Revisió analítica de les amenaces de ciberseguretat als sistemes d'informació mèdica rellevants durant el període 2007-2017.
Aquesta revisió es va marcar amb una carta d'agraïment del Ministeri de Salut de la Federació Russa (vegeu la captura de pantalla sota el spoiler).
Què tan comuns són els sistemes d'informació mèdica a Rússia?
- L'any 2006, Informatics of Siberia (una empresa informàtica especialitzada en el desenvolupament de sistemes d'informació mèdica) va informar [38]: “MIT Technology Review publica periòdicament una llista tradicional de deu tecnologies prometedores de la informació i la comunicació que tindran el major impacte en la vida humana a el futur proper.” societat. L'any 2006, 6 de cada 10 llocs d'aquesta llista estaven ocupats per tecnologies relacionades d'alguna manera amb problemes mèdics. L'any 2007 va ser declarat "l'any de la informatització sanitària" a Rússia. Del 2007 al 2017, la dinàmica de dependència sanitària de les tecnologies de la informació i la comunicació està en constant augment”.
- El 10 de setembre de 2012, el centre analític i d'informació de sistemes oberts va informar [41] que el 2012, 350 clíniques de Moscou estaven connectades a EMIAS (sistema analític i d'informació mèdica unificat). Una mica més tard, el 24 d'octubre de 2012, la mateixa font va informar [42] que actualment 3,8 mil metges tenen estacions de treball automatitzades i 1,8 milions de ciutadans ja han provat el servei EMIAS. El 12 de maig de 2015, la mateixa font va informar [40] que EMIAS opera a les 660 clíniques públiques de Moscou i conté dades de més de 7 milions de pacients.
- El 25 de juny de 2016, la revista Profile va publicar [43] una opinió experta del centre analític internacional PwC: “Moscou és l'única metròpoli on s'ha implementat completament un sistema unificat per a la gestió de les clíniques de la ciutat, mentre que una solució similar està disponible en altres ciutats del món, incloses Nova York i Londres, només es troba en l'etapa de discussió". "Perfil" també va informar que el 25 de juliol de 2016, el 75% dels moscovites (uns 9 milions de persones) estaven registrats a EMIAS, més de 20 mil metges treballen al sistema; des de la posada en marxa del sistema, s'han realitzat més de 240 milions de cites amb metges; Més de 500 mil operacions diferents es realitzen diàriament al sistema. El 10 de febrer de 2017, Ekho Moskvy va informar [39] que actualment a Moscou més del 97% de les cites mèdiques es fan amb cita prèvia, feta a través de l'EMIAS.
- El 19 de juliol de 2016, Veronika Skvortsova, ministra de Salut de la Federació Russa, va declarar [11] que a finals de 2018, el 95% dels centres mèdics del país estaran connectats al sistema d'informació de salut de l'estat unificat (USHIS), a través de la introducció d'una història clínica electrònica unificada (EMR). La llei corresponent que obliga les regions russes a connectar-se al sistema ha estat objecte de discussió pública, acordada amb tots els organismes federals interessats i aviat serà presentada al govern. Veronika Skvortsova va informar que a 83 regions van organitzar una cita electrònica amb un metge; es va introduir un sistema regional unificat d'enviament d'ambulàncies a 66 regions; a 81 regions del país hi ha sistemes d'informació mèdica, als quals el 57% dels metges tenen estacions de treball automatitzades connectades. [onze]
Ens pots explicar més sobre el Sistema Unificat d'Informació Sanitària de l'Estat (USSIZ)?
- EGSIZ és l'arrel de tots els MIS (sistemes d'informació mèdica) domèstics. Consta de fragments regionals - RISUZ (sistema d'informació regional de gestió de la salut). EMIAS, que ja es va esmentar més amunt, és una de les còpies de RISUZ (la més famosa i prometedora). [51] Tal com han explicat [56] els editors de la revista "Director del Servei d'Informació", USSIZ és una infraestructura informàtica de xarxa en núvol, la creació de segments regionals de la qual la duen a terme centres de recerca a Kaliningrad, Kostroma, Novosibirsk, Orel, Saratov, Tomsk i altres ciutats de la Federació Russa.
- La tasca de l'USSIZ és eradicar la "informatització de mosaic" de l'assistència sanitària; mitjançant la interconnexió de MIS de diversos departaments, cadascun dels quals, abans de la implementació de la Institució Social Unificada de l'Estat, utilitzava el seu propi programari fet a mida, sense cap estàndard centralitzat unificat. [54] Des de 2008, l'espai d'informació sanitària unificada de la Federació Russa es basa en 26 estàndards informàtics de la indústria [50]. 20 d'ells són internacionals.
- El treball dels centres mèdics depèn en gran mesura dels MIS, com OpenEMR o EMIAS. Els MIS proporcionen emmagatzematge d'informació sobre el pacient: resultats diagnòstics, dades sobre medicaments prescrits, historial mèdic, etc. Els components més comuns del MIS (a partir del 30 de març de 2017): EHR (Registres mèdics electrònics): un sistema de registres mèdics electrònics que emmagatzema les dades del pacient de forma estructurada i manté el seu historial mèdic. NAS (Network Attached Storage): emmagatzematge de dades de xarxa. DICOM (Digital Imaging and Communications in Medicine) és un estàndard per a la generació i intercanvi d'imatges digitals en medicina. PACS (Picture Archiving and Communication System) és un sistema d'emmagatzematge i intercanvi d'imatges que funciona d'acord amb l'estàndard DICOM. Crea, emmagatzema i visualitza imatges mèdiques i documents dels pacients examinats. El més comú dels sistemes DICOM. [3] Tots aquests MIS són vulnerables a ciberatacs sofisticats, els detalls dels quals estan disponibles públicament.
- El 2015, Zhilyaev P.S., Goryunova T.I. i Volodin K.I., experts tècnics de la Universitat Tecnològica Estatal de Penza, van dir [57] en el seu article sobre la ciberseguretat en el sector mèdic que EMIAS inclou: 1) CPMM (registre electrònic mèdic integrat); 2) registre de pacients de tota la ciutat; 3) sistema de gestió del flux de pacients; 4) sistema d'informació mèdica integrat; 5) sistema de comptabilitat de gestió consolidada; 6) sistema de registre personalitzat de l'atenció mèdica; 7) sistema de gestió del registre mèdic. Pel que fa a CPMM, segons l'informe [39] de la ràdio Ekho Moskvy (10 de febrer de 2017), aquest subsistema es construeix a partir de les millors pràctiques de l'estàndard OpenEHR, que és la tecnologia més progressista a la qual s'estan avançant els països tecnològicament desenvolupats. movent-se.
- Els editors de la revista Computerworld Russia també van explicar [41] que, a més d'integrar tots aquests serveis entre si i amb el MIS de les institucions mèdiques, EMIAS també està integrat amb el programari del fragment federal "EGIS-Zdrav" (USIS és un sistema d'informació estatal unificat) i sistemes electrònics govern, inclosos els portals de serveis governamentals. Una mica més tard, el 25 de juliol de 2016, els editors de la revista Profile van aclarir [43] que actualment l'EMIAS combina diversos serveis: centre de situació, registre electrònic, EHR, recepta electrònica, certificats de baixa, servei de laboratori i comptabilitat personalitzada.
- El 7 d'abril de 2016, els editors de la revista “Director of Information Service” van informar [59] que l'EMIAS havia arribat a les farmàcies. Totes les farmàcies de Moscou que distribueixen medicaments amb receptes preferents han posat en marxa un "sistema automatitzat per gestionar el subministrament de medicaments a la població" - M-Apteka.
- El 19 de gener de 2017, la mateixa font va informar [58] que l'any 2015 es va iniciar a Moscou la implantació d'un servei unificat d'informació radiològica (ERIS), integrat amb EMIAS. Per als metges que remeten derivacions als pacients per a diagnòstics, s'han desenvolupat mapes tecnològics per a exàmens de raigs X, ecografia, TC i ressonància magnètica, que estan integrats amb EMIAS. A mesura que el projecte s'amplia, es preveu connectar els hospitals amb els seus nombrosos equipaments al servei. Molts hospitals tenen el seu propi MIS i també caldrà integrar-hi. Els editors de Profile també afirmen que veient l'experiència positiva de la capital, les regions també estan interessades a implementar EMIAS.
Ens pots explicar més sobre les característiques tècniques dels sistemes d'informació mèdica nacionals?
- La informació d'aquest paràgraf es va extreure de la revisió analítica [49] de "Informatics of Siberia". Al voltant del 70% dels sistemes d'informació mèdica es construeixen sobre bases de dades relacionals. L'any 1999, el 47% dels sistemes d'informació sanitària utilitzaven bases de dades locals (d'escriptori), la gran majoria de les quals eren taules dBase. Aquest enfocament és típic del període inicial de desenvolupament de programari per a la medicina i la creació de productes altament especialitzats.
