Kyberbezpečnost je pro zdravotnická zařízení životně důležitá. „Nulové riziko útoku neexistuje a nikdy existovat nebude. Rizikům se dá účinně předcházet, musí se ale od základů změnit přístup managementu nemocnic,“ říká Martin Lohnert ze společnosti Soitron.
Nedávný útok na benešovskou nemocnici rozvířil debatu o kybernetické bezpečnosti a ukázal, že je ochrana zdravotnických zařízení nedostatečná. „Pro nemocnice nebyla IT oblast nikdy prioritou. I když měly vždy nějaké podpůrné oddělení, které dohlíželo na to, aby fungovala konektivita a systémy důležité pro chod zařízení, nikdo koncepčně neřešil zabezpečení,“ doplňuje odborník na IT bezpečnost Stanislav Smolár.
Podle expertů je problémem slabá počítačová gramotnost lékařů a zdravotnického personálu, ve zdravotnictví zoufale chybějí IT experti. Vedení nemocnic si neuvědomuje všudypřítomné nebezpečí. „Jeden z nejrozšířenějších mýtů zní: nás se to netýká. Svému IT oddělení věříme, tudíž se nemůže nic stát. Pokud management nevyburcuje ani legislativa, která existuje i v Česku a ukládá nemocnicím řešit kybernetickou bezpečnost, musí bohužel přijít kritická masa událostí, která ukáže, že jsou ohroženi všichni,“ obává se Lohnert.
Digitalizace zdravotnictví: umělá inteligence pomůže s diagnózami i dostupností péče
V rozpočtech nemocnic většinou není dostatek peněz na IT bezpečnost. Jen pokud ji management začne považovat za zásadní prioritu, dají se hledat účinná řešení. Medicínská zařízení a soubory s daty pacientů jsou pro zdravotnická zařízení nejdůležitější. Ztrátě dat a paralýze nemocnice se dá čelit oddělením životně důležitých systémů od uživatelských sítí. Ransomware totiž většinou útočí přes koncové počítače, ze kterých se nákaza šíří.
Dobrým řešením je najmout si externího experta na cyber security. Kontrola dokáže odhalit, jestli nemáte zranitelný software. To jsou věci, které si mohou nemocnice obstarat poměrně rychle a levně. Lze také zkontrolovat celou interní infrastrukturu nemocnice a analyzovat ji z hlediska bezpečnosti. „Každý podnik, který nemá jistotu, by to měl s externí kontrolou zkusit. Ideální je nezávislý poradce zvenčí, nezainteresovaný na žádné konkrétní zakázce v kontrolované firmě,“ doplňuje Martin Haller z firmy Patron IT.
Jak pomůže stát?
Nemocnice spravují cenná osobní data, za jejichž úniky mohou být extrémně penalizované. „Po útoku často trvá několik týdnů, než se podaří obnovit kritické systémy. Expert na IT vám může ukázat, jak takové katastrofě čelit,“ sděluje IT specialista Marian Špičák. Ve věčném boji s počítačovou kriminalitou může zdravotnickým zařízením pomoci i stát. Rada pro kybernetickou bezpečnost, což je poradní orgán předsedy vlády pro tuto oblast, ale zatím není příliš aktivní. Za své zájmy nelobbují ani Asociace nemocnic ČR, Sdružení soukromých nemocnic ČR, ani další organizace sdružující zdravotnická zařízení.
Ministerstvo zdravotnictví by podle expertů mohlo vytvořit jakýsi manuál pro nemocnice, jak jednotně postupovat při zajištění kyberbezpečnosti. „Nemocnice fungují do značné míry na podobném principu. Pokud by existoval manuál, jak má ideálně vypadat bezpečnostní architektura nemocnic, jaká doporučení by se měla dodržovat, byl by to krok pozitivním směrem. Málokterá firma má zkušeného IT architekta, který by dokázal takovou infrastrukturu navrhnout,“ upozorňuje Lohnert.
Nemocnice by tak nemusela vytvářet bezpečnostní architekturu sama, případně se soukromými externími dodavateli. „V konečném důsledku ale řešení stejně zůstane na té organizaci. Musí tam být uvědomělí lidé, kteří vnímají, že to riziko je dnes reálné a hrozba vážná,“ doplňuje Stanislav Smolár.
| Útok hrozí kdykoliv |
|---|
| Počítačový virus ochromil loni v prosinci benešovskou nemocnici. Z činnosti vyřadil počítačovou síť a přestala fungovat řada životně důležitých přístrojů. Kyberútok byl masivní, rozhodně ale nešlo o první atak na zdravotnická zařízení v Česku. Hackeři ročně zaútočí až na pětinu českých nemocnic. Dosud se většinou dařilo viry zachytit a eliminovat v zárodku, rizika ovšem narůstají.
„Útok hrozí kdykoli v jakékoliv nemocnici, každá používá IT systémy a je napojena na internet,“ upozorňuje ministr zdravotnictví Adam Vojtěch. Ministerstvo podle jeho slov zatím za kyberbezpečnost utratilo přes dvě miliardy korun. Jenže jednotná koncepce neexistuje a každá nemocnice má vlastní zabezpečovací mechanismy. Co se může stát? Datovou síť benešovské nemocnice infikoval vyděračský (ransomware) virus. Virus si navíc počkal, až se spustí automatické zálohy, načež nakazil i zálohovací sever. Následně začal data šifrovat, aby k nim ztratili přístup všichni kromě útočníků. Hackeři mají v úmyslu získat od svých obětí vysoké výkupné za opětovné zpřístupnění dat. Nemocnici nepomohlo ani to, že její vedení nedávno pořídilo za třicet milionů korun nový systém s propracovaným zabezpečením – útočníci si s ním dokázali poradit. Zařízení se vrátilo do běžného provozu až na přelomu roku – tři týdny muselo fungovat ve velmi omezeném provozu, zavřena byla většina oddělení. Všechny plánované prosincové operace byly odloženy na leden a únor, nemocnice stále počítá ztráty. Aktuálně je ve spojení s Národním úřadem pro kybernetickou a informační bezpečnost a řídí se jeho doporučeními. Její zabezpečení by se mělo zlepšit – základem je omezení přístupu uživatelů na internet a omezení kontrolovaných dálkových připojení do nemocniční sítě. |
Článek vyšel v magazínu Profit
