Analytische beoordeling van cyberbeveiligingsbedreigingen voor medische informatiesystemen relevant in de periode van 2007 tot 2017.
Deze beoordeling werd gekenmerkt door een bedankbrief van het Ministerie van Volksgezondheid van de Russische Federatie (zie screenshot onder de spoiler).
Hoe gebruikelijk zijn medische informatiesystemen in Rusland?
- In 2006 rapporteerde Informatics of Siberia (een IT-bedrijf gespecialiseerd in de ontwikkeling van medische informatiesystemen) [38]: “MIT Technology Review publiceert periodiek een traditionele lijst van tien veelbelovende informatie- en communicatietechnologieën die de grootste impact zullen hebben op het menselijk leven in de nabije toekomst samenleving. In 2006 werden 6 van de 10 posities in deze lijst bezet door technologieën die op een of andere manier met geneeskunde te maken hebben. Het jaar 2007 werd in Rusland aangekondigd als het "jaar van de informatisering van de gezondheidszorg". Van 2007 tot 2017 groeit de dynamiek van de afhankelijkheid van de gezondheidszorg van informatie- en communicatietechnologieën voortdurend.”
- Op 10 september 2012 meldde het informatie- en analysecentrum "Open Systems" [41] dat in 2012 350 poliklinieken in Moskou waren aangesloten op het EMIAS (Unified Medical Information and Analytical System). Even later, op 24 oktober 2012, meldde dezelfde bron [42] dat op dit moment 3,8 duizend artsen geautomatiseerde werkstations hebben en dat 1,8 miljoen burgers de EMIAS-dienst al hebben uitgeprobeerd. Op 12 mei 2015 meldde dezelfde bron [40] dat UMIAS actief is in alle 660 staatspoliklinieken van Moskou en gegevens bevat van meer dan 7 miljoen patiënten.
- Op 25 juni 2016 publiceerde het tijdschrift Profil [43] een deskundig advies van het internationale analytische centrum van PwC: “Moskou is de enige metropool waar een uniform systeem voor het beheer van stadspoliklinieken volledig is geïmplementeerd, terwijl een vergelijkbare oplossing in andere steden van de wereld, inclusief New York en Londen, staat alleen ter discussie”. Profile meldde ook dat op 25 juli 2016 75% van de Moskovieten (ongeveer 9 miljoen mensen) geregistreerd was bij EMIAS, meer dan 20 artsen werken in het systeem; sinds de lancering van het systeem zijn er meer dan 240 miljoen afspraken gemaakt met artsen; meer dan 500 verschillende bewerkingen worden dagelijks in het systeem uitgevoerd. Op 10 februari 2017 meldde Ekho Moskvy [39] dat op dit moment in Moskou meer dan 97% van de medische afspraken op afspraak worden gemaakt via EMIAS.
- Op 19 juli 2016 verklaarde Veronika Skvortsova, minister van Volksgezondheid van de Russische Federatie [11] dat tegen het einde van 2018 95% van de medische centra van het land zal zijn aangesloten op het Unified State Health Information System (EGISZ). invoering van een uniform elektronisch medisch dossier (EMC). De relevante wet, die de Russische regio's verplicht zich aan te sluiten op het systeem, is publiekelijk besproken, overeengekomen met alle geïnteresseerde federale instanties en zal binnenkort naar de regering gaan. Veronika Skvortsova zei dat ze in 83 regio's een elektronische afspraak met een arts organiseerden; bij 66 proefpersonen is een uniform regionaal ambulancemeldsysteem ingevoerd; medische informatiesystemen zijn actief in 81 regio's van het land, waarop 57% van de artsen werkstations heeft aangesloten. [elf]
Kunt u mij meer vertellen over het Unified State Health Information System (EGSIZ)?
- USSIZ is de root van alle binnenlandse HIS (medische informatiesystemen). Het bestaat uit regionale fragmenten - RISUZ (regionaal gezondheidsmanagement informatiesysteem). EMIAS, dat hierboven al is genoemd, is een van de kopieën van RISUS (de beroemdste en meest veelbelovende). [51] Zoals uitgelegd [56] door de redactie van het tijdschrift "Director of the Information Service", is de USSIZ een cloud-netwerk IT-infrastructuur, waarvan de creatie van regionale segmenten wordt uitgevoerd door onderzoekscentra in Kaliningrad, Kostroma, Novosibirsk, Orel, Saratov, Tomsk en andere steden van de Russische Federatie Federatie.
- De taak van de USSIZ is om de "lappendeken van informatisering" van de gezondheidszorg uit te roeien; door de MIS van verschillende afdelingen te koppelen die voor de introductie van de USSIZ elk hun eigen maatwerksoftware gebruikten, zonder uniforme gecentraliseerde standaarden. [54] Sinds 2008 vormen 26 branchespecifieke IT-standaarden de kern van de uniforme gezondheidszorginformatieruimte van de Russische Federatie [50]. 20 van hen zijn internationaal.
- Het werk van medische centra is grotendeels afhankelijk van HIS, zoals OpenEMR of EMIAS. HIS biedt opslag van informatie over de patiënt: diagnostische resultaten, gegevens over voorgeschreven medicijnen, medische geschiedenis, enz. De meest voorkomende HIS-componenten (vanaf 30 maart 2017): EPD (Electronic Health Records) is een elektronisch beheersysteem voor medische dossiers dat patiëntgegevens in een gestructureerde vorm opslaat en zijn medische geschiedenis bijhoudt. NAS (Network Attached Storage) - netwerkopslag. DICOM (Digital Imaging and Communications in Medicine) is een standaard voor digitale beeldvorming en communicatie in de geneeskunde. PACS (Picture Archiving and Communication System) is een beeldopslag- en uitwisselingssysteem dat werkt volgens de DICOM-standaard. Creëert, bewaart en visualiseert medische beelden en documenten van onderzochte patiënten. De meest voorkomende van de DICOM-systemen. [3] Al deze IIA's zijn kwetsbaar voor goed ontworpen cyberaanvallen, waarvan de details publiekelijk beschikbaar zijn.
- In 2015 Zhilyaev P.S., Goryunova T.I. en Volodin K.I., technische experts van de Penza State Technological University, vertelden [57] in hun artikel over cyberbeveiliging in de medische sector dat EMIAS omvat: 1) IMEC (geïntegreerde medische elektronische kaart); 2) een stadsbreed patiëntenregister; 3) beheersysteem voor patiëntenstromen; 4) geïntegreerd medisch informatiesysteem; 5) systeem van geconsolideerde management accounting; 6) een systeem van gepersonaliseerde boekhouding van medische zorg; 7) beheersysteem voor medische registers. Wat CPMM betreft, volgens het rapport [39] van Ekho Moskvy radio (10 februari 2017), is dit subsysteem gebouwd op basis van de best practices van de OpenEHR-standaard, de meest geavanceerde technologie waar technologisch ontwikkelde landen geleidelijk naar overgaan .
- De redactie van het tijdschrift Computerworld Russia legde ook uit [41] dat naast de integratie van al deze diensten met elkaar en met de MIS van medische instellingen, UMIAS ook geïntegreerd is met de software van het federale fragment "EGIS-Zdrav" (EGIS is een uniform staatsinformatiesysteem) en elektronische overheden, inclusief portalen voor openbare diensten. Even later, op 25 juli 2016, verduidelijkte de redactie van het tijdschrift Profile [43] dat UMIAS momenteel verschillende diensten combineert: een situatiecentrum, een elektronisch register, een EPD, een elektronisch voorschrift, ziekteverlofattesten, laboratoriumdienst en gepersonaliseerde boekhouding.
- Op 7 april 2016 meldde de redactie van het tijdschrift "Director of the Information Service" [59] dat EMIAS naar apotheken kwam. In alle apotheken in Moskou die medicijnen verkopen op voorkeursrecepten, is een "geautomatiseerd systeem voor het beheer van de medicijnvoorziening voor de bevolking" gelanceerd - M-Pharmacy.
- Op 19 januari 2017 meldde dezelfde bron [58] dat sinds 2015 de implementatie van een uniforme radiologische informatiedienst (ERIS) geïntegreerd met UMIAS is begonnen in Moskou. Voor artsen die patiënten doorverwijzen voor diagnostiek zijn stroomschema's ontwikkeld voor röntgenonderzoek, echografie, CT en MRI, die zijn geïntegreerd met EMIAS. Naarmate het project zich uitbreidt, is het de bedoeling om ziekenhuizen met hun talrijke apparatuur op de dienst aan te sluiten. Veel ziekenhuizen hebben een eigen ZIS, en die moeten ook geïntegreerd worden. De redactie van Profile geeft verder aan dat, gezien de positieve ervaringen van de hoofdstad, ook de regio's zijn aangestoken met interesse in de implementatie van UMIAS.
Kunt u de technische kenmerken van binnenlandse medische informatiesystemen toelichten?
- De informatie voor deze paragraaf is ontleend aan het analytische overzicht [49] "Informatica van Siberië". Ongeveer 70% van de medische informatiesystemen is gebaseerd op relationele databases. In 1999 maakte 47% van de medische informatiesystemen gebruik van lokale (desktop)databases, met in verreweg de meeste gevallen dBase-tabellen. Deze aanpak is typerend voor de beginperiode van softwareontwikkeling voor de geneeskunde en het creëren van zeer gespecialiseerde producten.