- Cada any disminueix el nombre de sistemes domèstics basats en bases de dades d'escriptori. L'any 2003, aquesta xifra era només del 4%. Avui dia, gairebé cap desenvolupador utilitza taules dBase. Alguns productes de programari utilitzen el seu propi format de base de dades; Sovint s'utilitzen en formularis farmacològics electrònics. Actualment, el mercat nacional disposa d'un sistema d'informació mèdica construït fins i tot sobre el seu propi SGBD de l'arquitectura "client-servidor": e-Hospital. És difícil imaginar raons objectives per a aquestes decisions.
- Quan es desenvolupen sistemes d'informació mèdica nacionals, s'utilitzen principalment els següents DBMS: Microsoft SQL Server (52.18%), Cache (17.4%), Oracle (13%), Borland Interbase Server (13%), Lotus Notes/Domino (13%) . Per comparació: si analitzem tot el programari mèdic amb l'arquitectura client-servidor, la quota del SGBD de Microsoft SQL Server serà del 64%. Molts desenvolupadors (17.4%) permeten l'ús de diversos DBMS, la majoria de vegades una combinació de Microsoft SQL Server i Oracle. Dos sistemes (IS Kondopoga [44] i Paracels-A [45]) utilitzen diversos DBMS simultàniament. Tots els SGBD utilitzats es divideixen en dos tipus fonamentalment diferents: relacionals i post-relacionals (orientats a objectes). Avui en dia, el 70% dels sistemes d'informació mèdica nacionals es basen en SGBD relacionals i el 30% en sistemes post-relacionals.
- Quan es desenvolupen sistemes d'informació mèdica, s'utilitzen diverses eines de programació. Per exemple, DOKA+ [47] està escrit en PHP i JavaScript. "E-Hospital" [48] es va desenvolupar a l'entorn Microsoft Visual C++. Amulet: a l'entorn Microsoft Visual.NET". Infomed [46], que s'executa sota Windows (98/Me/NT/2000/XP), té una arquitectura client-servidor de dos nivells; la part client està implementada en el llenguatge de programació Delphi; La part del servidor està controlada pel SGBD d'Oracle.
- Aproximadament el 40% dels desenvolupadors utilitzen eines integrades al SGBD. El 42% utilitza els seus propis desenvolupaments com a editor d'informes; 23%: eines integrades al SGBD. Per automatitzar el disseny i la prova del codi del programa, el 50% dels desenvolupadors utilitzen Visual Source Safe. Com a programari per crear documentació, el 85% dels desenvolupadors utilitzen productes de Microsoft: l'editor de text Word o, com, per exemple, els creadors d'e-Hospital, Microsoft Help Workshop.
- El 2015, Ageenko T.Yu. i Andrianov A.V., experts tècnics de l'Institut de Tecnologia de Moscou, van publicar un article [55], on van descriure amb detall els detalls tècnics d'un sistema d'informació automatitzat hospitalari (GAIS), inclosa la típica infraestructura de xarxa d'una institució mèdica i el problemes per garantir la seva ciberseguretat. GAIS és una xarxa segura a través de la qual opera EMIAS, el MIS rus més prometedor.
- "Informàtica de Sibèria" afirma [53] que els dos centres de recerca més autoritzats implicats en el desenvolupament de MIS són l'Institut de Sistemes de Programari de l'Acadèmia Russa de Ciències (situat a l'antiga ciutat russa de Pereslavl-Zalessky) i el no organització de beneficis "Fons per al desenvolupament i la prestació de la unitat mèdica d'atenció mèdica especialitzada" 168" (ubicada a Akademgorodok, Novosibirsk). La pròpia "Informàtica de Sibèria", que també es pot incloure en aquesta llista, es troba a la ciutat d'Omsk.
Quina és la situació amb la ciberseguretat del sistema nacional EMIAS?
- El 10 de febrer de 2017, Vladimir Makarov, comissari del projecte EMIAS, en la seva entrevista per a la ràdio Ekho Moskvy, va compartir la seva idea [39] que no existeix una ciberseguretat absoluta: “Sempre hi ha un risc de fuga de dades. T'has d'acostumar al fet que la conseqüència de l'ús de qualsevol tecnologia moderna és que tot sobre tu es pot conèixer. Fins i tot els màxims funcionaris dels estats estan obrint bústies electròniques". En aquest sentit, podem esmentar un incident recent en què els correus electrònics d'uns 90 membres del Parlament del Regne Unit es van veure compromesos.
- El 12 de maig de 2015, el Departament de Tecnologia de la Informació de Moscou va parlar [40] sobre quatre punts clau de l'ISIS (sistema integrat de seguretat de la informació) per a EMIAS: 1) protecció física: les dades s'emmagatzemen en servidors moderns situats en instal·lacions subterrànies, amb accés als quals està estrictament regulat; 2) protecció del programari: les dades es transmeten en forma xifrada a través de canals de comunicació segurs; a més, només es pot obtenir informació sobre un pacient alhora; 3) accés autoritzat a les dades: el metge s'identifica mitjançant una targeta intel·ligent personal; Per al pacient, es proporciona una identificació de dos factors en funció de la pòlissa d'assegurança mèdica obligatòria i la data de naixement.
- 4) Les dades mèdiques i personals s'emmagatzemen per separat, en dues bases de dades diferents, la qual cosa garanteix encara més la seva seguretat; Els servidors d'EMIAS acumulen informació mèdica de forma anònima: visites al metge, cites, certificats d'incapacitat laboral, indicacions, receptes i altres detalls; i les dades personals (número de pòlissa d'assegurança mèdica obligatòria, cognom, nom, patronímic, gènere i data de naixement) es troben a les bases de dades del Fons d'assegurança mèdica obligatòria de la ciutat de Moscou; les dades d'aquestes dues bases de dades es combinen visualment només al monitor del metge, després de la seva identificació.
- Tanmateix, malgrat l'aparent inexpugnabilitat d'aquesta protecció EMIAS, les tecnologies modernes d'atac cibernètic, els detalls de les quals són de domini públic, permeten piratejar fins i tot aquesta protecció. Vegeu, per exemple, la descripció d'un atac al nou navegador Microsoft Edge, en absència d'errors de programari i amb totes les proteccions disponibles actives. [62] A més, l'absència d'errors en el codi del programa és una utopia en si mateixa. Llegeix més sobre això a la presentació "Els secrets bruts dels ciberdefensors". [63]
- El 27 de juny de 2017, a causa d'un ciberatac a gran escala, la clínica Invitro va suspendre la recollida de biomaterial i l'emissió de resultats de les proves a Rússia, Bielorússia i Kazakhstan. [64]
- El 12 de maig de 2017, Kaspesky Lab va registrar [60] 45 mil ciberatacs amb èxit del virus de ransomware WannaCry a 74 països; A més, la majoria d'aquests atacs es van produir en territori rus. Tres dies després (15 de maig de 2017), l'empresa antivirus Avast va registrar [61] ja 200 mil ciberatacs del virus del ransomware WannaCry i va informar que més de la meitat d'aquests atacs es van produir a Rússia. L'Agència de Notícies de la BBC va informar (13 de maig de 2017) que a Rússia, el Ministeri de Salut, el Ministeri d'Afers Interns, el Banc Central i el Comitè d'Investigació, entre d'altres, van ser víctimes del virus. [61]
- Tanmateix, els centres de premsa d'aquests i altres departaments russos asseguren per unanimitat que els ciberatacs del virus WannaCry, tot i que van tenir lloc, no van tenir èxit. La majoria de publicacions en llengua russa sobre els desafortunats incidents amb WannaCry, esmentant una o una altra agència russa, afegeixen precipitadament alguna cosa com: "Però segons dades oficials, no es va causar cap dany". D'altra banda, la premsa occidental confia que les conseqüències del ciberatac del virus WannaCry són més tangibles del que es presenta a la premsa en llengua russa. La premsa occidental està tan confiada en això que fins i tot van eliminar les sospites de Rússia sobre la participació en aquest ciberatac. En qui confiar més, mitjans occidentals o nacionals, és una qüestió personal de tothom. Val la pena tenir en compte que ambdues parts tenen els seus propis motius per exagerar i menystenir fets fiables.
Quina és la situació de la ciberseguretat dels sistemes d'informació mèdica, en xifres?
