bezpečnosti dat je i ve zdravotnictví velkým tématem. Data pacientů jsou samozřejmě zabezpečena pokud možno co nejlépe, ale vzhledem k jejich množství (prakticky každý z nás byl někdy pacientem), vzhledem k obrovskému počtu různých zdravotnických přístrojů a možností jejich propojení a vzhledem k nutnosti komunikace nemocnic a diagnostických přístrojů v různých sítích je vždycky možnost skuliny, kudy se může útočník dostat. Nemluvě o hrozbě největší, která je napříč všemi odvětvími stejná – nezodpovědný koncový uživatel.
Americká zdravotnická asociace (American Medical Association) letos již uvedla zabezpečení dat pacientů jako jeden z devíti největších problémů zdravotnictví a lze všeobecně říci, že jde o problém celosvětový.
