Лікарні стають мішенями в новому виді кібервійни

Від самих початків кіберзлочинності дані охорони здоров’я були основною мішенню. До недавнього часу більшість кібератак на лікарні слідували знайомому шаблону: групи, що вимагають викуп, зашифровували медичні записи пацієнтів і вимагали оплату. Мотив був зрозумілим – і він був пов’язаний лише з грошима.

Але експерти з кібербезпеки тепер попереджають про зміну. Дослідники все частіше стикаються з атаками на системи охорони здоров’я, які, як вважають, мотивовані не прибутком, а політикою. Ці інциденти, часто пов’язані з групами, підтримуваними державами, спрямовані на порушення роботи лікарень, крадіжку конфіденційних медичних даних і підірвання довіри громадськості. Організація Об’єднаних Націй назвала кібератаки на охорону здоров’я “прямою і системною загрозою глобальному здоров’ю населення і безпеці”.

Ця еволюція відбувається в час, коли довіра до закладів охорони здоров’я залишається хиткою. Кібератаки посилюють цю недовіру, напружують критичну інфраструктуру і розмивають межу між злочинною діяльністю і геополітичною стратегією. Як людина, яка працює на перетині безпеки охорони здоров’я і обміну розвідданими, я вважаю, що це вже не просто проблема злочинності – це загроза національній безпеці.

Виклик атрибуції

Когда мотиви кібератак на охорону здоров’я змінюються, змінюється також і складність розуміння, хто стоїть за ними – і чому.

На відміну від прямих фінансових мотивів традиційних груп, що вимагають викуп, державно-спонсоровані кампанії часто приховані за шарами складних проксі, хактивістських фронтів або вільно пов’язаних кіберзлочинців. Те, що спочатку здається звичайним інцидентом з вимогою викупу, при глибшому розслідуванні може виявитися ознаками координованої стратегії: цілевим ураженням критичної інфраструктури охорони здоров’я, максимізацією оперативного порушення, і ретельним униканням атрибуції будь-якій державі.

Цей шаблон вже був помічений у високопрофільних випадках. Під час пандемії COVID-19 кілька європейських закладів охорони здоров’я зазнали кібератак, які, як пізніше підозрювали офіційні особи, були пов’язані з іноземними розвідувальними операціями. Хоча атаки спочатку нагадували злочинні кампанії з вимогою викупу, глибший аналіз вказував на ширші цілі – такі як крадіжка досліджень вакцин, порушення надання медичної допомоги під час загальної медичної надзвичайної ситуації, або підірвання довіри до системи охорони здоров’я.

Ця цілова неоднозначність добре служить нападникам. Маскуючи стратегічну саботажу під злочинну діяльність, вони уникають прямих політичних наслідків, одночасно завдаючи серйозної шкоди закладам, які надають медичну допомогу. Для захисників ця розмита межа між злочинністю і геополітикою ускладнює реакцію на всіх рівнях: технічному, оперативному і дипломатичному.

У сфері охорони здоров’я безпека пацієнтів знаходиться під безпосередньою загрозою під час кіберінциденту, і немає часу або можливості для глибшого форензичного аналізу. Без чіткого розуміння природи і мети атаки лікарні та закладів охорони здоров’я можуть неправильно оцінити загрозу, пропустити ширші шаблони і не координувати відповідну оборонну стратегію.

Важливість обміну розвідданими

Ключем до побудови ефективної оборони є колективні дії, які залежать від вільного обміну інформацією. Організації критичної інфраструктури об’єднуються, щоб створити Центри обміну інформацією і аналізу, або ISAC. Health-ISAC об’єднує понад 14 000 осіб через некомерційну галузеву асоціацію, яка сприяє довірчому обміну інформацією про кібербезпеку, що дозволяє швидше і більш координовано реагувати на нові ризики. Health-ISAC з’єднує лікарні, фармацевтичні компанії, страхові компанії та інших учасників, створюючи екосистему, в якій знання течуть більш вільно, а раннє попередження може бути посилено по всьому глобальному співтовариству охорони здоров’я.

Обмін індикаторами компрометації, методами атак, підозрілої поведінки і уроками, вивченими з досвіду, організації можуть перетворити ізольовані спостереження на галузеву розвідку. Сигнатура малвари, виявлена в одній лікарні сьогодні, може бути ранньою попередженням, яке запобіжить хвилі атак по всьому світу завтра. Таким чином, обмін розвідданими перетворює оборону з серії ізольованих битв у координовану, проактивну діяльність.

Однак, побудова і підтримання такого роду співробітництва не позбавлена своїх викликів. Ефективний обмін залежить від довіри: довіри, що конфіденційна інформація буде оброблена відповідально, і довіри, що учасники зобов’язані взаємній обороні. Організації охорони здоров’я повинні бути готовими повідомляти про інциденти прозоро. Створення цієї культури відкритості залишається одним з найбільших викликів галузі, але також однією з її найпотужніших можливостей для зміцнення галузі проти дедалі більш складних загроз.

Побудова стійкості

Хоча потужні засоби кібербезпеки залишаються важливими, реальність полягає в тому, що запобігання кожній атаці є неможливим. Тому інститути охорони здоров’я повинні інвестувати у стійкість: здатність підтримувати або швидко відновлювати критичні послуги під час атаки.

Це починається з підготовки. Організації повинні розробляти і регулярно повторювати детальні плани реагування на інциденти, адаптовані до своїх конкретних робочих процесів, об’єктів і вимог надання медичної допомоги. Ці навчання допомагають персоналу знати, що робити, коли системи виходять з ладу, і забезпечують, що процес прийняття рішень не буде затриманий через плутанину або невизначеність під час кризи.

Сегментовані архітектури мереж також є критичним засобом оборони. Відокремлюючи системи – наприклад, розділяючи медичні пристрої від адміністративних інструментів або ізолюючи лабораторні мережі в окремий сегмент – організації можуть запобігти тому, щоб малвар рухалася в бік і викликала широкомасштабне порушення. Така компартменталізація обмежує шкоду і дає цінний час для команд реагування.

Найважливішим є також сила і доступність систем резервного копіювання і відновлення. Резервні копії повинні зберігатися безпечно, регулярно перевірятися і підтримуватися в автономному або незмінному форматі, щоб запобігти їх маніпулюванню під час атаки. Чим швидше організація зможе відновити медичні записи пацієнтів, інструменти планування, і системи зв’язку, тим швидше вона зможе повернутися до безпечної і ефективної медичної допомоги.

Останні думки

Занадто часто кібератаки показують, що стійкість була behand як післядум. Але в сфері охорони здоров’я – в якій під загрозою життя – вона повинна бути основним пріоритетом. Планування, підготовка і координація вже не є необов’язковими. Вони є передовими оборонними заходами в кібервійні, яку лікарні вже не можуть ігнорувати.

Тепер потрібна зміна мислення. Лідери охорони здоров’я повинні розглядати кібербезпеку не як проблему ІТ, а як складову частини безпеки пацієнтів і довіри до закладів. Це означає виділення ресурсів, залучення персоналу на всіх рівнях і співробітництво за межами організаційних кордонів.

Жодна окрема лікарня не може встояти проти сил, які змінюють ландшафт загроз. Але разом – через спільну розвідку, координовану реакцію і відновлення уваги до стійкості – сектор охорони здоров’я може протидіяти цій зростаючій хвилі і захищати критичні системи, на які мільйони людей спираються щодня.