- L'1 de juny de 2017, Rebecca Weintrab (médica cap de doctorat del Brigham and Women's Hospital) i Joram Borenstein (enginyer de ciberseguretat), en el seu article conjunt publicat a les pàgines de la Harvard Business Review, van afirmar [18] que l'era digital ha estat molt important. simplificat la recollida d'informació mèdica, dades i intercanvi d'històries mèdiques entre diferents centres mèdics: avui en dia, les històries clíniques dels pacients s'han convertit en mòbils i portàtils. No obstant això, aquestes comoditats digitals tenen el cost de greus riscos de ciberseguretat per als centres sanitaris.
- El 3 de març de 2017, l'agència de notícies SmartBrief va informar [24] que durant els dos primers mesos de 2017 es van produir uns 250 incidents de ciberseguretat, que van provocar el robatori de més d'un milió de registres confidencials. El 50% d'aquests incidents es van produir en petites i mitjanes empreses (sense incloure el sector sanitari). Al voltant d'un 30% es dedicava al sector sanitari. Una mica més tard, el 16 de març, la mateixa agència va informar [22] que el líder dels incidents de ciberseguretat en aquests moments el 2017 és el sector mèdic.
- El 17 de gener de 2013, Michael Greg, director de la consultora de ciberseguretat Smart Solutions, va informar [21] que el 2012, el 94% dels centres mèdics van ser víctimes de filtracions d'informació confidencial. Això és un 65% més que el 2010-2011. Encara pitjor, el 45% dels centres mèdics van informar que les infraccions de la informació confidencial s'estan tornant més greus amb el temps; i va admetre que van tenir més de cinc fuites tan greus en el període 2012-2013. I menys de la meitat dels centres mèdics estan segurs que aquestes fuites es poden prevenir, o almenys és possible esbrinar que es van produir.
- Michael Greg també va informar [21] que durant el període 2010-2012, en només tres anys, més de 20 milions de pacients van ser víctimes del robatori d'EHR, que contenen informació confidencial sensible: diagnòstics, procediments de tractament, informació de pagament, detalls d'assegurança, dades socials. assegurança de número de seguretat i molt més. Un ciberdelinqüent que roba un EHR pot utilitzar la informació que se n'obté de diverses maneres (vegeu el paràgraf "Com es relaciona el robatori de números de la Seguretat Social amb la indústria criminal de falsificació de documents?"). Tanmateix, malgrat tot això, la seguretat dels EHR als centres mèdics sovint és molt més feble que la seguretat del correu electrònic personal.
- El 2 de setembre de 2014, Mike Orkut, un expert tècnic del MIT, va declarar [10] que els incidents d'infecció per ransomware són cada any més freqüents. L'any 2014, hi va haver un 600% més d'incidents que el 2013. A més, l'FBI nord-americà va informar [26] que es van produir més de 2016 casos d'extorsió digital al dia el 4000, quatre vegades més que el 2015. Al mateix temps, no només és alarmant la tendència de creixement dels incidents d'infecció amb virus ransomware; L'augment gradual dels atacs dirigits també és alarmant. Els objectius més habituals d'aquests atacs són les institucions financeres, els minoristes i els centres mèdics.
- El 19 de maig de 2017, l'agència de notícies de la BBC va publicar [23] un informe de Verizon per al 2017, segons el qual el 72% dels incidents de ransomware es van produir al sector mèdic. A més, durant els últims 12 mesos el nombre d'incidents d'aquest tipus ha augmentat un 50%.
- L'1 de juny de 2017, la Harvard Business Review va publicar [18] un informe proporcionat pel Departament de Salut i Serveis Humans dels EUA, que informava que més de 2015 milions d'EHR van ser robats el 113. El 2016 - més de 16 milions. Paral·lelament, malgrat que respecte al 2016 hi ha un fort descens del nombre d'incidències, la tendència global segueix creixent. A principis de 2017, el grup de reflexió Expirian va declarar [27] que l'assistència sanitària és, amb diferència, l'objectiu més popular per als ciberdelinqüents.
- La filtració de dades de pacients als sistemes mèdics s'està convertint gradualment [37] en un dels problemes més urgents del sector sanitari. Així, segons InfoWatch, durant els últims dos anys (2005-2006), cada segona organització mèdica ha filtrat informació sobre pacients. A més, el 60% de les fuites de dades no es produeixen a través de canals de comunicació, sinó a través de persones concretes que prenen informació confidencial fora de l'organització. Només el 40% de les fuites d'informació es produeixen per motius tècnics. L'enllaç més feble [36] de la ciberseguretat dels sistemes d'informació mèdica són les persones. Podeu gastar grans quantitats de diners en la creació de sistemes de seguretat, i un empleat amb un salari baix vendrà informació per una mil·lèsima part d'aquest cost.
Els virus informàtics poden infectar equips mèdics?
- El 17 d'octubre de 2012, David Talbot, un expert tècnic del MIT, va informar [1] que l'equip mèdic utilitzat dins dels centres mèdics s'està tornant cada cop més informatitzat, cada cop més intel·ligent i cada cop més flexible per ser reprogramat; i també té cada cop més una funció de suport a la xarxa. Com a resultat, els equips mèdics són cada cop més susceptibles als atacs cibernètics i a la infecció per virus. El problema es veu agreujat pel fet que els fabricants generalment no permeten modificar els seus equips, fins i tot per garantir la seva ciberseguretat.
- Per exemple, el 2009, el cuc de la xarxa Conficker es va filtrar al centre mèdic Beth Israel i va infectar alguns dels equips mèdics que hi havia, inclosa una estació de treball d'atenció obstètrica (de Philips) i una estació de treball de fluoroscòpia (de General Electric). Per evitar que es produeixin incidents similars en el futur, John Halmack, director informàtic del centre mèdic i professor de doctorat a la Harvard Medical School, va decidir desactivar la funcionalitat de xarxa de l'equip. No obstant això, es va enfrontar al fet que l'equip "no es va poder actualitzar a causa de les restriccions normatives". Li va costar un esforç considerable per negociar amb els fabricants per desactivar les capacitats de xarxa. No obstant això, sortir de línia està lluny de ser una solució ideal. Especialment en un entorn de creixent integració i interdependència dels dispositius mèdics. [1]
- Això s'aplica als equips "intel·ligents" que s'utilitzen dins dels centres mèdics. Però també hi ha dispositius mèdics portàtils, que inclouen bombes d'insulina i marcapassos implantats. Cada cop estan més exposats a ciberatacs i virus informàtics. [1] Com a observació, també es pot assenyalar que el 12 de maig de 2017 (el dia del triomf del virus del ransomware WannaCry), un dels cirurgians cardíacs va informar [28] que enmig d'una operació cardíaca estava realitzant, diversos ordinadors van patir un mal funcionament greu, però, afortunadament, encara va aconseguir completar amb èxit l'operació.
Què tan perillosos són els virus de ransomware per al sector mèdic?
- El 3 d'octubre de 2016, Mohammed Ali, director general de la firma de ciberseguretat Carbonite, va explicar[19] a la Harvard Business Review que el ransomware és un tipus de virus informàtic que bloqueja un usuari fora del seu sistema; fins que es pagui el rescat. El virus del ransomware xifra el disc dur, de manera que l'usuari perd l'accés a la informació del seu ordinador, i el virus del ransomware demana un rescat per proporcionar la clau de desxifrat. Per evitar trobades amb les forces de l'ordre, els delinqüents utilitzen mètodes de pagament anònims com Bitcoin. [19]
- Mohammed Ali també va informar [19] que els distribuïdors de virus de ransomware han trobat que el preu de rescat més òptim quan s'ataquen a ciutadans corrents i propietaris de petites empreses és de 300 a 500 dòlars. Aquesta és una quantitat de la qual molts estan disposats a abandonar, davant la perspectiva de perdre tots els seus estalvis digitals. [19]
- El 16 de febrer de 2016, l'agència de notícies The Guardian va informar [13] que com a resultat d'una infecció per ransomware, el personal mèdic del Hollywood Presbyterian Medical Center va perdre l'accés als seus sistemes informàtics. Com a resultat, els metges es van veure obligats a comunicar-se per fax, les infermeres es van veure obligades a registrar les històries clíniques en els registres mèdics en paper antics i els pacients es van veure obligats a viatjar a l'hospital per recollir els resultats de les proves en persona.
- El 17 de febrer de 2016, la direcció del Hollywood Presbyterian Medical Center va publicar [30] la següent declaració: "La tarda del 5 de febrer, els nostres empleats van perdre l'accés a la xarxa hospitalària. El programari maliciós va bloquejar els nostres ordinadors i va xifrar tots els nostres fitxers. Les autoritats policials van ser notificades immediatament. Els experts en ciberseguretat van ajudar a restaurar l'accés als nostres ordinadors. La quantitat del rescat sol·licitat era de 40 bitcoins (17000 dòlars). La manera més ràpida i eficaç de restaurar els nostres sistemes i funcions administratives era pagar el rescat, etc. obtenir la clau de desxifrat. Per tal de restaurar la funcionalitat dels sistemes hospitalaris, ens vam veure obligats a fer-ho".