- Elk jaar neemt het aantal binnenlandse systemen op basis van desktopdatabases af. In 2003 was dit nog maar 4%. Tot op heden gebruikt bijna geen enkele ontwikkelaar dBase-tabellen. Sommige softwareproducten gebruiken hun eigen databaseformaat; vaak worden ze gebruikt in elektronische farmacologische naslagwerken. Momenteel beschikt de binnenlandse markt over een medisch informatiesysteem dat zelfs is gebouwd op zijn eigen DBMS van de "client-server"-architectuur: e-Hospital. Het is moeilijk om objectieve redenen voor dergelijke beslissingen voor te stellen.
- Bij de ontwikkeling van binnenlandse medische informatiesystemen worden voornamelijk de volgende DBMS gebruikt: Microsoft SQL Server (52.18%), Cache (17.4%), Oracle (13%), Borland Interbase Server (13%), Lotus Notes/Domino (13%) . Ter vergelijking: als we alle medische software analyseren met behulp van de client-server architectuur, dan is het aandeel Microsoft SQL Server DBMS 64%. Veel ontwikkelaars (17.4%) staan het gebruik van meerdere DBMS toe, meestal is het een combinatie van Microsoft SQL Server en Oracle. Twee systemen (IS Kondopoga [44] en Paracelsus-A [45]) gebruiken meerdere DBMS'en tegelijkertijd. Alle gebruikte DBMS zijn onderverdeeld in twee fundamenteel verschillende typen: relationeel en postrelationeel (objectgericht). Tot op heden is 70% van de binnenlandse medische informatiesystemen gebaseerd op relationele DBMS en 30% op postrelationele systemen.
- Bij de ontwikkeling van medische informatiesystemen worden verschillende programmeertools gebruikt. DOKA+ [47] is bijvoorbeeld geschreven in PHP en JavaScript. "E-Hospital" [48] is ontwikkeld in de Microsoft Visual C++-omgeving. Het amulet bevindt zich in de Microsoft Visual.NET-omgeving. Infomed [46], draaiend onder Windows (98/Me/NT/2000/XP), heeft een client-serverarchitectuur op twee niveaus; het clientgedeelte is geïmplementeerd in de programmeertaal Delphi; het servergedeelte staat onder controle van het Oracle DBMS.
- Ongeveer 40% van de ontwikkelaars gebruikt de tools die in het DBMS zijn ingebouwd. 42% gebruikt eigen ontwikkelingen als rapportredacteur; 23% - tools ingebouwd in het DBMS. Om het ontwerp en het testen van programmacode te automatiseren, gebruikt 50% van de ontwikkelaars Visual Source Safe. Als software voor het maken van documentatie gebruikt 85% van de ontwikkelaars Microsoft-producten - Word-teksteditor of bijvoorbeeld de makers van e-Hospital, Microsoft Help Workshop.
- In 2015 Ageenko T.Yu. en Andrianov A.V., technische experts van het Moscow Institute of Technology, publiceerden een artikel [55], waarin ze in detail de technische details beschreven van een geautomatiseerd informatiesysteem voor ziekenhuizen (HAIS), inclusief een typische netwerkinfrastructuur van een medische instelling en de dringende problemen om de cyberbeveiliging ervan te waarborgen. GAIS is een beveiligd netwerk waarmee EMIAS werkt, het meest veelbelovende van de Russische MIS's.
- Informatics of Siberia stelt [53] dat de twee meest gezaghebbende onderzoekscentra die betrokken zijn bij de ontwikkeling van MIS het Institute of Program Systems van de Russian Academy of Sciences zijn (gevestigd in de oude Russische stad Pereslavl-Zalessky) en de non-profitorganisatie Fonds voor de ontwikkeling en levering van gespecialiseerde medische zorg 168" (gevestigd in Akademgorodok, Novosibirsk). De Informatica van Siberië zelf, die ook in deze lijst kan worden opgenomen, bevindt zich in de stad Omsk.
Hoe zit het met de cyberbeveiliging van het binnenlandse EMIAS-systeem?
- Op 10 februari 2017 deelde Vladimir Makarov, de curator van het EMIAS-project, in zijn interview voor Ekho Moskvy radio zijn idee [39] dat absolute cyberbeveiliging niet bestaat: “Er is altijd een risico op datalekken. Je moet eraan wennen dat het gevolg van het gebruik van moderne technologie is dat alles over jou bekend kan worden. Ze openen zelfs de e-mailboxen van de eerste personen van de staten.” In dit verband kan melding worden gemaakt van een recent incident waarbij de e-mails van ongeveer 90 leden van het Britse parlement werden gecompromitteerd.
- Op 12 mei 2015 sprak de afdeling Informatietechnologie van Moskou [40] over vier kernpunten van het ISIS (Integrated Information Security System) voor EMIAS: 1) fysieke bescherming - gegevens worden opgeslagen op moderne servers in ondergrondse kamers, toegang waaraan strikt gereglementeerd is; 2) softwarebescherming - gegevens worden in versleutelde vorm verzonden via beveiligde communicatiekanalen; daarnaast kan er maar van één patiënt tegelijk informatie worden ingewonnen; 3) geautoriseerde toegang tot gegevens - een arts wordt geïdentificeerd door een persoonlijke smartcard; voor de patiënt wordt tweefactoridentificatie verstrekt volgens het MHI-beleid en de geboortedatum.
- 4) Medische en persoonlijke gegevens worden afzonderlijk opgeslagen, in twee verschillende databases, wat hun veiligheid extra waarborgt; EMIAS-servers verzamelen medische informatie in geanonimiseerde vorm: doktersbezoeken, afspraken, invaliditeitscertificaten, verwijzingen, recepten en andere details; en persoonlijke gegevens - het MHI-polisnummer, achternaam, voornaam, patroniem, geslacht en geboortedatum - zijn opgenomen in de databases van het Moscow City Compulsory Medical Insurance Fund; gegevens uit deze twee databases worden na identificatie alleen visueel op de monitor van de arts met elkaar verbonden.
- Ondanks de schijnbare onneembaarheid van dergelijke EMIAS-bescherming, maken moderne cyberaanvaltechnologieën, waarvan de details in het publieke domein zijn, het echter mogelijk om zelfs dergelijke bescherming te kraken. Zie bijvoorbeeld de beschrijving van de aanval op de nieuwe Microsoft Edge-browser - bij afwezigheid van softwarefouten en met de actieve status van alle beschikbare beveiligingen. [62] Daarnaast is de afwezigheid van fouten in de programmacode al een utopie op zich. Meer hierover in de presentatie "Dirty secrets of cyberdefenders". [63]
- Op 27 juni 2017 schortte de Invitro-kliniek de inzameling van biomateriaal en de uitgifte van testresultaten in Rusland, Wit-Rusland en Kazachstan op vanwege een grootschalige cyberaanval. [64]
- Op 12 mei 2017 registreerde Kaspersky Lab [60] 45 succesvolle cyberaanvallen door het WannaCry-ransomwarevirus in 74 landen over de hele wereld; bovendien vonden de meeste van deze aanvallen plaats op het grondgebied van Rusland. Drie dagen later (15 mei 2017) registreerde het antivirusbedrijf Avast [61] al 200 cyberaanvallen door het WannaCry-ransomwarevirus en meldde dat meer dan de helft van deze aanvallen in Rusland plaatsvond. Het persbureau BBC meldde (13 mei 2017) dat in Rusland onder meer het ministerie van Volksgezondheid, het ministerie van Binnenlandse Zaken, de Centrale Bank en de Onderzoekscommissie slachtoffer zijn geworden van het virus. [61]
- De perscentra van deze en andere Russische afdelingen beweren echter unaniem dat cyberaanvallen van het WannaCry-virus, hoewel ze plaatsvonden, niet met succes werden bekroond. De meeste Russischtalige publicaties over de betreurenswaardige incidenten met WannaCry, waarin een of ander Russisch bureau wordt genoemd, voegen haastig iets toe als: "Maar volgens officiële gegevens is er geen schade aangericht." Aan de andere kant is de westerse pers er zeker van dat de gevolgen van de cyberaanval van het WannaCry-virus tastbaarder zijn dan in de Russischtalige pers wordt voorgesteld. De westerse pers is daar zo zeker van dat ze Rusland zelfs heeft vrijgesproken van betrokkenheid bij deze cyberaanval. Wie meer te vertrouwen is - westerse of binnenlandse media - is voor iedereen een persoonlijke zaak. Tegelijkertijd is het de moeite waard om te overwegen dat beide partijen hun eigen motieven hebben om betrouwbare feiten te overdrijven en te bagatelliseren.
Hoe zit het met de cyberveiligheid van medische informatiesystemen – in cijfers?
- Op 1 juni 2017 verklaarden Rebecca Weintrab (hoofdarts van Brigham and Women's Hospital met een Ph.D.) en Joram Borenstein (cybersecurity-ingenieur) in hun gezamenlijk artikel gepubliceerd op de pagina's van de Harvard Business Review [18] dat de digitale leeftijd heeft het verzamelen van medische gegevens en de uitwisseling van medische dossiers tussen verschillende medische centra aanzienlijk vereenvoudigd: medische dossiers van patiënten zijn tegenwoordig mobiel en draagbaar geworden. Dergelijke digitale gemakken brengen echter kosten met zich mee voor medische centra met ernstige cyberbeveiligingsrisico's.
