Злами медичних даних: Постійна загроза, незважаючи на зниження втрат

Сфера охорони здоров'я залишається основною мішенню для кіберзлочинців, незважаючи на деякі обнадійливі зрушення у витратах, пов'язаних з витоками даних. У 2024 році середня вартість витоку даних знизилася до $9,77 млн порівняно із $10,93 млн у 2023 році{{Footnote.N76502}}.

Однак це зменшення не має викликати почуття заспокоєння — сфера охорони здоров'я залишається найбільш вразливою для кібератак, які можуть мати руйнівні наслідки як для пацієнтів, так і для лікарів.

Вразливості безпеки даних у сфері охорони здоров'я

Заклади охорони здоров'я — від приймалень лікарів, клінік та лікарень до центрів візуалізації, діагностичних лабораторій та науково-дослідних установ — зіштовхуються з низкою унікальних викликів у сфері безпеки даних через декілька факторів:

• Складний рух конфіденційних медичних даних між пристроями та системами, такими як комп'ютерні томографи, ультразвукові апарати та адміністративні комп'ютери, створює безліч потенційних точок вразливості для втрати даних.
• Багато організацій не мають достатнього штату фахівців з кібербезпеки та цілісних стратегій безпеки та часто приймають рішення про закупівлю обладнання та програмного забезпечення ситуативно, коли з'являються вільні кошти, замість дотримання комплексного плану безпеки. Це особливо характерно для невеликих компаній та ще більше ускладнюється через глобальний дефіцит спеціалістів з кібербезпеки.

Ці вразливості в поєднанні з надзвичайною критичністю операцій у сфері охорони здоров'я вимагають від організацій вийти за рамки реактивних заходів безпеки та розробити комплексні проактивні стратегії захисту. Наслідки нездатності вирішити ці проблеми можуть бути далекосяжними та серйозними.

Масштабний вплив витоків даних

Коли організації охорони здоров'я стикаються з витоками даних, наслідки виходять далеко за межі безпосередніх фінансових втрат:

• Пацієнти швидко втрачають довіру до організації, якщо їхня медична інформація виявляється доступною зловмисникам, що може призвести до серйозних наслідків для їхнього здоров'я, якщо дані про лікування будуть змінені або стануть недоступними.
• Надавачі послуг часто зазнають значної репутаційної шкоди, що призводить до зменшення кількості пацієнтів та фінансової нестабільності.
• Операційні збої можуть бути масштабними та потребувати значних ресурсів для відновлення систем і даних в умовах управління зростаючими витратами та втраченими доходами.

Масштаби цієї проблеми є настільки великими, що за результатами опитування Sophos у 2024 році{{Footnote.N76503}} 37% закладів охорони здоров'я потребували більше місяця для відновлення після атак зловмисників, причому майже всі постраждалі повідомляли про спроби зламати їхні резервні системи.

Виклик поширення програм-вимагачів

Програми-вимагачі досі є однією з найсерйозніших загроз для закладів охорони здоров'я в усьому світі. У 2023 році на ці атаки припадало 54% усіх інцидентів кібербезпеки на території Європейського Союзу. Ще більше занепокоєння викликає той факт, що лише 27%{{Footnote.N76504}} медичних закладів, які взяли участь в опитуванні, впровадили спеціальні програми захисту від програм-вимагачів.

Заклади охорони здоров'я є особливо привабливими цілями через надзвичайну важливість діяльності та чутливість даних. У разі зламу систем обслуговування пацієнтів медичні заклади стикаються з величезним тиском щодо швидкого відновлення роботи, через що вони з більшою ймовірністю будуть змушені платити викуп, аніж організації з інших галузей.

Ставки надзвичайно високі. Затримки в лікуванні або доступі до медичної документації можуть мати безпосередні наслідки для пацієнтів.

Сучасні атаки з використанням програм-вимагачів еволюціонували від простого шифрування даних до стратегій крадіжки даних та подвійного вимагання, коли зловмисники погрожують опублікувати конфіденційну інформацію про пацієнта, якщо не отримають додаткових коштів.

Це ставить надавачів медичних послуг у складне становище, коли вони змушені зважувати міркування конфіденційності пацієнтів та безперервності надання послуг.

