THREAT-WATCHΥΓΕΙΑ
Κυβερνοασφάλεια για την Υγεία
Ο τομέας υγείας είναι ένας από τους κατονομαζόμενους βασικούς τομείς του NIS2, και μια παραβίαση μπορεί να επηρεάσει την ασφάλεια ασθενών και τη συνέχεια φροντίδας, όχι μόνο δεδομένα.
Γιατί αυτός ο κλάδος είναι διαφορετικός
Το NIS2 κατονομάζει ρητά τον τομέα υγείας, συμπεριλαμβανομένων παρόχων υγειονομικής περίθαλψης, εργαστηρίων αναφοράς της ΕΕ και φαρμακευτικών οντοτήτων, στις κατηγορίες βασικών οντοτήτων. Πέρα από την κανονιστική υποχρέωση, η υγεία έχει μοναδικό προφίλ κινδύνου: τα συστήματα δεν μπορούν απλώς να τεθούν εκτός λειτουργίας για αποκατάσταση όπως ένα γραφειακό σύστημα, καθώς η κλινική λειτουργία μπορεί να εξαρτάται άμεσα από αυτά.
NIS2 και GDPR μαζί στην υγεία
Οι πάροχοι υγείας κατονομάζονται ως τομέας βασικών οντοτήτων στο Παράρτημα I του NIS2, οπότε νοσοκομεία και μεγαλύτερες κλινικές που πληρούν τα όρια μεγέθους αντιμετωπίζουν την υψηλότερη βαθμίδα εποπτείας και το υψηλότερο ανώτατο πρόστιμο του Άρθρου 34. Η ιδιαιτερότητα αυτού του τομέα είναι ότι ένα μόνο περιστατικό ενεργοποιεί συνήθως δύο καθεστώτα με δύο διαφορετικά ρολόγια. Μια επίθεση ransomware που κρυπτογραφεί αρχεία ασθενών είναι ταυτόχρονα σημαντικό περιστατικό NIS2, αναφερόμενο στο εθνικό CSIRT εντός 24 ωρών, και παραβίαση προσωπικών δεδομένων GDPR, αναφερόμενη στην Αρχή Προστασίας Δεδομένων εντός 72 ωρών, με χωριστή υποχρέωση ενημέρωσης των ασθενών όπου ο κίνδυνος είναι υψηλός. Πρόκειται για παράλληλα καθήκοντα προς διαφορετικές αρχές, όχι για μία υποβολή. Όσοι έχουν σχεδιάσει μόνο για τη διαδρομή GDPR χάνουν συστηματικά την προθεσμία NIS2, γιατί οι 24 ώρες είναι λίγες και το ρολόι ξεκινά από τη γνώση, όχι από την επιβεβαίωση.
Πώς μοιάζει η κάλυψη σε κλινικό περιβάλλον
Τα κλινικά περιβάλλοντα περιορίζουν την ασφάλεια με τρόπους που τα γραφεία δεν το κάνουν. Οι διασυνδεδεμένες ιατρικές συσκευές είναι ρυθμιζόμενα προϊόντα: συχνά δεν μπορείτε να εγκαταστήσετε agent χωρίς να επηρεάσετε την πιστοποίηση της συσκευής, κάτι που τις τοποθετεί στην ίδια κατηγορία παθητικής παρακολούθησης με τον βιομηχανικό εξοπλισμό. Οι κοινόχρηστοι κλινικοί σταθμοί εργασίας καταρρίπτουν την παραδοχή ότι ένας λογαριασμός ισούται με ένα άτομο, οπότε οι έλεγχοι ταυτότητας πρέπει να επιτρέπουν γρήγορη εναλλαγή προσωπικού χωρίς να καταλήγουν σε κοινό κωδικό σε ένα χαρτάκι. Και η διαθεσιμότητα εδώ είναι ιδιότητα ασφάλειας ζωής και όχι επιχειρηματική μετρική: ο περιορισμός που απομονώνει έναν παραβιασμένο host είναι σωστός σε ένα γραφείο και δυνητικά επικίνδυνος δίπλα σε ασθενή, οπότε η εξουσιοδότηση απόκρισης πρέπει να συμφωνείται ανά κατηγορία συστήματος εκ των προτέρων και όχι να αποφασίζεται κατά τη διάρκεια περιστατικού.
Ransomware κατά κλινικών συστημάτων
Οι επιτιθέμενοι στοχεύουν ειδικά τον τομέα υγείας επειδή η λειτουργική διακοπή δημιουργεί επείγουσα πίεση για πληρωμή, και η διακοπή έχει άμεσες συνέπειες στη φροντίδα ασθενών.
Δεδομένα ασθενών ως στόχος υψηλής αξίας
Οι ιατρικοί φάκελοι έχουν υψηλή αξία μεταπώλησης και μεγάλη διάρκεια χρησιμότητας σε σχέση με άλλους τύπους κλεμμένων δεδομένων.
Παλαιά και συνδεδεμένα ιατρικά συστήματα
Πολλά κλινικά και συνδεδεμένα ιατρικά συστήματα δεν μπορούν να τρέξουν τυπικούς agents τερματικών, απαιτώντας παρακολούθηση σε επίπεδο δικτύου.
Δύο ρολόγια αναφοράς σε ένα περιστατικό
Η ίδια παραβίαση είναι συνήθως αναφερόμενη τόσο υπό το NIS2 (24 ώρες, στο εθνικό CSIRT) όσο και υπό το GDPR (72 ώρες, στην ΑΠΔΠΧ), σε διαφορετικές αρχές και μορφές. Η προετοιμασία μόνο για τη διαδρομή GDPR είναι ο πιο συνηθισμένος τρόπος αποτυχίας σε αυτόν τον τομέα.
Μιλήστε μας για ασφάλεια στον τομέα υγείας
Πείτε μας για το περιβάλλον σας και θα σας εξηγήσουμε πώς φαίνεται το NIS2 και η πρακτική ασφάλεια για εσάς.