- Op 3 maart 2017 meldde het persbureau SmartBrief [24] dat er in de eerste twee maanden van 2017 ongeveer 250 cyberbeveiligingsincidenten waren die resulteerden in de diefstal van meer dan een miljoen gevoelige gegevens. 50% van deze incidenten vond plaats in het midden- en kleinbedrijf (zorg niet meegerekend). Ongeveer 30% - viel op de gezondheidssector. Iets later, op 16 maart, meldde hetzelfde bureau [22] dat de leider van cybersecurity-incidenten ten tijde van het huidige 2017 de medische sector is.
- Op 17 januari 2013 meldde Michael Greg, CEO van het cyberbeveiligingsadviesbureau Smart Solutions [21] dat in 2012 94% van de medische centra het slachtoffer was van het lekken van vertrouwelijke informatie. Dit is 65% meer dan in 2010-2011. Erger nog, 45% van de medische centra meldde dat de omvang van het lekken van vertrouwelijke informatie na verloop van tijd ernstiger wordt; en gaf toe dat ze in de periode 2012-2013 meer dan vijf van dergelijke ernstige lekkages hadden. En minder dan de helft van de medische centra is er zeker van dat dergelijke lekken kunnen worden voorkomen, of u kunt er in ieder geval achter komen dat ze hebben plaatsgevonden.
- Michael Greg meldde ook [21] dat in de periode 2010-2012, in slechts drie jaar tijd, meer dan 20 miljoen patiënten het slachtoffer werden van de diefstal van EPD's die gevoelige vertrouwelijke informatie bevatten: diagnoses, behandelingsprocedures, betalingsinformatie, verzekeringsgegevens, sociale nummerverzekering en meer. Een cybercrimineel die een EPD heeft gestolen, kan de daaruit verzamelde informatie op verschillende manieren gebruiken (zie de paragraaf "Wat is het verband tussen diefstal van burgerservicenummers en de criminele vervalsingsindustrie?"). Ondanks dit alles is de bescherming van EMR's in medische centra vaak veel minder zwak dan de bescherming van persoonlijke e-mail.
- Op 2 september 2014 verklaarde Mike Orkut, een technisch expert bij MIT, [10] dat incidenten met ransomware-infecties elk jaar toenemen. In 2014 waren er 600% meer incidenten dan in 2013. Daarnaast meldde de Amerikaanse FBI [26] dat er in 2016 dagelijks ruim 4000 gevallen van digitale afpersing waren - vier keer meer dan in 2015. Tegelijkertijd is niet alleen de trend van toenemende incidenten met ransomware-infecties alarmerend; ook de geleidelijke groei van gerichte aanvallen is alarmerend. De meest voorkomende doelen van dergelijke aanvallen zijn financiële instellingen, detailhandelaren en medische centra.
- Op 19 mei 2017 publiceerde het BBC-persbureau [23] het rapport van Verizon uit 2017, volgens welke 72% van de ransomware-incidenten plaatsvond in de medische sector. Tegelijkertijd is het aantal van dergelijke incidenten de afgelopen 12 maanden met 50% gestegen.
- Op 1 juni 2017 publiceerde de Harvard Busines Review [18] een rapport van het Amerikaanse ministerie van Volksgezondheid en Human Services waarin stond dat er in 2015 meer dan 113 miljoen EPD's waren gestolen. In 2016 - meer dan 16 miljoen. Tegelijkertijd is er, ondanks het feit dat er ten opzichte van 2016 een sterke daling van het aantal incidenten is, nog steeds sprake van een stijgende lijn. Begin 2017 stelde de denktank Expirian [27] dat de gezondheidszorg verreweg het meest gewilde doelwit is voor cybercriminelen.
- Het lekken van patiëntgegevens in medische systemen wordt stilaan [37] een van de meest urgente problemen in de gezondheidszorg. Zo lekte volgens InfoWatch de afgelopen twee jaar (2005-2006) elke tweede medische organisatie patiënteninformatie uit. Tegelijkertijd vindt 60% van de datalekken niet plaats via communicatiekanalen, maar via specifieke personen die vertrouwelijke informatie buiten de organisatie brengen. Slechts 40% van de informatielekken vindt plaats om technische redenen. De zwakste schakel [36] in de cybersecurity van medische informatiesystemen zijn mensen. U kunt veel geld uitgeven om beveiligingssystemen te maken, en een laagbetaalde werknemer verkoopt informatie voor een duizendste van die kosten.
Kunnen computervirussen medische apparatuur infecteren?
- Op 17 oktober 2012 meldde David Talbot, een technisch expert van het MIT [1] dat medische apparatuur die in medische centra wordt gebruikt steeds meer geautomatiseerd, "slim" en flexibeler wordt voor herprogrammering; en heeft ook steeds vaker een functie om netwerken te ondersteunen. Hierdoor wordt medische apparatuur steeds vatbaarder voor cyberaanvallen en virussen. Het probleem wordt nog verergerd door het feit dat fabrikanten gewoonlijk geen wijzigingen aan hun hardware toestaan, zelfs niet om deze cyberveilig te maken.
- In 2009 infiltreerde de Conficker-netwerkworm bijvoorbeeld het Beth Israel Medical Center en infecteerde een deel van de medische apparatuur daar, waaronder een werkstation voor verloskundige zorg (van Philips) en een fluoroscopie-werkstation (van General Electric). Om soortgelijke incidenten in de toekomst te voorkomen, besloot John Halmack, IT-directeur van dit medisch centrum - en parttime professor aan de Harvard Medical School met een doctoraat - om de netwerkondersteuningsfunctie op deze apparatuur uit te schakelen. Hij werd echter geconfronteerd met het feit dat de apparatuur "niet kan worden geüpgraded vanwege wettelijke beperkingen". Het kostte hem veel moeite om met de fabrikanten samen te werken om netwerkmogelijkheden uit te schakelen. De verbinding met het netwerk verbreken is echter verre van ideaal. Vooral in de context van de toenemende integratie en onderlinge afhankelijkheid van medische apparatuur. [1]
- Dit is met betrekking tot "slimme" apparatuur die wordt gebruikt in medische centra. Maar er zijn ook draagbare medische apparaten, waaronder insulinepompen en geïmplanteerde pacemakers. Ze worden steeds meer blootgesteld aan cyberaanvallen en infectie met computervirussen. [1] Even terzijde: op 12 mei 2017 (de dag van de triomf van het WannaCry-ransomwarevirus) meldde een van de hartchirurgen [28] dat tijdens zijn hartoperatie verschillende computers crashten, maar gelukkig , slaagde hij er toch in de operatie met succes af te ronden.
Hoe gevaarlijk zijn ransomware-virussen voor de medische sector?
- Op 3 oktober 2016 legde Mohammed Ali, CEO van cyberbeveiligingsbedrijf Carbonite, uit [19] in de Harvard Business Review dat ransomware een type computervirus is dat de toegang van een gebruiker tot zijn systeem blokkeert; totdat het losgeld is betaald. Het ransomware-virus versleutelt de harde schijf - waardoor de gebruiker geen toegang meer heeft tot informatie op zijn computer - en voor het verstrekken van de decoderingssleutel vraagt het ransomware-virus losgeld. Om te voorkomen dat ze met wetshandhavers worden geconfronteerd, gebruiken aanvallers anonieme betaalmethoden, zoals bitcoin. [19]
- Muhammad Ali meldde ook [19] dat ransomware-distributeurs hebben ontdekt dat de meest optimale prijs voor losgeld bij het aanvallen van gewone burgers en eigenaren van kleine bedrijven tussen de $300 en $500 ligt. Dit is een bedrag waarvan velen bereid zijn afstand te doen - geconfronteerd met het vooruitzicht al hun digitale spaargeld te verliezen. [19]
- Op 16 februari 2016 meldde het persbureau Guardian [13] dat als gevolg van een ransomware-infectie medisch personeel van het Hollywood Presbyterian Medical Center de toegang tot hun computersystemen was kwijtgeraakt. Dientengevolge werden artsen gedwongen om te faxen, verpleegsters om medische dossiers op ouderwetse papieren medische dossiers vast te leggen en patiënten om naar het ziekenhuis te gaan om de testresultaten persoonlijk op te halen.
- Op 17 februari 2016 gaf het Hollywood Presbyterian Medical Center een verklaring af [30] die luidde: “Op de avond van 5 februari verloren onze medewerkers de toegang tot het ziekenhuisnetwerk. De malware heeft onze computers vergrendeld en al onze bestanden versleuteld. Wetshandhavingsinstanties werden onmiddellijk op de hoogte gebracht. Cyberbeveiligingsexperts hielpen de toegang tot onze computers te herstellen. Het gevraagde losgeld was 40 bitcoins ($ 17000). De snelste en meest efficiënte manier om onze systemen en administratieve functies te herstellen, was door losgeld te betalen, enzovoort. verkrijg de decoderingssleutel. Om de ziekenhuissystemen weer gezond te maken, waren we hiertoe genoodzaakt.”
