Jak przygotować się na cyberatak i go odeprzeć? 10 porad

Co zrobić, gdy hakerzy zablokowali systemy IT i przez kilka dni nie ma dostępu do dokumentacji elektronicznej? Jak zapobiec cyberatakom i jak się na nie przygotować? Podczas debaty na Forum Rynku Zdrowia padły konkretne wskazówki dotyczące wzmacniania odporności placówek ochrony zdrowia na cyberataki.

• Sprawdź, czy placówka jest w stanie „wytrzymać” 5 dni bez systemów IT. Jak szpital będzie przyjmował pacjentów i dokumentował leczenie? Czy jest w stanie bezpiecznie funkcjonować?
• Każda przychodnia i szpital muszą mieć w zanadrzu aktualne kopie zapasowe. Przetestuj, czy pozwolą one odtworzyć działanie systemu, nawet jeśli atak obejmie również backup.
• Każdy pracownik może mieć dostęp do danych wyłącznie w zakresie swoich kompetencji. Na komputerach placówki nie można mieć zainstalowanych narzędzi AI jak ChatGPT albo Claude.
• W pierwszych minutach po ataku najcenniejsze może okazać się lista kontaktów do ekspertów technicznych i prawników oraz procedura komunikacji na wypadek ataku.
• Czy placówka ma plan finansowy, jeśli awaria systemów uniemożliwi rozliczanie świadczeń z NFZ?

1. Prowadź szkolenia całego (bez wyjątków) personelu

Najprostsza zasada cyberodporności? Świadomość zagrożeń wśród wszystkich osób korzystających z komputerów i systemów szpitala. Atak może rozpocząć się od wiadomości phishingowej, fałszywego SMS-a lub próby podszycia się pod pracownika zaufanej instytucji, np. NFZ. Nawet najlepsze zabezpieczenia techniczne nie zastąpią umiejętności rozpoznawania takich sytuacji.

Dlatego szkolenia z bezpieczeństwa danych muszą być obowiązkowe i organizowane regularnie. Cyberbezpieczeństwo powinno się traktować jak każdą inną procedurę bezpieczeństwa w szpitalu.

– Mamy higienę rąk, której personel uczy się regularnie. Podobnego podejścia wymaga cyberhigiena – mówi dr Michał Zabojszcz, dyrektor Samodzielnego Publicznego Zakładu Opieki Zdrowotnej MSWiA w Krakowie. Jego zdaniem, odporność szpitala na ataki hakerów zaczyna się od budowania świadomości zagrożeń wśród kadry zarządzającej.

2. Stwórzj spójną architekturę cyberbezpieczeństwa

Przypadkowo kupowane i wdrażane antywirusy, systemy monitorujące ruch w sieci, narzędzia antyphishingowe? To nie pomoże. Systemy cyberbezpieczeństwa muszą ze sobą współpracować, być regularnie aktualizowane i odpowiednio nadzorowane. Nie jest to łatwe w placówkach, których infrastruktura informatyczna rozwijała się przez wiele lat. Stopniowo pojawiały się nowe systemy i aplikacje, a z czasem powstało coś, co można przyrównać do „spaghetti przewodów” pod biurkiem – trudno ustalić, jak poszczególne systemy są ze sobą połączone, czy procedury nie nakładają się na siebie.

Jeremi Olechnowicz, dyrektor Pionu Eksploatacji Systemów Teleinformatycznych w Centrum e-Zdrowia, zwraca uwagę, że cyberbezpieczeństwo opiera się na budowie spójnej architektury cyfrowej. Podstawą są szkolenia, ankiety oceniające stan zabezpieczeń oraz stosowanie zaleceń i instrukcji dla podmiotów medycznych opracowywanych przez CSIRT CeZ.

Każda placówka powinna co jakiś czas przeprowadzić audyt własnej infrastruktury, aby identyfikować jej słabe punkty i je usuwać.

3. Hakerzy atakują nocą. Zapewnij monitoring zagrożeń przez całą dobę

Ze statystyk wynika, że przestępcy chętnie atakują wtedy, gdy pracownicy działu IT są już w domu. Najwięcej prób ataków występuje w nocy, w weekendy i święta. Wolniejsza reakcja na incydent daje hakerom czas na działanie. Każdy szpital potrzebuje mechanizmu całodobowego monitorowania zagrożeń i szybkiego reagowania.

Tutaj nie ma większego znaczenia, czy takie zabezpieczenia będą wdrażane przez wewnętrzne zespoły IT, czy przez zewnętrznego dostawcę usług bezpieczeństwa. Alternatywą jest wdrażanie wspólnych rozwiązań przez kilka współpracujących ze sobą placówek, np. w określonym regionie. Takie podejście jest tańsze niż walka z hakerami w pojedynkę.