- El 12 de maig de 2017, el New York Times va informar [28] que com a conseqüència de l'incident de WannaCry, alguns hospitals estaven tan paralitzats que ni tan sols podien imprimir les etiquetes de nom dels nounats. Als hospitals, els pacients van dir: "No us podem servir perquè els nostres ordinadors estan trencats". Això és força inusual sentir-ho a grans ciutats com Londres.
Si els incidents cibernètics són tan perillosos, per què els fabricants de dispositius mèdics informatitzen els seus dispositius?
- El 9 de juliol de 2008, Christina Grifantini, una experta en tecnologia del MIT, va assenyalar en el seu article "Centres mèdics: L'era del Plug and Play" [2]: La desalentadora gamma de nous dispositius mèdics intel·ligents als hospitals promet una millor atenció als pacients. Tanmateix, el problema és que aquests dispositius solen ser incompatibles entre si, encara que siguin produïts pel mateix fabricant. Per tant, els metges tenen una necessitat urgent d'integrar tots els equips mèdics en una única xarxa informatitzada.
- El 9 de juliol de 2009, Douglas Roseindale, especialista en informàtica de l'Administració de la salut dels veterans i professor de doctorat a la Harvard Medical School, va declarar [2] la necessitat urgent d'integració informatitzada d'equips mèdics amb les següents paraules: "Hi ha molts sistemes propietaris disponibles avui dia amb un arquitectura tancada, de diferents proveïdors, però el problema és que no poden interactuar entre ells. I això crea dificultats per atendre els pacients".
- Quan els dispositius mèdics fan mesuraments independents i no els intercanvien entre ells, no poden avaluar l'estat del pacient de manera exhaustiva i, per tant, sonen l'alarma davant la mínima desviació dels indicadors de la norma, amb o sense motiu. Això crea molèsties importants per a les infermeres, especialment a la unitat de cures intensives, on hi ha molts dispositius independents. Sense integració i suport a la xarxa, la unitat de cures intensives serà un manicomi. La integració i el suport d'una xarxa local permeten coordinar el funcionament dels dispositius mèdics i els sistemes d'informació mèdica (especialment la interacció d'aquests dispositius amb els HCE dels pacients), fet que comporta una reducció important del nombre de falses alarmes. [2]
- Els hospitals tenen molts equips antics i cars que no admeten la xarxa. Amb l'urgència d'integració, els hospitals estan substituint progressivament aquest equipament per altres de nous, o bé modificant-lo perquè es pugui integrar a la xarxa global. Al mateix temps, fins i tot amb nous equips desenvolupats tenint en compte la possibilitat d'integració, aquest problema no s'ha resolt del tot. Perquè tots els fabricants de dispositius mèdics, impulsats per la competència eterna, s'esforcen per assegurar-se que els seus dispositius només es puguin integrar entre ells. Tanmateix, molts departaments d'emergència requereixen una combinació específica de dispositius que cap fabricant pot proporcionar. Per tant, escollir un fabricant no solucionarà el problema de compatibilitat. Aquest és un altre problema que dificulta la integració integral. I els hospitals estan invertint molt per solucionar-ho. Perquè sinó, equips incompatibles entre si convertiran l'hospital, amb les seves falses alarmes, en un manicomi. [2]
- El 13 de juny de 2017, Peter Pronovost, un metge amb doctorat i director associat de seguretat del pacient a Johns Hopkins Medicine, va compartir [17] els seus pensaments sobre la necessitat d'informatització d'equips mèdics a la Harvard Business Review: "Preneu, per exemple, , Màquina per ajudar a respirar. El mode de ventilació òptim per als pulmons d'un pacient depèn directament de l'alçada del pacient. L'alçada del pacient s'emmagatzema a l'EHR. Per regla general, l'aparell de respiració no interactua amb l'EHR, de manera que els metges han d'obtenir aquesta informació manualment, fer alguns càlculs en paper i configurar manualment els paràmetres de l'aparell de respiració. Si l'aparell de respiració i l'EHR estiguessin connectats mitjançant una xarxa informàtica, aquesta operació es podria automatitzar. També existeix una rutina de manteniment d'equips mèdics similar entre desenes d'altres dispositius mèdics. Per tant, els metges han de fer centenars d'operacions rutinàries cada dia; que va acompanyat d'errors, encara que rars, però inevitables".
- Els nous llits hospitalaris informatitzats estan equipats amb un conjunt de sensors d'alta tecnologia que poden controlar una gran varietat de paràmetres del pacient estirat al damunt. Per exemple, aquests llits, mitjançant el seguiment de la dinàmica dels moviments d'un pacient al llit, poden determinar si el pacient està en risc de desenvolupar úlceres. Aquests sensors d'alta tecnologia representen el 30% del cost de tot el llit. No obstant això, sense la integració informàtica, aquest "llit intel·ligent" serà de poca utilitat, perquè no podrà trobar un llenguatge comú amb altres dispositius mèdics. Una situació similar s'observa amb els "monitors sense fil intel·ligents" que mesuren la freqüència cardíaca, el MOC, la pressió arterial, etc. Sense integrar tots aquests equipaments en una única xarxa informatitzada, i sobretot assegurant la interacció directa amb els EHR dels pacients, servirà de poc. [17]
Per què els ciberdelinqüents han passat del sector financer i les botigues minoristes als centres mèdics?
- El 16 de febrer de 2016, Julia Cherry, corresponsal especial del Guardian, va compartir les seves observacions que els centres mèdics són especialment atractius per als ciberdelinqüents perquè els seus sistemes d'informació —gràcies a l'impuls nacional dels centres mèdics per digitalitzar els registres de salut— contenen una gran quantitat de informació. Inclou números de targeta de crèdit, informació personal del pacient i informació de salut sensible. [13]
- El 23 d'abril de 2014, Jim Finkle, un analista de ciberseguretat de l'agència de notícies Reuters, va explicar [12] que els ciberdelinqüents intenten seguir la línia de menys resistència. Els sistemes de ciberseguretat dels centres mèdics són molt més febles en comparació amb altres sectors que ja han reconegut aquest problema i han pres contramesures efectives. És per això que els ciberdelinqüents se senten atrets per ells.
- El 18 de febrer de 2016, Mike Orkut, expert tècnic del MIT, va informar que l'interès dels ciberdelinqüents en el sector mèdic es deu als cinc motius següents: 1) La majoria de centres mèdics ja han transferit tots els seus documents i carnets a format digital; la resta estan en procés d'aquesta transferència. Aquestes targetes contenen informació personal molt valuosa al mercat negre de Darknet. 2) La ciberseguretat no és una prioritat als centres mèdics; sovint utilitzen sistemes obsolets i no els mantenen correctament. 3) La necessitat d'un accés ràpid a les dades en situacions d'emergència sovint supera la necessitat de seguretat, la qual cosa fa que els hospitals tendeixin a descuidar la ciberseguretat encara que siguin conscients de les possibles conseqüències. 4) Els hospitals estan connectant més dispositius a la seva xarxa, donant als dolents més opcions per infiltrar-se a la xarxa hospitalària. 5) La tendència cap a una medicina més personalitzada -en particular la necessitat que els pacients tinguin un accés complet als seus EHR- fa que el MIS sigui un objectiu encara més accessible. [14]
- Els sectors comercial i financer han estat durant molt de temps objectius populars per als ciberdelinqüents. A mesura que la informació robada d'aquestes institucions inunda el mercat negre de la Dark Web, es fa més barata, cosa que fa que sigui menys rendible per als dolents robar-la i vendre-la. Per tant, els dolents ara estan explorant un sector nou i més rendible. [12]
- Al mercat negre de Darknet, les targetes mèdiques són molt més valuoses que els números de targetes de crèdit. En primer lloc, perquè es poden utilitzar per accedir als comptes bancaris i obtenir receptes de medicaments controlats. En segon lloc, perquè el fet del robatori d'una targeta mèdica i el fet del seu ús il·legal és molt més difícil de detectar, i passa molt més temps des del moment de l'abús fins al moment de la detecció que en el cas de l'abús de la targeta de crèdit. [12]
- Segons Dell, alguns ciberdelinqüents especialment emprenedors estan combinant peces d'informació de salut extretes dels registres mèdics robats amb altres dades sensibles, etc. Recull un paquet de documents falsos. Aquests paquets s'anomenen "fullz" i "kitz" en l'argot del mercat negre de darknet. El preu de cada paquet supera els 1000 dòlars. [12]
- L'1 d'abril de 2016, Tom Simont, un expert tècnic del MIT, va dir [4] que la diferència significativa entre les amenaces cibernètiques en el sector mèdic és la gravetat de les conseqüències que prometen. Per exemple, si perds l'accés al correu electrònic de la teva feina, et sentiràs molest; tanmateix, perdre l'accés als registres mèdics que contenen la informació necessària per tractar els pacients és una altra qüestió totalment diferent.
