Sektor zdrowia to jedna z najbardziej istotnych sfer usług publicznych. Placówki zdrowotne są dysponentami wrażliwych i niezwykle cennych danych. Ten fakt nie umyka uwadze cyberprzestępców. Są oni świadomi, że wyciek danych lub blokada urządzeń mogą spowodować paraliż funkcjonowania placówki, co rodzi presję na zarządzających, zwiększającą ich skłonność do akceptacji żądań przestępców.
Jak wskazują eksperci ds. cyberbezpieczeństwa, kosztownym efektem cyberataku mogą być straty finansowe wynikające zarówno z kar za naruszenie zasad przetwarzania informacji podlegających ochronie, jak również odszkodowań, o które mogą wystąpić pacjenci. Jak wskazują specjaliści Stormshield, przestępcy mogą zwracać się bezpośrednio do osób, w których dane posiadanie weszli, grożąc ich upublicznieniem.
Ataki coraz bardziej wyrafinowane
Przestępcy działają w sposób coraz bardziej wyrafinowany. Ich ataki na sektor zdrowia często są skuteczne, o czym ostatnio miał okazję przekonać się szpital w Gliwicach. Z placówki wyciekły dane pacjentów, którzy korzystali w niej z wymazów w kierunku SARS-CoV2. Jak przyznano, były to m.in. imiona, nazwiska i numery PESEL, a te dane mogą posłużyć oszustom na przykład do zaciągania kredytów.
Każdy tego rodzaju incydent ma swoje konsekwencje finansowe. Na początku 2021 roku Urząd Ochrony Danych Osobowych nakazał przedsiębiorcy z sektora ochrony zdrowia zawiadomienie jego pacjentów o naruszeniu ich danych osobowych oraz przekazanie im zaleceń dotyczących zminimalizowania potencjalnych negatywnych skutków incydentu. Zobligowany do działania podmiot nie wykonał zaleceń i w efekcie została na niego nałożona kara w wysokości 85 tys. złotych.
– Polska ustawa o ochronie danych osobowych przewiduje mniejsze niż w innych krajach kary dla podmiotów sektora finansów publicznych. W przypadku szpitali wynoszą one maksymalnie 100 000 złotych. Wciąż jednak to znacząca kwota dla budżetu każdej placówki medycznej. A problem należy również analizować uwzględniając aspekt odszkodowań. Pacjenci, których dane zostały naruszone mogą składać pozwy sądowe, w których będą dochodzić zadośćuczynienia skutków cyberataków – mówi Aleksander Kostuch, ekspert Stormshield, firmy sektora bezpieczeństwa IT.
Presja na sektor zdrowia nieustannie rośnie
Wzmożone zainteresowanie cyberprzestępców potwierdzają dane. We wrześniu 2021 roku liczba ataków zwiększyła się o 55% w porównaniu do analogicznego okresu w 2020 roku. Średnio każdego tygodnia przestępcy atakują sektor zdrowia 750-krotnie. W tym kontekście istotnym wydarzeniem było wprowadzenie obowiązku prowadzenia i wymiany dokumentacji medycznej drogą elektroniczną. Po wdrożeniu EDM wzrosły znaczenie i rola systemów informatycznych, za pomocą których gromadzone i przetwarzane są dane osobowe, w tym dane medyczne.
– Częstotliwość ataków na placówki ochrony zdrowia wynika między innymi z faktu, że instytucje te nie posiadają odpowiednich zasobów IT, a ich pracownicy nie zawsze są świadomi zagrożeń. Wyzwaniem jest również brak świadomości wśród administratorów sieci, że celem ataku mogą być nie tylko stacje robocze i serwery, a także każde inne urządzenie podłączone do internetu – ocenia Aleksander Kostuch.
Sposób działania cyberprzestępców w odniesieniu do sektora zdrowia obejmuje w znacznej części ataki ransomware. Ich efektem jest blokada działania sprzętu lub zaszyfrowanie znajdujących się na nim danych. Przestępcy wiedzą, że brak dostępu do dokumentacji medycznej lub urządzeń ratujących życie, stanowi poważne zakłócenie płynności działania placówki, co niewątpliwie może skłaniać do akceptacji żądań zapłaty okupu za przywrócenie funkcjonalności infrastruktury IT.
Pacjenci chcą odszkodowania
Lecz skuteczny atak może prowadzić również do poważnych szkód finansowych, także w wymiarze innym niż okup czy kary finansowe ze strony organów dbających o przestrzenie prawa w zakresie przetwarzania informacji wrażliwych. W 2018 roku skradziono dane pacjentów ośrodków psychoterapii w Finlandii. Kiedy firma dotknięta kradzieżą odmówiła zapłacenia okupu, cyberprzestępcy zwrócili się do jej pacjentów, grożąc upublicznieniem wrażliwych informacji na ich temat.
– Cyberprzestępcy nieustannie poszukują nowych form nacisku na organizacje. Przykład z Finlandii to jeden z symptomów wskazujących, w jaką stronę będzie ewoluować ich działalność. Nową formą nacisku, która uzupełni, a czasami będzie zastępować szyfrowanie jako skuteczny sposób zmuszania do płacenia okupów, będzie narażanie na szwank reputacji ofiar. Także w sektorze zdrowia, a może nawet przede wszystkim w nim, reputacja ma swoją wartość. Do tego dojdzie większa świadomość ludzi, którzy będą podejmować kroki prawne, domagając się odszkodowań za straty, na jakie zostali narażeni – wyjaśnia Aleksander Kostuch. – Każdy kto systematyczne wdraża środki w obszarze bezpieczeństwa IT zniechęca napastników. Póki co mają oni do dyspozycji wiele celów, które nie stosują takich rozwiązań, co sprawia, że w ich przypadku szanse powodzenia ataku są dużo większe. Bilans ryzyka i potencjalnych korzyści skłania cyberprzestępców do szukania szansy w pierwszej kolejności właśnie w takich miejscach – dodaje.
(KS, źródło: ImagoPR)