Ważną rolę pełnią też centra monitorowania bezpieczeństwa (SOC, Security Operations Center). Wspólne rozwiązania mogłyby pomóc placówkom wymieniać się informacjami o zagrożeniach i szybciej reagować na incydenty. Przykładem jest Małopolskie Centrum Cyberbezpieczeństwa w Kobierzynie, które będzie działać jako tarcza cyfrowa dla 14 szpitali wojewódzkich w regionie

4. Aktualizuj systemy, nadawaj pracownikom tylko niezbędne uprawnienia

To powinien już wiedzieć każdy, ale tak nie jest. Systemy IT i oprogramowanie systemowe w każdej placówce zdrowia muszą być aktualizowane niezwłocznie po pojawieniu się nowych wersji. Zadaniem zespołu IT jest dodatkowa kontrola, czy poprawki zostały rzeczywiście zainstalowane. Każda aktualizacja musi być udokumentowana, aby w razie incydentu można było wykazać, jakie procedury obowiązywały i czy były przestrzegane.

Po ostatnich cyberatakach na m.in. MyDr pojawiło się wiele wątpliwości, kto odpowiada za ochronę danych: dostawca oprogramowania czy placówka medyczna. W skrócie, placówka odpowiada za bezpieczeństwo własnych systemów, ocenę ryzyka, zarządzanie dostępami, dobór i konfigurację zabezpieczeń oraz obsługę i zgłaszanie incydentów. Firma IT odpowiada natomiast za bezpieczeństwo dostarczanego oprogramowania i tych elementów infrastruktury lub usługi, które pozostają w jej gestii zgodnie z umową. Podział ten zależy m.in. od modelu wdrożenia: w przypadku systemu instalowanego na serwerach placówki większa część obowiązków technicznych spoczywa na niej, natomiast w modelu chmurowym dostawca odpowiada za utrzymywaną przez siebie warstwę usługi. Współpraca z dostawcą IT nie zwalnia placówki z jej własnych obowiązków prawnych – zakres odpowiedzialności obu stron powinien być jasno określony w umowach.

Jednym z grzechów jest też nadawanie wszystkim lekarzom z góry maksymalnych uprawnień dostępu do danych. W praktyce powinno być odwrotnie: użytkownik powinien mieć dostęp wyłącznie do tych danych i zasobów, które są mu potrzebne do pracy. Do tego zaostrzyć kontrolę dostępu do internetu. Takie decyzje mogą spotykać się z oporem personelu, ale zmniejszają liczbę potencjalnych dróg ataku.

5. Stwórz dający gwarancję odwtworzenia danych system kopii zapasowych

Jedna kopia zapasowa na zewnętrznym nośniku to za mało. Każda placówka powinna mieć strategię architektury kopii zapasowych, odpowiednio skonfigurowaną i regularnie testowaną. Czasami okazuje się, że kopie są, ale nieaktualne albo błędne i nie da się na ich podstawie odzyskać wszystkich danych. To, że system tworzy kopie automatycznie, nie oznacza, że można spać spokojnie.

Cały proces przywracania danych na podstawie backupu trzeba dokładnie przetestować. Kiedy dojdzie do ataku, trzeba działać szybko zgodnie z wcześniej zaplanowanymi procedurami.

6. Personel chętnie korzysta z chatbotów AI, a to może być niebezpieczne

ChatGPT ani Claude nie mogą być wykorzystywane do diagnozowania, ponieważ nie są to certyfikowane narzędzia medyczne. Ale wiele badań wskazuje, że lekarze i tak z nich korzystają. To zjawisko ma już swoją nazwę – „shadow AI” („AI w cieniu”) to sytuacja, w której pracownicy samodzielnie używają narzędzi, których placówka oficjalnie nie wdrożyła.

Jeremi Olechnowicz przypomina, aby każda placówka zdrowia jasno określiła, z jakich narzędzi AI pracownicy mogą korzystać, w jakich sytuacjach, na jakich komputerach oraz jakie dane można wczytywać. Nawet anonimizowane zapytania do czatbotów są zakazane, bo lekarza obejmuje tajemnica lekarska, a samo usunięcie nazwiska i imienia nie oznacza, że pacjenta nie można zidentyfikować.

Jeśli lekarze chcą korzystać z AI do wspomagania decyzji klinicznych, należy zadbać o wdrożenie bezpiecznych, certyfikowanych narzędzi.

7. Przećwicz scenariusz, gdy szpital musi działać bez systemów informatycznych

„Co zrobimy, jeśli nagle przestaną działać systemy, internet i elektroniczna dokumentacja? Jak będziemy przyjmować pacjentów, prowadzić dokumentację, komunikować się między oddziałami i kontynuować leczenie? – te pytania musi zadać sobie każdy dyrektor placówki zdrowia.