- Op 12 mei 2017 meldde de New York Times [28] dat als gevolg van het WannaCry-incident sommige ziekenhuizen zo verlamd waren dat zelfs naamkaartjes voor pasgeborenen niet konden worden afgedrukt. In ziekenhuizen kregen patiënten te horen: "We kunnen u niet van dienst zijn omdat onze computers niet werken." Het is nogal ongebruikelijk om te horen in grote steden als Londen.
Als cyberincidenten zo gevaarlijk zijn, waarom automatiseren fabrikanten van medische hulpmiddelen hun apparaten dan?
- Op 9 juli 2008 merkte Cristina Grifantini, technisch expert van het MIT, op in haar artikel "Medical Centers: The Age of Plug and Play" [2]: De angstaanjagende verscheidenheid aan nieuwe "slimme" medische apparaten in ziekenhuizen belooft betere patiëntenzorg. Het probleem is echter dat deze apparaten meestal niet compatibel zijn met elkaar, zelfs als ze door dezelfde fabrikant zijn geproduceerd. Artsen ervaren dan ook een dringende behoefte om alle medische apparatuur te integreren in één geautomatiseerd netwerk.
- Op 9 juli 2009 verklaarde Douglas Rosendale, IT-specialist bij de Veterans Health Administration en parttime professor aan de Harvard School of Medicine met een Ph.D. [2] de dringende behoefte aan geautomatiseerde integratie van medische apparaten met de volgende woorden: : met een gesloten architectuur, van verschillende leveranciers - maar het probleem is dat ze niet met elkaar kunnen communiceren. En dat maakt het moeilijk om voor patiënten te zorgen.”
- Wanneer medische hulpmiddelen onafhankelijk van elkaar metingen doen en deze niet met elkaar uitwisselen, kunnen ze de toestand van de patiënt niet volledig beoordelen en slaan ze daarom alarm bij de geringste afwijking van de norm, met of zonder reden. Dit zorgt voor aanzienlijk ongemak voor verpleegkundigen, vooral op de intensive care, waar veel van dergelijke onafhankelijke apparaten zijn. Zonder netwerkintegratie en ondersteuning wordt de IC een gekkenhuis. Integratie en ondersteuning van het lokale netwerk maken het mogelijk om het werk van medische apparaten en medische informatiesystemen (vooral de interactie van deze apparaten met het EPD van patiënten) te coördineren, wat leidt tot een aanzienlijke vermindering van het aantal valse alarmen. [2]
- Ziekenhuizen hebben veel verouderde dure apparatuur die geen ondersteuning biedt voor netwerken. Ziekenhuizen die dringend behoefte hebben aan integratie, vervangen deze apparatuur geleidelijk door nieuwe of passen ze aan zodat ze in het totale netwerk kunnen worden geïntegreerd. Tegelijkertijd is dit probleem, zelfs met nieuwe apparatuur, die is ontwikkeld rekening houdend met de mogelijkheid van integratie, niet volledig opgelost. Omdat elke fabrikant van medische hulpmiddelen, gedreven door eeuwige concurrentie, ernaar streeft ervoor te zorgen dat zijn apparaten alleen met elkaar kunnen worden geïntegreerd. Veel spoedeisende hulpafdelingen hebben echter een specifieke set apparaten nodig die geen enkele fabrikant alleen kan leveren. Daarom lost het kiezen van één fabrikant het compatibiliteitsprobleem niet op. Dit is een ander probleem dat complexe integratie in de weg staat. En ziekenhuizen investeren fors in de oplossing. Want apparaten die anders onverenigbaar zijn met elkaar, maken van het ziekenhuis met zijn valse alarmen een krankzinnigengesticht. [2]
- Op 13 juni 2017 deelde Peter Pronowost, een doctoraal arts en associate director of patient safety bij Johns Hopkins Medicine, [17] in de Harvard Business Review zijn mening over de noodzaak van automatisering van medische apparatuur: “Take, for example, Breathe -helpmachine. De optimale beademingsmodus van de longen van de patiënt is direct afhankelijk van de lengte van de patiënt. De lengte van de patiënt wordt opgeslagen in het EPD. In de regel heeft het ademhalingsapparaat geen interactie met het EPD, dus artsen moeten deze informatie handmatig verkrijgen, enkele berekeningen op papier maken en de parameters van het ademhalingsapparaat handmatig instellen. Als het ademhalingsapparaat en het EPD via een computernetwerk met elkaar verbonden zouden zijn, dan zou deze handeling geautomatiseerd kunnen worden. Een vergelijkbare onderhoudsroutine voor medische apparatuur bestaat tussen tientallen andere medische apparaten. Daarom moeten artsen dagelijks honderden routinematige operaties uitvoeren; wat gepaard gaat met fouten - hoewel zeldzaam, maar onvermijdelijk.
- Nieuwe computergestuurde ziekenhuisbedden zijn uitgerust met een reeks hoogtechnologische sensoren die een breed scala aan parameters van de patiënt die erop ligt, kan bewaken. Deze bedden kunnen bijvoorbeeld, door de dynamiek van de bewegingen van de patiënt op het bed te volgen, bepalen of hij het risico loopt decubitus te krijgen. Deze hoogtechnologische sensoren dekken 30% van de kosten van het hele bed. Zonder geautomatiseerde integratie heeft dit "slimme bed" echter weinig zin - het zal immers geen gemeenschappelijke taal kunnen vinden met andere medische apparaten. Een vergelijkbare situatie wordt waargenomen bij "slimme draadloze monitoren" die hartslag, MPC, bloeddruk, enz. Meten. Zonder de integratie van al deze apparatuur in één enkel geautomatiseerd netwerk, en vooral zonder directe interactie met het EPD van de patiënt, heeft het weinig zin. [17]
Waarom stapten cybercriminelen over van de financiële sector en winkels naar medische centra?
- Op 16 februari 2016 deelde Julia Cherry, speciaal correspondent voor The Guardian, haar observatie dat gezondheidscentra vooral aantrekkelijk zijn voor cybercriminelen omdat hun informatiesystemen - dankzij de landelijke drang van gezondheidscentra om medische dossiers te digitaliseren - een schat aan informatie bevatten. Waaronder creditcardnummers, persoonlijke informatie over patiënten en gevoelige medische gegevens. [13]
- Op 23 april 2014 legde Jim Finkle, een cybersecurity-analist bij het persbureau Reuters, uit [12] dat cybercriminelen de neiging hebben om de weg van de minste weerstand te kiezen. De cyberbeveiligingssystemen van medische centra zijn veel zwakker in vergelijking met andere sectoren die dit probleem al hebben onderkend en effectieve tegenmaatregelen hebben genomen. Daarom voelen cybercriminelen zich tot hen aangetrokken.
- Op 18 februari 2016 meldde Mike Orkut, technisch expert van het MIT, dat de interesse van cybercriminelen in de medische sector de volgende vijf redenen heeft: 1) De meeste medische centra hebben al hun documenten en kaarten in digitale vorm omgezet; de rest is bezig met een dergelijke overdracht. De details van deze kaarten bevatten persoonlijke informatie die zeer gewaardeerd wordt op de zwarte markt op het dark web. 2) Cybersecurity in medische centra is geen prioriteit; ze gebruiken vaak verouderde systemen en ondersteunen deze niet goed. 3) De behoefte aan snelle toegang tot gegevens in noodsituaties weegt vaak zwaarder dan de behoefte aan beveiliging, waardoor ziekenhuizen cyberbeveiliging verwaarlozen, ook al zijn ze zich bewust van de implicaties. 4) Ziekenhuizen voegen meer apparaten toe aan hun netwerk, waardoor de slechteriken meer mogelijkheden krijgen om het ziekenhuisnetwerk te infiltreren. 5) De trend naar meer gepersonaliseerde geneeskunde - met name de noodzaak voor patiënten om uitgebreide toegang te hebben tot hun EPD's - maakt MIS een nog toegankelijker doelwit. [14]
- De detailhandel en de financiële sector zijn al lang een populair doelwit voor cybercriminelen. Naarmate de van deze instellingen gestolen informatie de zwarte markt op het dark web overspoelt, wordt het goedkoper en daarom is het niet winstgevend voor de slechteriken om het te stelen en te verkopen. Daarom beheersen de slechteriken nu een nieuwe, meer winstgevende sector. [12]
- Op de zwarte markt op het dark web zijn medische kaarten veel duurder dan creditcardnummers. Ten eerste omdat ze kunnen worden gebruikt om toegang te krijgen tot bankrekeningen en om recepten voor gecontroleerde medicijnen te verkrijgen. Ten tweede omdat het feit van diefstal van een medische kaart en het feit van het illegale gebruik ervan veel moeilijker te detecteren is en er veel meer tijd verstrijkt tussen het moment van misbruik en het moment van detectie dan in het geval van creditcardmisbruik. [12]
- Volgens Dell combineren enkele bijzonder ondernemende cybercriminelen stukjes gezondheidsinformatie uit gestolen medische dossiers met andere gevoelige gegevens, enzovoort. verzamel een pakket vervalste documenten. Dergelijke pakketten worden "fullz" en "kitz" genoemd in het jargon van de Darknet-zwarte markt. De prijs van elk van deze pakketten is hoger dan $ 1000. [12]
- Op 1 april 2016 zei Tom Simont, technisch expert bij MIT, [4] dat het wezenlijke verschil tussen cyberdreigingen in de medische sector zit in de ernst van de gevolgen die ze beloven. Als u bijvoorbeeld de toegang tot uw zakelijke e-mail kwijtraakt, raakt u natuurlijk van streek; het verliezen van toegang tot medische dossiers die informatie bevatten die nodig is om patiënten te behandelen, is echter een andere zaak.