- Per tant, per als ciberdelinqüents -que entenen que aquesta informació és molt valuosa per als metges- el sector mèdic és un objectiu molt atractiu. Tan atractiu que inverteixen constantment fons significatius per fer que els seus virus ransomware siguin encara més avançats; per mantenir-se un pas per davant en la seva eterna lluita amb els sistemes antivirus. Les impressionants quantitats de diners que recapten a través del ransomware els donen l'oportunitat de gastar tants diners en aquesta inversió i paga molt bé. [4]
Per què les infeccions per ransomware han augmentat i continuen augmentant al sector mèdic?
- L'1 de juny de 2017, Rebecca Weintrab (directora mèdica doctoral del Brigham and Women's Hospital) i Joram Borenstein (enginyer de ciberseguretat) van publicar [18] a la Harvard Business Review els resultats de la seva investigació conjunta sobre la ciberseguretat en el sector mèdic. Els missatges clau de la seva investigació es presenten a continuació.
- Cap organització és immune a la pirateria. Aquesta és la realitat en què vivim, i aquesta realitat es va fer especialment evident quan el virus del ransomware WannaCry va esclatar a mitjans de maig de 2017, infectant centres mèdics i altres organitzacions d'arreu del món. [18]
- El 2016, els administradors d'una gran clínica, el Hollywood Presbyterian Medical Center, van descobrir inesperadament que havien perdut l'accés a la informació dels seus ordinadors. Els metges no podien accedir als EHR dels seus pacients; i fins i tot als vostres propis informes. Tota la informació dels seus ordinadors es va xifrar amb un virus de ransomware. Mentre que tota la informació de la clínica va ser ostallada pels atacants, els metges es van veure obligats a redirigir els clients a altres hospitals. Van escriure tot en paper durant dues setmanes fins que van decidir pagar el rescat demanat pels atacants: 17000 dòlars (40 bitcoins). No va ser possible rastrejar el pagament, ja que el rescat es va pagar mitjançant el sistema de pagament anònim de Bitcoin. Si els especialistes en ciberseguretat haguessin sentit fa un parell d'anys que els responsables de la presa de decisions estarien desconcertats en convertir diners en criptomoneda per pagar un rescat al desenvolupador del virus, no s'ho haurien cregut. Tanmateix, avui això és exactament el que ha passat. La gent quotidiana, els propietaris de petites empreses i les grans corporacions estan sota l'amenaça del ransomware. [19]
- Pel que fa a l'enginyeria social, els correus electrònics de pesca que contenen enllaços i fitxers adjunts maliciosos ja no s'envien en nom de familiars estrangers que us volen llegar part de la seva riquesa a canvi d'informació confidencial. Avui dia, els correus electrònics de pesca són missatges ben preparats, sense errors d'ortografia; sovint disfressats de documents oficials amb logotips i signatures. Alguns d'ells no es distingeixen de la correspondència comercial ordinària o de les notificacions legítimes d'actualitzacions d'aplicacions. De vegades, els responsables de la selecció de personal reben cartes d'un candidat prometedor amb un currículum adjunt a la carta, que conté un virus de ransomware. [19]
- Tanmateix, l'enginyeria social avançada no és tan dolenta. Encara pitjor és el fet que el llançament d'un virus ransomware es pot produir sense la participació directa de l'usuari. Els virus de ransomware es poden estendre per forats de seguretat; o mitjançant aplicacions heretades no protegides. Almenys cada setmana, apareix un tipus de virus de ransomware fonamentalment nou; i el nombre de maneres en què els virus de ransomware penetren en els sistemes informàtics està en constant creixement. [19]
- Per exemple, pel que fa al virus del ransomware WannaCry... Inicialment (15 de maig de 2017), els experts en seguretat van arribar a la conclusió [25] que el motiu principal per infectar el sistema nacional de salut del Regne Unit és que els hospitals utilitzen una versió obsoleta del sistema operatiu de Windows. sistema - XP (els hospitals utilitzen aquest sistema perquè molts equips hospitalaris cars no són compatibles amb les versions més noves de Windows). Tanmateix, una mica més tard (22 de maig de 2017) va resultar [29] que un intent d'executar WannaCry a Windows XP sovint provocava una fallada de l'ordinador, sense infecció; i la major part de les màquines infectades funcionaven amb Windows 7. A més, inicialment es va creure que el virus WannaCry es va estendre a través del phishing, però després va resultar que aquest virus es va estendre, com un cuc de xarxa, sense l'ajuda de l'usuari.
- A més, hi ha cercadors especialitzats que no cerquen llocs en línia, sinó equipament físic. A través d'ells es pot esbrinar en quin lloc, en quin hospital, quins equips estan connectats a la xarxa. [3]
- Un altre factor important en la prevalença de virus de ransomware és l'accés a la criptomoneda Bitcoin. La facilitat de cobrar de manera anònima pagaments d'arreu del món està alimentant l'augment de la ciberdelinqüència. A més, en transferir diners als extorsionadors, fomenteu així l'extorsió repetida contra vosaltres. [19]
- Al mateix temps, els ciberdelinqüents han après a fer-se càrrec fins i tot d'aquells sistemes que disposen de la protecció més moderna desplegada i de les últimes actualitzacions de programari; i els mitjans de detecció i desxifrat (als quals recorren els sistemes de seguretat) no sempre funcionen; sobretot si l'atac és específic i únic. [19]
- Tanmateix, encara hi ha una contramesura eficaç contra els virus de ransomware: fer una còpia de seguretat de les dades crítiques. De manera que en cas de problemes, les dades es poden restaurar fàcilment. [19]
Metges, infermeres i pacients afectats per WannaCry: com els va sortir?
- El 13 de maig de 2017, Sarah Marsh, periodista del Guardian, va entrevistar diverses persones que van ser víctimes del virus del ransomware WannaCry per entendre com va resultar aquest incident [5] per a les víctimes (els noms s'han canviat per motius de privadesa):
- Sergey Petrovich, metge: No he pogut oferir una atenció adequada als pacients. Per molt que els líders intentin convèncer el públic que els incidents cibernètics no afecten la seguretat dels pacients finals, això no és cert. Ni tan sols vam poder fer radiografia quan els nostres sistemes informatitzats van fallar. I gairebé cap procediment mèdic està complet sense aquestes imatges. Per exemple, aquest vespre fatídic estava veient un pacient i havia d'enviar-lo a una radiografia, però com que els nostres sistemes informatitzats estaven paralitzats, no vaig poder fer-ho. [5]
- Vera Mikhailovna, pacient amb càncer de mama: Després de la quimioteràpia, estava a mig camí de l'hospital, però en aquell moment hi va haver un ciberatac. I tot i que la sessió ja s'havia acabat, vaig haver de passar unes quantes hores més a l'hospital, esperant que finalment em donen el medicament. El problema va sorgir pel fet que abans de dispensar els medicaments, el personal mèdic els revisa el compliment de les receptes, i aquests controls es fan mitjançant sistemes informatitzats. Els pacients següents a la fila darrere meu ja estaven a la sala de quimioteràpia; els seus medicaments també s'han lliurat. Però com que era impossible verificar el seu compliment amb les receptes, el procediment es va ajornar. En general, el tractament de la resta de pacients es va ajornar al dia següent. [5]
- Tatiana Ivanovna, infermera: Dilluns, no vam poder veure els EHR dels pacients i la llista de cites programades per avui. Vaig estar de guàrdia a la recepció de sol·licituds aquest cap de setmana, així que dilluns, quan el nostre hospital va ser víctima d'un ciberatac, vaig haver de recordar exactament qui havia de venir a la cita. Els sistemes d'informació del nostre hospital estan bloquejats. No vam poder mirar la història clínica, no vam poder mirar les receptes de medicaments; no ha pogut veure les adreces dels pacients i la informació de contacte; omplir documents; comprovar els resultats de les proves. [5]
- Evgeniy Sergeevich, administrador del sistema: Normalment els divendres a la tarda són els nostres més concorreguts. Així va ser aquest divendres. L'hospital estava ple de gent i 5 empleats de l'hospital estaven de guàrdia per rebre peticions telefòniques, i els seus telèfons no paraven de sonar. Tots els nostres sistemes informàtics funcionaven sense problemes, però aproximadament a les 15:00 p.m., totes les pantalles d'ordinador es van quedar negres. Els nostres metges i infermeres van perdre l'accés als EHR dels pacients i els empleats de servei que responien les trucades no van poder introduir sol·licituds a l'ordinador. [5]
Com poden danyar els ciberdelinqüents una clínica de cirurgia plàstica?