Procedury na papierze łatwo skopiować od innych, a potem wrzucić do szuflady i zapomnieć o nich. Trzeba je testować, organizując ćwiczenia decyzyjne z udziałem kierownictwa i pracowników różnych działów. Placówka musi opracować scenariusz, w którym pozostaje bez dostępu do systemów przez dzień, kilka dni lub dłużej. Plan powinien precyzować, jak zagwarantować ciągłość najważniejszych procesów i jak wrócić do normalnego funkcjonowania.

Co zrobić, gdy do ataku hakera dochodzi podczas operacji, a lekarze pilnie potrzebują dostępu do wyników badań i zdjęć z MRI? Co z pacjentami, którzy mają pilne operacje za kilka godzin? Co, gdy laboratorium prowadzące badania zostanie sparaliżowane? Na każde z tych pytań trzeba mieć odpowiedź, zanim dojdzie do sytuacji kryzysowej.

8. Przygotuj się na komunikację kryzysową i zdecydowane działanie od pierwszej sekundy

Pierwsze sekundy cyberataku to szok. Aby nie przerodził się w chaos, trzeba mieć pod ręką procedury. Po pierwsze, sposób technicznego opanowania kryzysu. Po drugie, strategia komunikacji. Pracownicy muszą wiedzieć, kogo powiadomić, kto odpowiada za kontakt z poszczególnymi partnerami, kto koordynuje kolejne działania.

To nie jest wstyd, że jesteśmy zaatakowani. Wstydem jest, że nie wiemy, co się dzieje i nie wiemy, kogo zapytać, żeby nam pomógł. Komunikacja między działami, między firmami ma ogromne znaczenie przy budowaniu odporności. […] W sytuacjach krytycznych warto mieć jasno spisane, jak się komunikować, w jakim celu i jakie informacje trzeba szybko przekazać – mówi Jolanta Malak, regionalna dyrektor sprzedaży na Polskę i Ukrainę w Fortinet.

Pod ręką trzeba mieć aktualną listę kontaktów do osób odpowiedzialnych za bezpieczeństwo, dostawców technologii, partnerów technicznych oraz doradców prawnych. Należy określić, kto komunikuje się z personelem, pacjentami i innymi zainteresowanymi stronami, a kto udziela informacji mediom. Jedna niefortunna wypowiedź pracownika nagrana na korytarzu szpitala przez dziennikarza może być początkiem kryzysu wizerunkowego, który szybko wybucha, ale z którego bardzo trudno wyjść.

9. Dowiedz się, kto za co odpowiada

Placówka powinna znać zakres swoich obowiązków, dokumentować działania związane z bezpieczeństwem oraz regularnie sprawdzać, czy procedury są przestrzegane. Warto też zawczasu ustalić, kto będzie koordynował pracę szpitala, a kto będzie go reprezentował prawnie w razie incydentu.

Jeśli system IT zostanie zablokowany, nad jego reaktywacją i przywróceniem danych powinien pracować zespół złożony z informatyków oraz przedstawicieli dostawcy IT. Ale zanim podejmie się pierwsze kroki, sprawę trzeba zgłosić do CSIRT CeZ. Między innymi po to, aby nie zatrzeć śladów, które mogą okazać się kluczowe w ściganiu cyberprzestępców i działaniach Policji.

10. Traktuj cyberatak jak kryzys z konsekwencjami finansowymi

Atak może uniemożliwić szpitalowi udzielanie świadczeń medycznych oraz rozliczanie ich z Narodowym Funduszem Zdrowia lub innymi płatnikami. A to może zakłócić bieżące finansowanie.

– Jeżeli utracony zostanie dostęp do systemu IT, placówka nie otrzyma żadnych środków z Narodowego Funduszu Zdrowia. Nie ma żadnego zastępczego sposobu rozliczania się, żadnych Exceli ani innych formularzy. Atak hakerów to kryzys, tak samo jak powódź, tak samo jak zaniki napięcia lub inne blackouty – mówi Marcin Kiestrzyn, zastępca dyrektora ds. Ekonomicznych Samodzielnego Publicznego Wojewódzkiego Szpitala Zespolonego w Szczecinie. Jeśli atak trwa kilka tygodni, może to zagrozić stabilności finansowej placówki.

Rozwiązania podnoszące poziom cyberbezpieczeństwa są kosztowne i pojedyncze placówki nie mogą sobie na nie pozwolić. Alternatywą jest współpraca między szpitalami/przychodniami, korzystanie ze sprawdzonych partnerów technologicznych oraz tworzenie rozwiązań regionalnych.

Czytaj także: „Ochrona danych przypomina zamek z tysiącem okien”. Wywiad z Adamem Haertle