- Voor cybercriminelen - die begrijpen dat deze informatie zeer waardevol is voor artsen - is de medische sector dan ook een zeer aantrekkelijk doelwit. Zo aantrekkelijk dat ze constant fors investeren om hun ransomware nog beter te maken; om een stap voor te blijven in hun eeuwige strijd met antivirussystemen. De indrukwekkende bedragen die ze via ransomware binnenhalen, geven hen de mogelijkheid om genereus te zijn met dergelijke investeringen, en deze kosten worden meer dan beloond. [4]
Waarom zijn ransomware-infecties toegenomen en blijven ze toenemen in de medische sector?
- Op 1 juni 2017 publiceerden Rebecca Weintrab (hoofdarts bij Brigham and Women's Hospital met een PhD) en Joram Borenstein (cybersecurity engineer) [18] in de Harvard Business Review de resultaten van hun gezamenlijk onderzoek naar cybersecurity in de medische sector. De belangrijkste stellingen van hun onderzoek worden hieronder weergegeven.
- Geen enkele organisatie is immuun voor hacking. Dit is de realiteit waarin we leven, en deze realiteit werd vooral duidelijk toen het WannaCry-ransomwarevirus medio mei 2017 explodeerde en medische centra en andere organisaties over de hele wereld infecteerde. [18]
- In 2016 ontdekten de beheerders van het Hollywood Presbyterian Medical Center, een grote polikliniek, plotseling dat ze geen toegang meer hadden tot informatie op hun computers. Artsen hadden geen toegang tot de EPD's van hun patiënten; en zelfs naar hun eigen rapporten. Alle informatie op hun computers was versleuteld door een ransomware-virus. Terwijl alle informatie van de polikliniek werd gegijzeld door indringers, zagen dokters zich genoodzaakt cliënten door te verwijzen naar andere ziekenhuizen. Twee weken lang schreven ze alles op papier, totdat ze besloten het door de aanvallers geëiste losgeld te betalen - $ 17000 (40 bitcoins). Het was niet mogelijk om de betaling te traceren, omdat het losgeld werd betaald via een anoniem Bitcoin-betalingssysteem. Als cyberbeveiligingsspecialisten een paar jaar geleden hadden gehoord dat besluitvormers voor een raadsel zouden staan door geld om te zetten in cryptocurrency om losgeld te betalen aan de ontwikkelaar van het virus, dan hadden ze het niet geloofd. Dat is echter precies wat er vandaag is gebeurd. Gewone mensen, eigenaren van kleine bedrijven en grote bedrijven zijn allemaal het doelwit van ransomware. [19]
- In termen van social engineering worden phishing-e-mails met kwaadaardige links en bijlagen niet langer verzonden namens buitenlandse familieleden die een deel van hun vermogen aan u willen nalaten in ruil voor vertrouwelijke informatie. Tegenwoordig zijn phishing-e-mails goed voorbereide berichten, zonder typefouten; vaak vermomd als officiële documenten met logo's en handtekeningen. Sommige zijn niet te onderscheiden van gewone zakelijke correspondentie of legitieme updatemeldingen van applicaties. Soms ontvangen beslissers die betrokken zijn bij rekrutering brieven van een veelbelovende kandidaat met een cv als bijlage bij de brief, waarin een ransomware-virus is ingebed. [19]
- Geavanceerde social engineering is echter niet zo erg. Erger nog is het feit dat de lancering van een ransomware-virus kan plaatsvinden zonder de directe deelname van de gebruiker. Ransomware-virussen kunnen zich verspreiden via beveiligingslekken; of via onbeschermde oude applicaties. Minstens elke week verschijnt er een fundamenteel nieuw type ransomware; en het aantal manieren waarop ransomware-virussen computersystemen kunnen binnendringen, neemt voortdurend toe. [19]
- Dus bijvoorbeeld met betrekking tot het WannaCry ransomware virus... Aanvankelijk (15 mei 2017) concludeerden beveiligingsexperts [25] dat de belangrijkste reden voor de infectie van het Britse nationale gezondheidssysteem is dat ziekenhuizen een verouderde versie van het Windows-besturingssysteem - XP (ziekenhuizen gebruiken dit systeem omdat veel dure ziekenhuisapparatuur niet compatibel is met nieuwere versies van Windows). Even later (22 mei 2017) bleek echter [29] dat een poging om WannaCry op Windows XP te draaien vaak leidde tot een computercrash, zonder infectie; en de meeste geïnfecteerde machines draaiden op Windows 7. Bovendien werd aanvankelijk gedacht dat het WannaCry-virus zich via phishing verspreidde, maar later bleek dat dit virus zichzelf verspreidde, als een netwerkworm, zonder de hulp van de gebruiker.
- Daarnaast zijn er gespecialiseerde zoekmachines die niet zoeken naar sites op het netwerk, maar naar fysieke apparatuur. Via hen kunt u te weten komen op welke plek, in welk ziekenhuis, welke apparatuur op het netwerk is aangesloten. [3]
- Een andere belangrijke factor in de prevalentie van ransomware-virussen is toegang tot de Bitcoin-cryptocurrency. Het gemak van het anoniem innen van betalingen van over de hele wereld voedt de groei van cybercriminaliteit. Bovendien stimuleer je door geld over te maken naar afpersers daarmee herhaalde afpersingen tegen jou. [19]
- Tegelijkertijd hebben cybercriminelen geleerd om zelfs die systemen vast te leggen waarop de modernste bescherming is toegepast, en de nieuwste software-updates; en de middelen voor detectie en decodering (waar beveiligingssystemen hun toevlucht toe nemen) werken niet altijd; vooral als de aanval gericht en uniek is. [19]
- Er is echter nog steeds een effectieve tegenmaatregel tegen ransomware: het maken van back-ups van kritieke gegevens. Zodat in geval van problemen de gegevens eenvoudig kunnen worden hersteld. [19]
Artsen, verpleegkundigen en patiënten die getroffen zijn door WannaCry - hoe is het voor hen afgelopen?
- Op 13 mei 2017 interviewde Sarah Marsh van The Guardian verschillende slachtoffers van het WannaCry-ransomwarevirus om te begrijpen hoe dit incident [5] voor de slachtoffers afliep (namen zijn om privacyredenen gewijzigd):
- Sergey Petrovich, dokter: Ik kon patiënten geen goede zorg bieden. Hoe leiders het publiek ook overtuigen dat cyberincidenten de veiligheid van eindpatiënten niet aantasten, dit is niet waar. We konden niet eens röntgenfoto's maken toen onze computersystemen faalden. En bijna geen enkele medische procedure kan zonder deze foto's. Op deze noodlottige avond zag ik bijvoorbeeld een patiënt en ik moest hem een röntgenfoto laten maken, maar omdat onze computersystemen verlamd waren, kon ik het niet doen. [5]
- Vera Mikhailovna, een patiënte met borstkanker: Na mijn chemotherapiesessie was ik halverwege het ziekenhuis, maar op dat moment was er een cyberaanval. En hoewel de sessie al was afgerond, moest ik nog enkele uren in het ziekenhuis doorbrengen - wachtend tot het medicijn me eindelijk zou worden gegeven. De storing was te wijten aan het feit dat de medische staf, voordat medicijnen worden verstrekt, controleert of ze aan de voorschriften voldoen, en deze controles worden uitgevoerd door geautomatiseerde systemen. De patiënten die mij in de rij volgden, waren al op de afdeling voor een chemotherapiesessie; hun medicijnen zijn al afgeleverd. Maar omdat het onmogelijk was om te controleren of ze aan de recepten voldeden, werd de procedure uitgesteld. De behandeling van de rest van de patiënten werd over het algemeen uitgesteld tot de volgende dag. [5]
- Tatjana Ivanovna, verpleegster: Maandag konden we het EPD van de patiënt en de lijst met geplande afspraken voor vandaag niet bekijken. Ik had dit weekend dienst, dus op maandag, toen ons ziekenhuis het slachtoffer werd van een cyberaanval, moest ik precies onthouden wie er naar de afspraak moest komen. De informatiesystemen van ons ziekenhuis zijn geblokkeerd. We konden geen medische geschiedenis bekijken, we konden geen recepten voor medicijnen bekijken; kon de adressen en contactgegevens van patiënten niet inzien; documenten invullen; testresultaten controleren. [5]
- Evgeny Sergejevitsj, systeembeheerder: Op vrijdagmiddag hebben we meestal de meeste bezoekers. Zo was het deze vrijdag. Het ziekenhuis was vol mensen en 5 ziekenhuismedewerkers hadden dienst bij de receptie van telefonische aanvragen en hun telefoons gingen onophoudelijk over. Al onze computersystemen werkten feilloos, maar rond 15 uur werden alle computerschermen zwart. Onze artsen en verpleegkundigen verloren de toegang tot de EPD's van patiënten en de medewerkers die dienst hadden bij de ontvangst van oproepen konden geen verzoeken in de computer invoeren. [00]
Hoe kunnen cybercriminelen schade toebrengen aan een kliniek voor plastische chirurgie?