- Tal com va informar The Guardian [6], el 30 de maig de 2017, el grup criminal "Guàrdia del Tsar" va publicar dades confidencials de 25 mil pacients de la clínica de cirurgia plàstica de Lituània "Grozio Chirurgija". Incloent fotografies íntimes privades preses abans, durant i després de les operacions (el seu emmagatzematge és necessari a causa de les especificitats del treball de la clínica); així com escanejos de passaports i números de la seguretat social. Com que la clínica té una bona reputació i preus raonables, els seus serveis són utilitzats per residents de 60 països, incloses celebritats mundialment famoses [7]. Tots ells van ser víctimes d'aquest incident cibernètic.
- Uns mesos abans, després de piratejar els servidors de la clínica i robar-los dades, els "guàrdies" van demanar un rescat de 300 bitcoins (uns 800 mil dòlars). La direcció de la clínica es va negar a cooperar amb els "guàrdies" i es va mantenir inflexible fins i tot quan els "guàrdies" van reduir el preu del rescat a 50 bitcoins (uns 120 mil dòlars). [6]
- Després d'haver perdut l'esperança de rebre un rescat de la clínica, els "guàrdies" van decidir canviar als seus clients. Al març, van publicar fotografies de 150 pacients a la clínica de la Darknet [8] per intimidar els altres perquè deixin diners. Els "guàrdies" van demanar un rescat de 50 a 2000 euros, amb pagament en Bitcoin, en funció de la fama de la víctima i de la intimitat de la informació robada. Es desconeix el nombre exacte de pacients que van ser xantatges, però diverses desenes de víctimes van contactar amb la policia. Ara, tres mesos després, la Guàrdia ha publicat dades confidencials d'altres 25 mil clients. [6]
Un ciberdelinqüent va robar una targeta mèdica: què significa això per al seu legítim propietari?
- El 19 d'octubre de 2016, Adam Levine, un expert en ciberseguretat que dirigeix el centre de recerca CyberScout, va assenyalar [9] que vivim en una època en què els registres mèdics han començat a incloure una quantitat alarmant d'informació massa íntima: sobre malalties, diagnòstics, tractaments. , i problemes de salut. Si està en mans equivocades, aquesta informació es pot utilitzar per beneficiar-se del mercat negre de Darknet, per això els ciberdelinqüents sovint es dirigeixen als centres mèdics.
- El 2 de setembre de 2014, Mike Orkut, un expert tècnic del MIT, va declarar [10]: “Si bé els números de targetes de crèdit robats i els números de la seguretat social són cada cop menys buscats al mercat negre de la web fosca, els registres mèdics, amb un riquesa d'informació personal, a un bon preu. Això es deu en part perquè ofereix a les persones sense assegurança l'oportunitat d'obtenir atenció mèdica que d'altra manera no es podrien permetre".
- Una targeta mèdica robada es pot utilitzar per obtenir atenció mèdica en nom del propietari legítim de la targeta. En conseqüència, la targeta mèdica contindrà les dades mèdiques del seu legítim titular i les dades mèdiques del lladre. A més, si un lladre ven targetes mèdiques robades a tercers, la targeta pot estar encara més contaminada. Per tant, en arribar a l'hospital, el titular legal de la targeta corre el risc de rebre atenció mèdica que es basarà en el tipus de sang d'una altra persona, la història clínica d'una altra persona, la llista de reaccions al·lèrgiques d'una altra persona, etc. [9]
- A més, el lladre pot esgotar el límit d'assegurança del titular legítim de la targeta mèdica, fet que impedirà que aquest rebi l'atenció mèdica necessària quan ho necessiti. En el pitjor moment possible. Al cap i a la fi, molts plans d'assegurances tenen límits anuals per a certs tipus de procediments i tractaments. I, sens dubte, cap companyia d'assegurances us pagarà dues cirurgies d'apendicitis. [9]
- Amb una targeta mèdica robada, un lladre pot fer un mal ús de les receptes. Tot privant el legítim propietari de l'oportunitat d'obtenir el medicament necessari quan ho necessiti. Després de tot, les receptes de medicaments solen ser limitades. [9]
- Mitigar els ciberatacs massius a les targetes de crèdit i dèbit no és tan difícil. Protegir-se contra atacs de pesca dirigits és una mica més problemàtic. Tanmateix, quan es tracta de robatori i abús d'EHR, el crim pot ser gairebé invisible. Si es descobreix el fet d'un delicte, sol ser només en una situació d'emergència, quan les conseqüències poden posar literalment en perill la vida. [9]
Per què el robatori de targetes mèdiques és una tendència tan creixent?
- El març de 2017, el Centre per a la lluita contra el robatori d'identitat va informar que més del 25% de les fuites de dades confidencials es produeixen als centres mèdics. Aquestes infraccions costen als centres mèdics 5,6 milions de dòlars en pèrdues anuals. A continuació, es mostren alguns motius pels quals el robatori de targetes mèdiques és una tendència tan creixent. [18]
- Les targetes mèdiques són l'article més popular al mercat negre de Darknet. Les targetes mèdiques es venen allà per 50 dòlars cada una. En comparació, els números de targetes de crèdit es venen per 1 $ cada un a la Dark Web, 50 vegades més barats que les targetes mèdiques. La demanda de targetes mèdiques també ve impulsada pel fet que són un article consumible en serveis de falsificació de documents penals complexos. [18]
- Si no es troba un comprador per a les targetes mèdiques, l'atacant pot utilitzar la targeta mèdica ell mateix i realitzar un robatori tradicional: les targetes mèdiques contenen informació suficient per obrir una targeta de crèdit, obrir un compte bancari o contractar un préstec en nom del víctima. [18]
- Amb una targeta mèdica robada a la mà, un ciberdelinqüent, per exemple, pot dur a terme un atac de phishing dirigit complex (en sentit figurat, afilar una llança de phishing), fent-se passar per un banc: “Bona tarda, sabem que us operaràs. . No us oblideu de pagar els serveis relacionats seguint aquest enllaç." I aleshores penses: "D'acord, com que saben que m'operaran demà, probablement és realment una carta del banc". Si l'atacant no s'adona del potencial de les targetes mèdiques robades, pot utilitzar un virus de ransomware per extorsionar diners del centre mèdic, per restaurar l'accés a sistemes i dades bloquejats. [18]
- Els centres mèdics han tardat a adoptar pràctiques de ciberseguretat que ja s'han establert en altres indústries, la qual cosa és irònic, ja que els centres mèdics han de mantenir la confidencialitat mèdica. A més, els centres mèdics solen tenir pressupostos de ciberseguretat significativament més petits i professionals de la ciberseguretat significativament menys qualificats que, per exemple, les institucions financeres. [18]
- Els sistemes informàtics mèdics estan estretament lligats als serveis financers. Per exemple, els centres mèdics poden tenir plans d'estalvi d'emergència flexibles, amb les seves pròpies targetes de pagament o comptes d'estalvi, amb sumes de sis xifres. [18]
- Moltes organitzacions col·laboren amb centres mèdics i proporcionen als seus empleats un sistema de salut individual. Això dóna a un atacant l'oportunitat, mitjançant la pirateria de centres mèdics, d'accedir a la informació confidencial dels clients corporatius del centre mèdic. Sense oblidar el fet que el mateix empresari pot actuar com a atacant, venent en silenci les dades mèdiques dels seus empleats a tercers. [18]
- Els centres mèdics tenen àmplies cadenes de subministrament i llistes massives de proveïdors amb els quals estan connectats digitalment. En piratejar els sistemes informàtics d'un centre mèdic, un atacant també pot fer-se càrrec dels sistemes dels proveïdors. A més, els proveïdors connectats amb un centre mèdic mitjançant comunicacions digitals són en si mateixos un punt d'entrada temptador per a un atacant als sistemes informàtics del centre mèdic. [18]
- En altres àrees, la seguretat s'ha tornat molt sofisticada i, per tant, els atacants han hagut d'explorar un nou sector, on les transaccions es realitzen mitjançant maquinari vulnerable i programari vulnerable. [18]
Com es relaciona el robatori del número de la Seguretat Social amb la indústria de la falsificació de documents criminals?
