Больницы сталкиваются с растущим числом кибератак в новой цифровой войне

На заре киберпреступности информация о здравоохранении была главным призом. В течение многих лет большинство кибератак на больницы происходило по предсказуемой схеме: банды вымогателей блокировали файлы пациентов и требовали выплат. Цель была проста - финансовая выгода.

Но ситуация меняется, предупреждают аналитики по безопасности. Растущая волна нападений на сети медицинских учреждений, похоже, мотивирована не деньгами, а идеологией. Часто связанные с государственными структурами, эти инциденты направлены на то, чтобы парализовать работу больниц, похитить конфиденциальные медицинские данные и подорвать доверие населения. Организация Объединенных Наций назвала такие кибератаки на здравоохранение "прямой и системной угрозой для здоровья и безопасности населения во всем мире".

Это изменение происходит в опасный момент, так как доверие к медицинским учреждениям остается шатким. Киберинциденты усиливают это недоверие, перегружают жизненно важную инфраструктуру и стирают границы между преступной деятельностью и геополитическими маневрами. С моей точки зрения, я занимаюсь вопросами безопасности здравоохранения и обмена разведывательными данными, это уже не просто проблема правоохранительных органов - это угроза национальной безопасности.

Проблема атрибуции

По мере развития стимулов для атак на здравоохранение растет и сложность идентификации преступников и их истинных намерений.

В отличие от обычных операторов выкупных программ, преследующих цель получения прибыли, государственные операции часто маскируются с помощью сложных прокси-серверов, хактивистских групп или независимых киберпреступников. То, что выглядит как обычное событие, связанное с выкупом, при ближайшем рассмотрении может оказаться признаками продуманного плана: выделение важной медицинской инфраструктуры, нацеленность на максимальный сбой и тщательное избегание связей с каким-либо правительством.

Мы уже наблюдали подобную картину в известных случаях. Во время кризиса COVID-19 в нескольких европейских медицинских центрах произошли киберинциденты, которые власти позже связали с попытками иностранного шпионажа. Хотя поначалу эти атаки напоминали криминальные кампании по распространению выкупного ПО, дальнейшее изучение показало наличие более широких целей - например, присвоение данных о разработке вакцин, прерывание медицинской помощи во время кризиса или разжигание скептицизма в отношении медицинских систем.

Такая намеренная двусмысленность выгодна злоумышленникам. Обставляя стратегическое вмешательство как обычное преступление, они избегают политических последствий, нанося при этом серьезные удары по поставщикам медицинских услуг. Для защитников эта "серая зона" между преступлением и государственным устройством мутит воду для ответных действий - технических, оперативных и дипломатических.

В учреждениях здравоохранения благополучие пациентов немедленно ставится под угрозу во время кибернетической атаки, что оставляет мало возможностей для детальной судебно-медицинской экспертизы. Не имея четкого представления о происхождении и целях атаки, больницы могут неправильно оценить опасность, не заметить более широких тенденций и не суметь создать эффективную оборонительную позицию.

Важность обмена разведывательной информацией

Создание надежной защиты зависит от сотрудничества, которое опирается на открытый обмен информацией. Операторы жизненно важных инфраструктур объединяются для создания центров обмена информацией и анализа, или ISAC. Health-ISAC, некоммерческая отраслевая группа, способствует конфиденциальному обмену данными о киберугрозах между более чем 14 000 участников, что помогает ускорить скоординированную реакцию на новые риски. Она объединяет больницы, производителей лекарств, страховые компании и других партнеров, создавая среду, в которой информация распространяется более открыто, а сигналы тревоги передаются по всей международной сети здравоохранения.

Распространяя индикаторы компрометации, методы атак, аномальные действия и информацию о мерах реагирования, организации могут превратить индивидуальные находки в коллективные знания. Вредоносная сигнатура, обнаруженная на одном объекте сегодня, может предотвратить глобальную атаку завтра. В этом смысле обмен разведывательными данными превращает защиту из изолированных стычек в единое, перспективное мероприятие.

Однако развитие и поддержание такого сотрудничества сопряжено с определенными трудностями. Для успешного обмена информацией необходимо доверие: уверенность в том, что частные данные будут обрабатываться надлежащим образом и что все участники будут стремиться к общей безопасности. Органы здравоохранения должны быть готовы открыто сообщать об инцидентах. Формирование такой культуры прозрачности остается одной из самых трудных задач в этой области, но и одним из самых перспективных шансов укрепить отрасль против постоянно растущих угроз.

Повышение устойчивости

Хотя сильная киберзащита имеет решающее значение, правда заключается в том, что остановить каждое вторжение невозможно. Именно поэтому медицинские учреждения должны уделять первостепенное внимание устойчивости: способности поддерживать или быстро восстанавливать основные функции во время атаки.

Это начинается с готовности. Организации должны разработать и регулярно практиковать планы реагирования на инциденты, которые отражают их уникальные процессы, помещения и потребности пациентов. Такие тренировки готовят персонал к системным сбоям и предотвращают задержки в принятии решений в случае возникновения кризисной ситуации.

Еще одним важным средством защиты является сегментированное проектирование сети. Разделяя системы - например, размещая медицинское оборудование отдельно от офисного программного обеспечения или изолируя лабораторные сети, - учреждения могут предотвратить распространение вредоносного ПО по всей своей инфраструктуре. Такое разделение предотвращает нанесение ущерба и предоставляет командам реагирования критически важное дополнительное время.

Не менее важны надежные и доступные механизмы резервного копирования и восстановления. Резервные копии должны надежно храниться, часто проверяться и храниться в автономном или неизменяемом виде для защиты от подделки во время инцидента. Чем быстрее организация сможет восстановить медицинские записи, системы записи на прием к врачу и коммуникационные платформы, тем быстрее она сможет возобновить безопасное и эффективное обслуживание.

Заключительные мысли

Слишком часто кибер-инциденты показывают, что устойчивость к внешним воздействиям - это проблема, которой не уделяется должного внимания. Но в здравоохранении - там, где на волоске находятся человеческие жизни, - это должно быть главным обязательством. Стратегия, репетиции и командная работа больше не являются излишествами. Это важнейшие средства защиты в цифровом конфликте, которыми больницы больше не могут пренебрегать.

Необходим новый взгляд на вещи. Руководители медицинских учреждений должны относиться к кибербезопасности не как к технической проблеме, а как к неотъемлемой составляющей благополучия пациентов и авторитета организации. Это подразумевает выделение бюджета, обучение персонала всех уровней и налаживание партнерских отношений за пределами собственных стен.

Ни одно учреждение не может в одиночку противостоять меняющемуся ландшафту угроз. Но все вместе - благодаря общему пониманию, синхронным действиям и усиленному акценту на выносливость - сектор здравоохранения может противостоять этой растущей угрозе и защитить жизненно важные системы, которые ежедневно обслуживают миллионы людей.