- Volgens de Guardian [6] publiceerde de criminele groep Tsarskaya Guard op 30 mei 2017 vertrouwelijke gegevens van 25 patiënten van de Litouwse kliniek voor plastische chirurgie Grozio Chirurgija. Inclusief privé-intieme foto's gemaakt voor, tijdens en na operaties (deze opslag is noodzakelijk gezien de specifieke kenmerken van de kliniek); evenals scans van paspoorten en burgerservicenummers. Omdat de kliniek een goede reputatie en betaalbare prijzen heeft, maken inwoners van 60 landen, waaronder wereldberoemde beroemdheden, gebruik van haar diensten [7]. Allemaal werden ze slachtoffer van dit cyberincident.
- Een paar maanden eerder, nadat ze de servers van de kliniek hadden gehackt en gegevens van hen hadden gestolen, eisten de "bewakers" een losgeld van 300 bitcoins (ongeveer $ 800). Het management van de kliniek weigerde mee te werken met de "Guards" en bleef onvermurwbaar, zelfs toen de "Guards" het losgeld verlaagden tot 50 bitcoins (ongeveer $ 120). [6]
- Omdat ze de hoop op losgeld van de kliniek hadden verloren, besloten de "bewakers" over te schakelen naar haar klanten. In maart plaatsten ze foto's van 150 kliniekpatiënten op het Darknet [8] om anderen bang te maken om te betalen. De "Guardsmen" vroegen een losgeld van 50 tot 2000 euro, met betaling in bitcoin, afhankelijk van de bekendheid van het slachtoffer en de intimiteit van de gestolen informatie. Het exacte aantal gechanteerde patiënten is niet bekend, maar enkele tientallen slachtoffers wendden zich tot de politie. Nu, drie maanden later, hebben de Guardsmen vertrouwelijke gegevens vrijgegeven van nog eens 25 klanten. [6]
Een cybercrimineel heeft een medische kaart gestolen - hoe bedreigt dit de rechtmatige eigenaar?
- Op 19 oktober 2016 merkte Adam Levine, een cyberbeveiligingsexpert die aan het hoofd staat van het CyberScout-onderzoekscentrum, op [9] dat we in een tijd leven waarin medische dossiers een alarmerende hoeveelheid al te intieme informatie beginnen te bevatten: over ziekten, diagnoses, behandelingen , en over gezondheidsproblemen. In verkeerde handen kan deze informatie worden gebruikt om winst te maken op de zwarte markt op het dark web, en daarom richten cybercriminelen zich vaak op medische centra.
- Op 2 september 2014 verklaarde Mike Orkut, een technisch expert bij MIT [10]: "Terwijl gestolen creditcardnummers en burgerservicenummers zelf steeds minder populair worden op de zwarte markt op het darkweb - medische kaarten, met een rijke set van persoonlijke informatie, daar tegen een goede prijs. Mede omdat ze onverzekerde mensen de kans geven om medische zorg te krijgen die ze anders niet zouden kunnen betalen.”
- Een gestolen medische kaart kan worden gebruikt om medische zorg te verkrijgen namens de rechtmatige houder van die kaart. Hierdoor worden de medische gegevens van de rechtmatige eigenaar en de medische gegevens van de dief in de medische kaart gemengd. Als de dief de gestolen medische kaarten bovendien aan derden verkoopt, kan de kaart verder worden besmet. Daarom loopt de legitieme kaarthouder bij zijn bezoek aan het ziekenhuis het risico medische zorg te krijgen op basis van de bloedgroep van iemand anders, de medische geschiedenis van iemand anders, de lijst met allergische reacties van iemand anders, enz. [9]
- Bovendien kan de dief de verzekeringslimiet van de rechtmatige houder van de medische kaart uitputten, waardoor deze de mogelijkheid wordt ontnomen om de nodige medische zorg te krijgen wanneer dat nodig is. Op het meest ongelegen moment. Veel verzekeringsplannen hebben immers jaarlijkse limieten voor bepaalde soorten procedures en behandelingen. En zeker zal geen enkele verzekeringsmaatschappij u betalen voor twee operaties aan blindedarmontsteking. [9]
- Met een gestolen medische kaart kan een dief misbruik maken van recepten voor medicijnen. Tegelijkertijd wordt de rechtmatige eigenaar de mogelijkheid ontnomen om het benodigde medicijn te krijgen wanneer hij het nodig heeft. Voorschriften voor medicijnen zijn immers meestal beperkt. [9]
- Het elimineren van massale cyberaanvallen op creditcards en betaalpassen is niet zo problematisch. Het beschermen tegen gerichte phishing-aanvallen is iets problematischer. Als het echter gaat om het stelen en misbruiken van EPD's, kan de misdaad bijna onzichtbaar zijn. Als het feit van een misdrijf wordt ontdekt, dan in de regel alleen in een noodsituatie, wanneer de gevolgen letterlijk levensbedreigend kunnen zijn. [9]
Waarom is diefstal van medische kaarten zo wijdverbreid?
- In maart 2017 meldde het Identity Theft Centre dat meer dan 25% van de vertrouwelijke datalekken in medische centra plaatsvindt. Deze lekken kosten medische centra jaarlijks $ 5,6 miljard.Hier zijn een paar redenen waarom er zo veel vraag is naar diefstal van medische dossiers. [18]
- Medische kaarten zijn het populairste item op de zwarte markt op het dark web. Medische kaarten worden daar verkocht voor $ 50 per stuk. Ter vergelijking: creditcardnummers worden op het Dark Web verkocht voor $ 1 per stuk - 50 keer goedkoper dan medische kaarten. De vraag naar medische kaarten wordt ook gedreven door het feit dat ze een consumeerbaar onderdeel zijn van complexe criminele vervalsingsdiensten. [18]
- Als de koper van de medische kaarten niet wordt gevonden, kan de aanvaller de medische kaart zelf gebruiken en een traditionele diefstal plegen: medische dossiers bevatten genoeg informatie om een creditcard te krijgen, een bankrekening te openen of een lening aan te gaan namens de slachtoffer. [18]
- Met een gestolen medische kaart in de hand kan een cybercrimineel bijvoorbeeld een complexe gerichte phishingaanval uitvoeren (figuurlijk gesproken een phishing-speer scherpen), waarbij hij zich voordoet als een bank: “Goedemiddag, we weten dat u geopereerd gaat worden . Vergeet niet te betalen voor gerelateerde diensten door op deze link te klikken. En dan denk je: “Nou, aangezien ze weten dat ik morgen geopereerd moet worden, moet het een brief van de bank zijn.” Als een aanvaller hier het potentieel van gestolen medische kaarten niet beseft, kan hij een ransomware-virus gebruiken om geld van het medisch centrum af te persen om zo de toegang tot geblokkeerde systemen en gegevens te herstellen. [18]
- Medische centra zijn erg traag geweest met het implementeren van cyberbeveiligingspraktijken - die al in andere industrieën zijn ontwikkeld - wat nogal ironisch is, aangezien het de verantwoordelijkheid van medische centra is om medische vertrouwelijkheid te waarborgen. Bovendien hebben medische centra over het algemeen aanzienlijk lagere cyberbeveiligingsbudgetten en aanzienlijk minder gekwalificeerde cyberbeveiligingsprofessionals dan bijvoorbeeld financiële instellingen. [18]
- Medische IT-systemen zijn nauw verbonden met financiële diensten. Gezondheidscentra kunnen bijvoorbeeld flexibele spaarplannen hebben voor onvoorziene gebeurtenissen, met hun eigen betaalkaarten of spaarrekeningen - waarop bedragen van zes cijfers worden opgeslagen. [18]
- Veel organisaties werken samen met medische centra en voorzien hun medewerkers van een individueel wellness-systeem. Dit geeft een aanvaller de mogelijkheid om via het hacken van medische centra toegang te krijgen tot vertrouwelijke informatie van zakelijke klanten van het medisch centrum. Om nog maar te zwijgen van het feit dat de werkgever zelf als aanvaller kan optreden - stilletjes de medische gegevens van zijn werknemers verkopen aan derden. [18]
- Medische centra hebben uitgebreide toeleveringsketens en enorme lijsten met aanbieders waarmee ze een digitale verbinding hebben. Door de IT-systemen van het medisch centrum te hacken, kan de aanvaller ook de systemen van de providers overnemen. Daarnaast zijn leveranciers die via digitale communicatie op het medisch centrum zijn aangesloten op zich al een verleidelijk toegangspunt voor de aanvaller tot de IT-systemen van het medisch centrum. [18]
- Op andere gebieden is de bescherming zeer geavanceerd geworden, waardoor aanvallers een nieuwe sector onder de knie moesten krijgen - waar transacties worden uitgevoerd via kwetsbare hardware en kwetsbare software. [18]
Wat is het verband tussen diefstal van burgerservicenummers en de criminele vervalsingsindustrie?