- El 30 de gener de 2015, l'agència de notícies Tom's Guide va explicar [31] com difereix la falsificació de documents ordinària d'una combinada. En la seva forma més senzilla, la falsificació de documents implica que un estafador simplement suplanta la identitat d'una altra persona utilitzant el seu nom, el número de la Seguretat Social (SSN) i altres dades personals. Aquest fet de frau es detecta amb força rapidesa i facilitat. En un enfocament combinat, els dolents creen una personalitat completament nova. En falsificar un document, prenen el SSN real i hi afegeixen informació personal de diverses persones diferents. Aquest monstre de Frankenstein, unit a partir de la informació personal de diferents persones, és molt més difícil de detectar que la més simple falsificació d'un document. Com que l'estafador només utilitza part de la informació de cada víctima, la seva estafa no es posarà en contacte amb els propietaris legítims d'aquestes dades personals. Per exemple, en veure l'activitat del seu SSN, el seu propietari legal no hi trobarà res sospitós.
- Els dolents poden utilitzar el seu monstre de Frankenstein per aconseguir una feina o demanar un préstec [31], o per obrir empreses ficticis [32]; per fer compres, obtenir carnets de conduir i passaports [34]. Al mateix temps, fins i tot en el cas de contractar un préstec, és molt difícil fer un seguiment del fet de la falsificació de documents i, per tant, si els banquers comencen a investigar, el titular legal d'aquesta o aquella informació personal El més probable és que se'n demani comptes, i no el creador del monstre de Frankenstein.
- Els empresaris sense escrúpols poden utilitzar la falsificació de documents per enganyar els creditors - mitjançant la creació de l'anomenat. negoci de sandvitxos. L'essència de l'entrepà de negoci és que els empresaris sense escrúpols poden crear diverses identitats falses i presentar-les com a clients del seu negoci, creant així l'aparença d'un negoci d'èxit. Això els fa més atractius per als seus prestadors i els permet gaudir de condicions de préstec més favorables. [33]
- El robatori i l'ús indegut de la informació personal sovint passa desapercebut pel seu legítim propietari durant molt de temps, però pot causar-li molèsties importants en el moment més inoportun. Per exemple, un titular legítim del SSN podria sol·licitar els beneficis de la Seguretat Social i se'ls pot denegar a causa d'un excés d'ingressos derivats d'un sandvitx d'empresa fabricat que utilitzava el seu SSN. [33]
- Des del 2007 fins a l'actualitat, el negoci criminal multimilionari de falsificació de documents basat en SSN s'ha fet cada cop més popular [34]. Al mateix temps, els estafadors prefereixen aquells SSN que no són utilitzats activament pels seus legítims propietaris; aquests inclouen els SSN de nens i persones difuntes. Segons l'agència de notícies CBC, l'any 2014 els incidents mensuals van ser de milers, mentre que el 2009 no n'hi havia més de 100 al mes. El creixement exponencial d'aquest tipus de frau -i especialment el seu impacte en la informació personal dels nens- tindran conseqüències nefastes per als joves en el futur. [34]
- Els SSN dels nens s'utilitzen 50 vegades més sovint que els SSN d'adults en aquesta estafa. Aquest interès pels SSN dels nens prové del fet que els SSN dels nens generalment no estan actius fins als 18 anys d'edat. Això. Si els pares dels fills menors d'edat no mantenen el dit al pols del seu SSN, es pot denegar al seu fill un permís de conduir o un préstec estudiantil en el futur. També pot complicar l'ocupació si la informació sobre l'activitat dubtosa del SSN està disponible per a un possible ocupador. [34]
Avui es parla molt de les perspectives i la seguretat dels sistemes d'intel·ligència artificial. Com van les coses amb això al sector mèdic?
- Al número de juny de 2017 de MIT Technology Review, l'editor en cap de la revista especialitzat en tecnologies d'intel·ligència artificial va publicar el seu article "The Dark Side of Artificial Intelligence", que va respondre aquesta pregunta amb detall. Punts clau del seu article [35]:
- Els sistemes moderns d'intel·ligència artificial (IA) són tan complexos que fins i tot els enginyers que els dissenyen són incapaços d'explicar com la IA pren una decisió concreta. Avui i en un futur previsible, no és possible desenvolupar un sistema d'IA que sempre pugui explicar les seves accions. La tecnologia "deep learning" ha demostrat ser molt eficaç per resoldre els problemes urgents dels darrers anys: reconeixement d'imatges i veu, traducció d'idiomes, aplicacions mèdiques. [35]
- Es dipositen esperances significatives en la IA per diagnosticar malalties mortals i prendre decisions econòmiques complexes; i també s'espera que la IA esdevingui central per a moltes altres indústries. Tanmateix, això no passarà -o almenys no hauria de passar- fins que no trobem la manera de fer un sistema d'aprenentatge profund que pugui explicar les decisions que pren. En cas contrari, no podrem predir exactament quan fallarà aquest sistema i, tard o d'hora, definitivament fallarà. [35]
- Aquest problema s'ha tornat urgent ara, i en el futur només empitjorarà. Ja siguin decisions econòmiques, militars o mèdiques. Els ordinadors en què s'executen els sistemes d'IA corresponents s'han programat ells mateixos i de tal manera que no tenim manera d'entendre "què tenen al cap". Què podem dir dels usuaris finals, quan fins i tot els enginyers que dissenyen aquests sistemes són incapaços d'entendre i explicar el seu comportament. A mesura que els sistemes d'IA evolucionen, aviat podrem creuar la línia, si encara no ho hem fet, on haurem de fer un salt de fe per confiar en la IA. Per descomptat, essent humans, nosaltres mateixos no sempre podem explicar les nostres conclusions, i sovint confiem en la intuïció. Però podem permetre que les màquines pensin de la mateixa manera: impredictible i inexplicable? [35]
- El 2015, el Mount Sinai Medical Center de la ciutat de Nova York es va inspirar per aplicar el concepte d'aprenentatge profund a la seva àmplia base de dades de registres de pacients. L'estructura de dades utilitzada per entrenar el sistema d'IA incloïa centenars de paràmetres que es van establir en funció dels resultats de proves, diagnòstics, proves i notes del metge. El programa que processava aquests registres es deia "Pacient profund". Va ser entrenada utilitzant registres de 700 mil pacients. Quan es van provar nous enregistraments, va resultar molt útil per predir malalties. Sense cap interacció amb un expert, Deep Patient va trobar símptomes ocults en els registres mèdics, que l'AI creia que indicaven que el pacient estava a punt de patir complicacions àmplies, inclòs el càncer de fetge. Anteriorment hem experimentat amb diversos mètodes de previsió, que utilitzaven els registres mèdics de molts pacients com a dades inicials, però els resultats del "Pacient profund" no es poden comparar amb ells. A més, hi ha èxits completament inesperats: "Pacient profund" és molt bo per predir l'aparició de trastorns mentals com l'esquizofrènia. Però com que la medicina moderna no té les eines per predir-ho, sorgeix la pregunta de com la IA va aconseguir fer-ho. Tanmateix, The Deep Patient no pot explicar com ho fa. [35]
- Idealment, aquestes eines haurien d'explicar als metges com van arribar a una conclusió particular, per exemple, justificar l'ús d'un medicament en particular. Tanmateix, malauradament, els sistemes moderns d'intel·ligència artificial no poden fer-ho. Podem crear programes semblants, però no sabem com funcionen. L'aprenentatge profund ha portat els sistemes d'IA a un èxit explosiu. Actualment, aquests sistemes d'IA s'utilitzen per prendre decisions clau en indústries com la medicina, les finances, la fabricació, etc. Potser aquesta és la naturalesa de la intel·ligència en si, que només una part es pot explicar racionalment, mentre que la majoria pren decisions espontànies. Però, què comportarà això quan permetem que aquests sistemes diagnostiquin càncer i realitzin maniobres militars? [35]
El sector mèdic ha après alguna lliçó de WannaCry?
- El 25 de maig de 2017, l'agència de notícies de la BBC va informar [16] que un dels motius importants per descuidar la ciberseguretat en els dispositius mèdics portàtils és la seva baixa potència informàtica, a causa dels estrictes requisits de la seva mida. Altres dos motius igualment significatius: la manca de coneixements sobre com escriure codi segur i els terminis per al llançament del producte final.
- En el mateix missatge, la BBC va assenyalar [16] que com a resultat de la investigació sobre el codi del programa d'un dels marcapassos, s'hi van descobrir més de 8000 vulnerabilitats; i que, malgrat la publicitat generalitzada sobre els problemes de ciberseguretat exposats per l'incident de WannaCry, només el 17% dels fabricants de dispositius mèdics han pres mesures específiques per garantir la ciberseguretat dels seus dispositius. Pel que fa als centres mèdics que van aconseguir evitar una col·lisió amb WannaCry, només un 5% d'ells es va mostrar preocupat per diagnosticar la ciberseguretat dels seus equips. Els informes arriben poc després que més de 60 organitzacions sanitàries del Regne Unit fossin víctimes d'un ciberatac.