Незважаючи на серйозність цих загроз, рівень впровадження засобів захисту від програм-вимагачів залишається недостатнім у всій галузі. У багатьох установах відсутня належна сегментація мережі, надійні протоколи резервного копіювання або комплексні плани реагування на інциденти, адаптовані до сценаріїв програм-вимагачів.

Глобальні нормативні вимоги з кібербезпеки та їх дотримання

Влада в усьому світі визнала необхідність посилення захисту даних у сфері охорони здоров'я. Як наслідок, запроваджуються дедалі жорсткіші регуляторні норми, які підкреслюють серйозний характер загроз для цієї галузі.

На базовому рівні Європейський Союз застосовує Загальний регламент про захист даних (GDPR), тоді як директива NIS2 регламентує питання мережевої та інформаційної безпеки в конкретних вертикальних сферах, в тому числі в охороні здоров'я.

У США продовжує вдосконалюватися Закон про мобільність та підзвітність медичного страхування (HIPAA), нещодавні поправки до якого покликані посилити захист електронної захищеної медичної інформації (ePHI) від кіберзагроз.

Європейська комісія також запропонувала План дій з кібербезпеки в охороні здоров'я для підвищення стійкості галузі до атак, визнаючи, що одних лише нормативно-правових актів недостатньо без належної освіти та підтримки.

Виконання цих нормативних вимог вимагає надійних технічних рішень, серед яких шифрування відіграє особливо важливу роль для захисту конфіденційних даних. Однак не всі рішення для шифрування забезпечують однаковий рівень безпеки та відповідності нормативним вимогам.

Чому апаратне шифрування є необхідним для захисту медичних даних

Коли йдеться про захист медичних даних, не всі рішення для шифрування даних є рівноцінними. Апаратне шифрування забезпечує кращий захист порівняно з програмними аналогами, особливо від складних атак та спроб несанкціонованого втручання. Це стає особливо актуальним у разі передачі конфіденційних даних на зовнішніх носіях.

Сучасні рішення з апаратним шифруванням, такі як лінійка Kingston IronKey, мають надійні функції захисту. USB-накопичувач Kingston IronKey Vault Privacy 50 , що має сертифікацію FIPS 197 (очікується), забезпечує захист від BadUSB завдяки вбудованому програмному забезпеченню з цифровим підписом та захист від атак методом перебору паролів.

Для зберігання великих обсягів даних варто звернути увагу на зовнішній твердотільний накопичувач Kingston IronKey Vault Privacy 80 що має апаратне шифрування XTS-AES 256-bit, сертифікацію FIPS 197 та ємність до 7,68 ТБ. Завдяки незалежному від операційної системи дизайну та сенсорному інтерфейсу цей накопичувач ідеально підійде для безпечного зберігання та передачі даних у закладах охорони здоров'я. Накопичувач стане особливо у пригоді малим та середнім установам оскільки може стати рішенням для ізольованого резервного копіювання, що дозволяє захиститися від програм-вимагачів та пришвидшити відновлення після збоїв.

Заходи щодо захисту даних пацієнтів

Хоча зниження вартості витоків даних у сфері охорони здоров'я може свідчити про певний прогрес, галузь має зберігати пильність у впровадженні комплексних заходів кібербезпеки. Захист конфіденційної інформації пацієнтів вимагає комплексного підходу, що має охоплювати:

• Надійне апаратне шифрування для зберігання та передачі даних
• Регулярне навчання співробітників методам забезпечення безпеки та впровадження стандартів кібергігієни
• Комплексні планові стратегії безпеки, а не ситуативні рішення
• Оперативне забезпечення відповідності новим нормативним вимогам
• Інвестиції у спеціалізовані компетенції з кібербезпеки для подолання дефіциту кваліфікованих кадрів у галузі

За допомогою таких заходів медичні установи зможуть краще захистити дані пацієнтів та зберегти їхню довіру, без якої надання ефективної медичної допомоги неможливе. Захистіть свої медичні дані за допомогою належного шифрування. Зверніться за фаховою консультацією до команди експертів Kingston Ask an Expert.