- Op 30 januari 2015 legde persbureau Tom's Guide uit [31] hoe gewone documentvervalsing verschilt van gecombineerde vervalsing. In het eenvoudigste geval houdt documentvervalsing in dat de oplichter zich simpelweg voordoet als iemand anders met zijn naam, burgerservicenummer (SSN) en andere persoonlijke informatie. Een soortgelijk feit van fraude wordt vrij snel en gemakkelijk ontdekt. Met een gecombineerde aanpak creëren de slechteriken een geheel nieuwe identiteit. Door een document te vervalsen, nemen ze een echt SSN en voegen daar stukjes persoonlijke informatie van verschillende mensen aan toe. Dit monster van Frankenstein, aan elkaar genaaid uit de persoonlijke informatie van verschillende mensen, is al veel moeilijker op te sporen dan de eenvoudigste vervalsing van een document. Aangezien de oplichter slechts een deel van de informatie van elk van de slachtoffers gebruikt, zullen zijn frauduleuze machinaties geen contact opnemen met de rechtmatige eigenaren van deze stukjes persoonlijke informatie. Bij het bekijken van de activiteit van hun SSN zal de wettige eigenaar daar bijvoorbeeld niets verdachts vinden.
- Slechteriken kunnen hun monster van Frankenstein gebruiken om een baan te krijgen of een lening af te sluiten [31], maar ook om fictieve bedrijven te openen [32]; om aankopen te doen, rijbewijzen en paspoorten te verkrijgen [34]. Tegelijkertijd is het, zelfs in het geval van het aangaan van een lening, erg moeilijk om het feit van vervalsing van documenten op te sporen, en daarom, als de bankiers beginnen te onderzoeken, zal de wettelijke houder van dit of dat stukje persoonlijke informatie het meest waarschijnlijk ter verantwoording geroepen, en niet de maker van het monster van Frankenstein.
- Gewetenloze ondernemers kunnen vervalste documenten gebruiken om schuldeisers te misleiden - door een zogenaamde. zakelijke boterham. De essentie van de zakensandwich is dat gewetenloze ondernemers verschillende valse identiteiten kunnen creëren en hen presenteren als klanten van hun bedrijf - waardoor de schijn van een succesvol bedrijf wordt gewekt. Zo worden ze aantrekkelijker voor hun schuldeisers en krijgen ze de kans om te genieten van gunstigere leenvoorwaarden. [33]
- Diefstal en misbruik van persoonlijke informatie blijft vaak lange tijd onopgemerkt door de rechtmatige eigenaar, maar kan hem op het meest ongelegen moment aanzienlijk ongemak bezorgen. Een legitieme SSN-eigenaar kan bijvoorbeeld sociale diensten aanvragen en worden geweigerd vanwege het extra inkomen dat wordt gegenereerd door een gefabriceerde zakelijke sandwich die zijn SSN gebruikt. [33]
- Van 2007 tot heden wint de criminele business van meerdere miljarden dollars van het vervalsen van documenten op basis van SSN steeds meer aan populariteit [34]. Tegelijkertijd geven oplichters de voorkeur aan BSN's die niet actief worden gebruikt door hun rechtmatige eigenaren, zoals het BSN van kinderen en overledenen. In 2014 liepen de maandelijkse incidenten volgens persbureau CBC in de duizenden, terwijl dat er in 2009 niet meer dan 100 per maand waren. De exponentiële groei van dit soort fraude - en vooral de impact ervan op de persoonsgegevens van kinderen - zal in de toekomst ernstige gevolgen hebben voor jongeren. [34]
- Bij deze zwendel worden 50 keer vaker SSN's van kinderen gebruikt dan SSN's van volwassenen. Deze interesse in SSN's voor kinderen is te wijten aan het feit dat SSN's voor kinderen over het algemeen pas actief zijn als ze ten minste 18 jaar oud zijn. Dat. houden ouders van minderjarige kinderen hun BSN niet bij, dan kan hun kind in de toekomst een rijbewijs of studiefinanciering worden geweigerd. Het kan ook de werkgelegenheid bemoeilijken als informatie over twijfelachtige SSN-activiteit beschikbaar komt voor een potentiële werkgever. [34]
Tegenwoordig wordt er veel gesproken over de vooruitzichten en veiligheid van kunstmatige-intelligentiesystemen. Hoe gaat dat in de medische sector?
- In de uitgave van juni 2017 van MIT Technology Review publiceerde de hoofdredacteur van het tijdschrift, gespecialiseerd in technologieën voor kunstmatige intelligentie, zijn artikel "The Dark Side of Artificial Intelligence", waarin hij deze vraag gedetailleerd beantwoordde. Kernpunten van zijn artikel [35]:
- Moderne systemen met kunstmatige intelligentie (AI) zijn zo complex dat zelfs de ingenieurs die ze ontwerpen niet kunnen uitleggen hoe AI een beslissing neemt. Vandaag en in de nabije toekomst is het niet mogelijk om een AI-systeem te ontwikkelen dat zijn acties altijd kan verklaren. De technologie van "deep learning" is zeer effectief gebleken bij het oplossen van de prangende problemen van de afgelopen jaren: beeld- en stemherkenning, taalvertaling, medische toepassingen. [35]
- Er is veel hoop voor AI bij het diagnosticeren van dodelijke ziekten, bij het nemen van moeilijke economische beslissingen; en AI zal naar verwachting ook een middelpunt worden in veel andere industrieën. Dit zal echter niet gebeuren - of zou in ieder geval niet moeten gebeuren - totdat we een manier hebben gevonden om een systeem voor diep leren te maken dat de beslissingen die het neemt kan verklaren. Anders kunnen we niet precies voorspellen wanneer dit systeem zal falen - en vroeg of laat zal het definitief falen. [35]
- Dit probleem is nu urgent geworden en zal in de toekomst alleen maar erger worden. Of het nu gaat om economische, militaire of medische beslissingen. De computers waarop de overeenkomstige AI-systemen draaien, hebben zichzelf geprogrammeerd, en wel op zo'n manier dat we niet kunnen begrijpen 'waar ze aan denken'. Wat kunnen we zeggen over eindgebruikers, wanneer zelfs de ingenieurs die deze systemen ontwerpen hun gedrag niet kunnen begrijpen en verklaren. Naarmate AI-systemen evolueren, kunnen we binnenkort een grens overschrijden - als we dat nog niet hebben gedaan - wanneer het vertrouwen op AI vereist dat we een 'sprong in het diepe' wagen. Natuurlijk kunnen we als mens zelf onze conclusies niet altijd uitleggen en vertrouwen we vaak op intuïtie. Maar kunnen we machines op dezelfde manier laten denken - onvoorspelbaar en onverklaarbaar? [35]
- In 2015 werd Mount Sinai, een medisch centrum in New York City, geïnspireerd om het concept van diep leren toe te passen op zijn enorme database met casuïstiek. De datastructuur die werd gebruikt om het AI-systeem te trainen, omvatte honderden parameters die werden ingesteld op basis van de resultaten van analyses, diagnostiek, tests en medische dossiers. Het programma dat deze opnames verwerkte, heette "Deep Patient". Ze werd getraind met behulp van gegevens van 700 patiënten. Bij het testen van nieuwe records bleek het erg nuttig te zijn bij het voorspellen van ziekten. Zonder enige interactie met een expert vond de Deep Patient de symptomen verborgen in de medische dossiers - wat volgens de AI aangaf dat de patiënt op de rand stond van uitgebreide complicaties, waaronder leverkanker. We hebben eerder geëxperimenteerd met verschillende voorspellende methoden, waarbij de medische dossiers van veel patiënten als invoergegevens werden gebruikt, maar de resultaten van de "Deep Patient" zijn daar niet mee te vergelijken. Daarnaast zijn er totaal onverwachte prestaties: The Deep Patient is erg goed in het voorspellen van het ontstaan van psychische stoornissen zoals schizofrenie. Maar aangezien de moderne geneeskunde niet over de middelen beschikt om dit te voorspellen, rijst de vraag hoe AI dit voor elkaar heeft gekregen. De diepe patiënt kan echter niet uitleggen hoe hij dit doet. [35]
- Idealiter zouden dergelijke hulpmiddelen aan artsen moeten uitleggen hoe ze tot een bepaalde conclusie zijn gekomen - om bijvoorbeeld het gebruik van een bepaald medicijn te rechtvaardigen. Moderne kunstmatige-intelligentiesystemen kunnen dit helaas niet. We kunnen vergelijkbare programma's maken, maar we weten niet hoe ze werken. Deep learning heeft AI-systemen tot explosief succes geleid. Momenteel worden dergelijke AI-systemen gebruikt om belangrijke beslissingen te nemen in sectoren als geneeskunde, financiën, productie, enz. Misschien is dit de aard van intelligentie zelf - dat slechts een deel ervan zich leent voor rationele verklaring, terwijl het meestal spontane beslissingen neemt. Maar waar zal het toe leiden als we toestaan dat dergelijke systemen kanker diagnosticeren en militaire manoeuvres uitvoeren? [35]
Heeft de medische sector geleerd van de WannaCry-situatie?
- Op 25 mei 2017 meldde het BBC-persbureau [16] dat een van de belangrijkste redenen voor de verwaarlozing van cyberbeveiliging in draagbare medische apparaten hun lage rekenkracht is als gevolg van strikte vereisten voor hun grootte. Twee andere even belangrijke redenen: het gebrek aan kennis van het schrijven van veilige code en het verleggen van de deadlines voor de release van het eindproduct.
