В подкасте Мартин Теттке объясняет, в каких областях медицинским учреждениям необходимо улучшить свою систему информационной безопасности: открытые сети, нехватка персонала и более быстрые атаки.
Незащищенная сеть Wi-Fi, предустановленные данные для доступа и двери в отделение неотложной помощи и операционную, которые могли быть открыты из-за этого: случай, произошедший в одной из больниц, демонстрирует, насколько серьезными могут быть последствия недостатков в области ИТ-безопасности. Об этом в подкасте "Digital Health" на сайте heise online рассказал Мартин Теттке. Много лет он руководил центром сертификации и уполномоченной организацией компании Berlin Cert GmbH, где занимался вопросами ИТ-безопасности медицинских изделий. В настоящее время он работает в Федеральном институте оценки рисков (BfR) в отделе сетевой безопасности.
Информатор сообщил о уязвимости в системе безопасности порталу heise online. Редакция онлайна подтвердила эту информацию: через открытую сеть Wi-Fi был возможен доступ к сети клиники, что позволяло открыть несколько дверей. Имя пользователя и пароль по умолчанию были установлены как "admin", что даже указано в инструкции. Информатор уже сообщил об этом в больницу, но его сообщение было первоначально проигнорировано. Только после запроса от heise online администрация клиники начала решать проблему. Однако из-за периода отпусков уязвимость не была устранена сразу. Официальный комментарий от больницы пока отсутствует.
"Сбой на всем протяжении цепочки".
По мнению Теттке, в данном случае произошли серьезные ошибки на нескольких уровнях. Поставщик услуг никогда не должен передавать систему с использованием стандартных данных для доступа. В свою очередь, больница должна была при приемке проверить, соответствуют ли базовым требованиям безопасности. "На мой взгляд, это явный системный провал", - говорит Теттке. Сети, используемые для управления, медицинского оборудования и контроля доступа, должны быть четко разделены. Он также считает, что ответственность лежит на руководстве клиники. Другой риск – использование несанкционированных IT-решений, например, когда сотрудники подключают собственные точки доступа Wi-Fi к сети. Ситуация усугубляется тем, что многим больницам, как отмечали представители Федеральной ассоциации медицинских информационных технологий весной, попросту не хватает средств и персонала для надлежащей оценки и приоритезации таких рисков.
Клиническим учреждениям необходимо понимать, от каких систем зависят различные процессы: отказ системы электронной почты имеет одни последствия, а отказ аппарата искусственной вентиляции легких – другие. Производители и поставщики услуг также должны учитывать потребности операторов, например, с помощью спецификаций программного обеспечения (SBOM), которые используются и в разработке медицинских изделий. Увеличение требований отражает отчет о растущей сложности ИТ-требований для клинических учреждений. При внедрении нового оборудования отдел информационных технологий должен быть привлечен как можно раньше.
Рекомендуемый редакционный контент.
С вашего разрешения будет загружен внешний подкаст (компания Podigee GmbH).
Я согласен на то, чтобы мне отображался контент из внешних источников. Это может привести к передаче персональных данных на сторонние платформы (Podigee GmbH). Подробнее об этом в нашей политике конфиденциальности.
Меньше времени на реакцию.
По мнению Теткеса, ситуация с угрозами значительно изменилась. Раньше, после обнаружения уязвимости, оставалось достаточно времени для ее устранения. Сегодня необходимо немедленно задаться вопросом, подверглись ли мы уже атаке. "Устранение уязвимости через два-три дня, вероятно, было бы уже слишком поздно". Хотя модели искусственного интеллекта могут помочь злоумышленникам, их также можно использовать для проверки собственных сетей. Недавняя кризисная симуляция, проведенная учеными из института Фраунгофера, показала, насколько непредсказуемыми могут быть кибератаки на медицинские учреждения, и один из экспертов отметил ранее неизвестную динамику развития событий.
Для того чтобы оперативно реагировать и иметь возможность проверять собственные сети, необходим квалифицированный персонал. Тетке считает, что аргумент о том, что специалистов трудно найти и они дороги, не является решающим: "Каждый инцидент в области безопасности обходится гораздо дороже, чем стоимость найма одного-двух или трех новых сотрудников". Он лично наблюдал, как в течение недели была полностью парализована работа радиологического отделения в одной из больниц.
Первоисточник — Heise
Сообщите редакции. Существенные исправления мы отмечаем в материале