- El 13 de juny de 2017, un mes després de l'incident de WannaCry, Peter Pronovost, un metge amb doctorat i director associat de seguretat del pacient a Johns Hopkins Medicine, va discutir [17] a la Harvard Business Review els reptes urgents de la integració mèdica informatitzada. - no va esmentar ni una paraula sobre la ciberseguretat.
- El 15 de juny de 2017, un mes després de l'incident de WannaCry, Robert Pearl, un metge doctorat i director de dos centres mèdics, va discutir [15] a les pàgines de la Harvard Business Review els reptes moderns als quals s'enfronten els desenvolupadors i usuaris de Sistemes de gestió d'EHR, - No va dir ni una paraula sobre la ciberseguretat.
- El 20 de juny de 2017, un mes després de l'incident de WannaCry, un grup de científics amb títols de doctorat de la Harvard Medical School, que també són caps de divisions clau del Brigham and Women's Hospital, van publicar els seus resultats [20] a les pàgines de la Taula rodona de Harvard Business Review sobre la necessitat de modernitzar l'equip mèdic per millorar la qualitat de l'atenció al pacient. A la taula rodona es van debatre les perspectives per reduir la càrrega de treball dels metges i reduir costos mitjançant l'optimització dels processos tecnològics i l'automatització integral. A la taula rodona van participar representants de 34 centres mèdics més importants dels Estats Units. En parlar de la modernització dels equips mèdics, els participants van posar grans esperances en les eines predictives i els dispositius intel·ligents. No es va dir ni una paraula sobre la ciberseguretat.
Com poden els centres mèdics garantir la ciberseguretat?
- El 2006, el cap de la Direcció de Sistemes d'Informació de Comunicacions Especials de l'FSO de Rússia, el tinent general Nikolai Ilyin, va declarar [52]: “La qüestió de la seguretat de la informació és més rellevant avui que mai. La quantitat de tecnologia utilitzada està augmentant molt. Malauradament, avui dia els problemes de seguretat de la informació no sempre es tenen en compte en l'etapa de disseny. És evident que el cost de resoldre aquest problema és del 10 al 20 per cent del cost del propi sistema i el client no sempre vol pagar diners addicionals. Mentrestant, cal entendre que la protecció de la informació fiable només es pot realitzar en el cas d'un enfocament integrat, quan les mesures organitzatives es combinen amb la introducció de mesures tècniques de seguretat.
- El 3 d'octubre de 2016, Mohammed Ali, antic empleat clau d'IBM i Hewlett Packard, i ara cap de l'empresa Carbonite, especialitzada en solucions de ciberseguretat, va compartir [19] a les pàgines de la Harvard Business Review les seves observacions sobre la situació. amb la ciberseguretat en el sector mèdic: “Com que el ransomware és tan comú i el dany pot ser tan costós, sempre em sorprèn quan parlo amb els directors generals i aprenc que no hi pensen gaire. En el millor dels casos, el CEO delega els problemes de ciberseguretat al departament de TI. Tanmateix, això no és suficient per garantir una protecció eficaç. És per això que sempre animo els directors generals a: 1) incloure la mitigació del ransomware com a prioritat de desenvolupament organitzatiu; 2) revisar l'estratègia de ciberseguretat rellevant almenys una vegada a l'any; 3) impliqueu tota la vostra organització en l'educació rellevant".
- Podeu demanar en préstec solucions establertes del sector financer. La principal conclusió [18] que el sector financer ha extret de l'agitació de la ciberseguretat és: “L'element més eficaç de la ciberseguretat és la formació dels empleats. Perquè avui la principal causa dels incidents de ciberseguretat és el factor humà, en particular la susceptibilitat de les persones als atacs de phishing. Tot i que el xifratge fort, l'assegurança de risc cibernètic, l'autenticació multifactorial, la tokenització, el xip de targetes, la cadena de blocs i la biometria són coses que, tot i que són útils, són en gran part secundàries".
- El 19 de maig de 2017, l'agència de notícies de la BBC va informar [23] que al Regne Unit, després de l'incident de WannaCry, les vendes de programari de seguretat van augmentar un 25%. Tanmateix, segons els experts de Verizon, la compra de pànic de programari de seguretat no és el que es necessita per garantir la ciberseguretat; Per garantir-ho, cal seguir una defensa proactiva, no reactiva.
PS T'ha agradat l'article? En cas afirmatiu, si us plau, m'agrada. Si pel nombre de m'agrada (aconseguim 70) veig que els lectors d'Habr tenen interès en aquest tema, al cap d'un temps prepararé una continuació, amb un repàs d'amenaces encara més recents als sistemes d'informació mèdica.
Bibliografia
- David Talbot. // MIT Technology Review (Digital). 2012.
- Kristina Grifantini. // MIT Technology Review (Digital). 2008.
- Dens Makrushin. // SecureList. 2017.
- Tom Simonite. // MIT Technology Review (Digital). 2016..
- Sarah Marsh. // El guardià. 2017.
- Àlex Hern. // El guardià. 2017.
- Sarunas Cerniauskas. // OCCRP: Projecte de Denúncia de Crim Organitzat i Corrupció. 2017.
- Ray Walsh. // BestVPN. 2017.
- Adam Levin. //HuffPost. 2016.
- Mike Orcutt. // MIT Technology Review (Digital). 2014.
- Piotr Sapozhnikov. // AMI: Agència Russa d'Informació Mèdica i Social. 2016.
- Jim Finkle. // Reuters. 2014.
- Julia Carrie Wong. // El guardià. 2016.
- Mike Orcutt. // MIT Technology Review (Digital). 2016.
- Robert M. Pearl, MD (Harvard). // Harvard Business Review (Digital). 2017.
- // BBC. 2017.
- Peter Pronovost, MD. // Harvard Business Review (Digital). 2017.
- Rebecca Weintraub, MD (Harvard), Joram Borenstein. // Harvard Business Review (Digital). 2017.
- Mohamad Ali. // Harvard Business Review (Digital). 2016.
- Meetali Kakad, MD, David Westfall Bates, MD. // Harvard Business Review (Digital). 2017.
- Michael Gregg. //HuffPost. 2013.
- // SmartBrief. 2017.
- Matthew Wall, Mark Ward. // BBC. 2017.
- // BBC. 2017.
- Àlex Hern. // El guardià. 2017.
- //FBI. 2017.
- //Rxperian. 2017.
- Steven Erlanger, Dan Bilefsky, Sewell Chan. // The New York Times. 2017.
- // BBC. 2017.
- Allen Stefanek. .
- Linda Rosencrance. // Guia de Tom. 2015.
- .
- .
- Steven D'Alfonso. // Intel·ligència de seguretat. 2014.
- Will Knight. El secret fosc al cor de la IA // MIT Technology Review. 120(3), 2017.
- Kuznetsov G.G. // “Informàtica de Sibèria”.
- // “Informàtica de Sibèria”.
- // “Informàtica de Sibèria”.
- Vladimir Makarov. // Ràdio “Echo de Moscou”.
- // Sistemes oberts. 2015.
- Irina Sheyan. // Computerworld Rússia. 2012.
- Irina Sheyan. // Computerworld Rússia. 2012.
- Olga Smirnova. // Perfil. 2016.
- Tsepleva Anastasia. // 2012.
- .
- Kuznetsov G.G. // “Informàtica de Sibèria”.
- .
- .
- // “Informàtica de Sibèria”.
- // “Informàtica de Sibèria”.
- // “Informàtica de Sibèria”.
- // “Informàtica de Sibèria”.
- // “Informàtica de Sibèria”.
- Ageenko T.Yu., Andrianov A.V. // Estàndard informàtic. 3(4). 2015.
- 2013.
- Zhilyaev P.S., Goryunova T.I., Volodin K.I. // Butlletí científic internacional d'estudiants. 2015.
- Irina Sheyan. // Director del servei d'informació. 2017.
- Irina Sheyan. // Director del servei d'informació. 2016.
- // 2017.
- Andrei Makhonin. // BBC. 2017.
- Erik Bosman, Kaveh Razavi. Dedup Est Machina: Desduplicació de memòria com a vector d'explotació avançada // Actes del Simposi IEEE sobre seguretat i privadesa. 2016. pàgs. 987-1004.
- Bruce Potter. Dirty Little Secrets of Information Security // DEFCON 15. 2007.
- Ekaterina Kostina. .
Font: www.habr.com