- In hetzelfde rapport merkte de BBC op [16] dat er naar aanleiding van onderzoek naar de programmacode van een van de pacemakers meer dan 8000 kwetsbaarheden in zijn gevonden; en dat ondanks de spraakmakende cyberbeveiligingsproblemen die zijn vastgesteld als gevolg van het WannaCry-incident, slechts 17% van de fabrikanten van medische apparaten concrete stappen heeft ondernomen om de cyberbeveiliging van hun apparaten te waarborgen. Wat betreft de medische centra die een botsing met WannaCry wisten te voorkomen, was slechts 5% van hen verbaasd over de diagnose van de cyberbeveiliging van hun apparatuur. Deze rapporten komen kort nadat meer dan 60 zorgorganisaties in het VK het slachtoffer waren van een cyberaanval.
- Op 13 juni 2017, een maand na het WannaCry-incident, bespreekt Peter Pronowost, PhD-arts en associate director of patient safety bij Johns Hopkins Medicine [17] in de Harvard Business Review de urgente uitdagingen van geautomatiseerde medische integratie. met geen woord gerept over cybersecurity.
- Op 15 juni 2017, een maand na het WannaCry-incident, besprak Robert Perl, een arts met een doctoraat en hoofd van twee medische centra [15] in de Harvard Business Review de huidige uitdagingen waarmee ontwikkelaars en gebruikers van EPD-beheersystemen worden geconfronteerd: Hij zei met geen woord over cyberbeveiliging.
- Op 20 juni 2017, een maand na het WannaCry-incident, publiceerde een groep PhD-wetenschappers van de Harvard School of Medicine - die ook dienst doen als hoofd van de belangrijkste afdelingen van Brigham and Women's Hospital - de resultaten [20] in de Harvard Business Review. bespreking van een rondetafelgesprek over de noodzaak om medische apparatuur te moderniseren om de kwaliteit van de patiëntenzorg te verbeteren. De rondetafel besprak de mogelijkheden om artsen te ontlasten en kosten te verlagen door het optimaliseren van technologische processen en integrale automatisering. Vertegenwoordigers van 34 toonaangevende medische centra in de VS namen deel aan de ronde tafel. Bij het bespreken van de modernisering van medische apparatuur, hadden de deelnemers hoge verwachtingen van voorspellende tools en slimme apparaten. Over cybersecurity werd met geen woord gerept.
Hoe kunnen medische centra cybersecurity waarborgen?
- In 2006 verklaarde luitenant-generaal Nikolai Ilyin, hoofd van de afdeling Speciale Communicatie-informatiesystemen van de Federale Veiligheidsdienst van Rusland [52]: “De kwestie van informatiebeveiliging is vandaag relevanter dan ooit tevoren. De hoeveelheid gebruikte technologie neemt dramatisch toe. Helaas wordt er tegenwoordig in de ontwerpfase niet altijd rekening gehouden met informatiebeveiligingsproblemen. Het is duidelijk dat de prijs voor het oplossen van dit probleem 10 tot 20 procent is van de kosten van het systeem zelf, en de klant wil niet altijd extra geld betalen. Ondertussen moet je begrijpen dat betrouwbare informatiebeveiliging alleen gerealiseerd kan worden bij een integrale aanpak, wanneer organisatorische maatregelen worden gecombineerd met de introductie van technische beveiligingsmiddelen.”
- Op 3 oktober 2016 deelde Mohammed Ali, een voormalig sleutelmedewerker van IBM en Hewlett Packard, en nu het hoofd van het bedrijf "Carbonite", gespecialiseerd in cyberbeveiligingsoplossingen, [19] op de pagina's van de Harvard Business Review zijn observaties met betrekking tot de situatie met cybersecurity in de medische sector: “Omdat ransomware zo gewoon is en de schade zo kostbaar kan zijn, ben ik altijd verbaasd als ik met CEO's praat dat het ze niets kan schelen. In het beste geval delegeert de CEO de zorgen over cyberbeveiliging aan de IT-afdeling. Dit is echter niet voldoende om effectieve bescherming te bieden. Daarom spoor ik CEO's altijd aan om: 1) maatregelen om de impact van ransomware-virussen te voorkomen op de lijst met prioriteiten voor organisatieontwikkeling te zetten; 2) de relevante cyberbeveiligingsstrategie ten minste jaarlijks herzien; 3) betrek je hele organisatie bij passend onderwijs.”
- U kunt gevestigde oplossingen lenen uit de financiële sector. De belangrijkste conclusie [18] die de financiële sector heeft getrokken uit de onrust met cybersecurity is: “Het meest effectieve element van cybersecurity is de opleiding van het personeel. Omdat de belangrijkste oorzaak van cyberbeveiligingsincidenten tegenwoordig de menselijke factor is, met name de blootstelling van mensen aan phishing-aanvallen. Terwijl sterke encryptie, cyberrisicoverzekering, multi-factor authenticatie, tokenization, card chipping, blockchain en biometrie nuttige dingen zijn, maar grotendeels secundair.”
- Op 19 mei 2017 meldde persbureau BBC [23] dat de verkoop van beveiligingssoftware in het VK met 25% was gestegen na het WannaCry-incident. Volgens Verizon is de paniekaankoop van beveiligingssoftware echter niet wat nodig is om cyberbeveiliging te waarborgen; om dit te garanderen, moet u proactieve bescherming volgen, niet reactief.
PS Vond je het artikel leuk? Zo ja, graag. Als ik aan het aantal likes (laten we er 70 nemen) zie dat de lezers van Habr geïnteresseerd zijn in dit onderwerp, zal ik over een tijdje een vervolg voorbereiden, met een overzicht van nog recentere bedreigingen voor medische informatiesystemen.
Bibliografie
- David Talbot. // MIT Technology Review (digitaal). 2012.
- Christina Grifantini. // MIT Technology Review (digitaal). 2008.
- Den Makrushin. // BeveiligdeLijst. 2017.
- Tom Simoniet. // MIT Technology Review (digitaal). 2016..
- Sara Marsh. // De Wachter. 2017.
- Alex Hern. // De Wachter. 2017.
- Sarunas Cerniauskas. // OCCRP: rapportageproject voor georganiseerde misdaad en corruptie. 2017.
- Ray Wals. // BesteVPN. 2017.
- Adam Levin. //HuffPost. 2016.
- Mike Orcutt. // MIT Technology Review (digitaal). 2014.
- Pjotr Sapozjnikov. // AMI: Russische instantie voor medische en sociale informatie. 2016.
- Jim Finkle. //Reuters. 2014.
- Julia Carrie Wong. // De Wachter. 2016.
- Mike Orcutt. // MIT Technology Review (digitaal). 2016.
- Robert M.Pearl, MD (Harvard). // Harvard Business Review (digitaal). 2017.
- // BBC. 2017.
- Peter Pronovost, MD. // Harvard Business Review (digitaal). 2017.
- Rebecca Weintraub, arts (Harvard), Joram Borenstein. // Harvard Business Review (digitaal). 2017.
- Mohammed Ali. // Harvard Business Review (digitaal). 2016.
- Meetali Kakad, MD, David Westfall Bates, MD. // Harvard Business Review (digitaal). 2017.
- Michaël Gregg. //HuffPost. 2013.
- // smartbrief. 2017.
- Matthew Wall, Mark Ward. // BBC. 2017.
- // BBC. 2017.
- Alex Hern. // De Wachter. 2017.
- //FBI. 2017.
- // Rxperiaans. 2017.
- Steven Erlanger, Dan Bilefsky, Sewell Chan. // De New York Times. 2017.
- // BBC. 2017.
- Allen Stefanek. .
- Linda Rosencrance. // Toms gids. 2015.
- .
- .
- Steven D'Alfonso. // beveiligingsinformatie. 2014.
- Zal Ridder. Het duistere geheim in het hart van AI // MIT Technology Review. 120(3), 2017.
- Kuznetsov G.G. // "Informatica van Siberië".
- // "Informatica van Siberië".
- // "Informatica van Siberië".
- Vladimir Makarov. // Radio "Echo van Moskou".
- // Open systemen. 2015.
- Irina Sheyan. // Computerwereld Rusland. 2012.
- Irina Sheyan. // Computerwereld Rusland. 2012.
- Olga Smirnova. // Profiel. 2016.
- Tseplyova Anastasia. // een.
- .
- Kuznetsov G.G. // "Informatica van Siberië".
- .
- .
- // "Informatica van Siberië".
- // "Informatica van Siberië".
- // "Informatica van Siberië".
- // "Informatica van Siberië".
- // "Informatica van Siberië".
- Ageenko T.Yu., Andrianov A.V. // IT-standaard. 3(4). 2015.
- 2013.
- Zhilyaev P.S., Goryunova T.I., Volodin K.I. // Internationaal Wetenschappelijk Bulletin voor Studenten. 2015.
- Irina Sheyan. // Directeur informatiedienst. 2017.
- Irina Sheyan. // Directeur informatiedienst. 2016.
- // een.
- Andrej Makhonin. // BBC. 2017.
- Erik Bosman, Kaveh Razavi. Dedup Est Machina: Memory Deduplication as an Advanced Exploitation Vector // Proceedings of the IEEE Symposium on Security and Privacy. 2016.pp. 987-1004.
- Bruce Potter. Vuile kleine geheimen van informatiebeveiliging // DEFCON 15. 2007.
- Jekaterina Kostina. .
Bron: www.habr.com