Analytisk gjennomgang av cybersikkerhetstrusler mot medisinske informasjonssystemer relevant i perioden fra 2007 til 2017.
Denne anmeldelsen ble markert med et takknemlighetsbrev fra Helsedepartementet i den russiske føderasjonen (se skjermbilde under spoileren).
Hvor vanlige er medisinske informasjonssystemer i Russland?
- I 2006 rapporterte Informatics of Siberia (et IT-selskap som spesialiserer seg på utvikling av medisinske informasjonssystemer) [38]: “MIT Technology Review publiserer med jevne mellomrom en tradisjonell liste over ti lovende informasjons- og kommunikasjonsteknologier som vil ha størst innvirkning på menneskelivet i nær fremtid.» samfunnet. I 2006 var 6 av 10 stillinger på denne listen okkupert av teknologier som på en eller annen måte var relatert til medisinske problemer. Året 2007 ble erklært "året for helseinformatisering" i Russland. Fra 2007 til 2017 øker dynamikken i helsevesenets avhengighet av informasjons- og kommunikasjonsteknologi stadig.»
- Den 10. september 2012 rapporterte Open Systems informasjons- og analysesenter [41] at i 2012 var 350 Moskva-klinikker koblet til EMIAS (united medical information and analytical system). Litt senere, 24. oktober 2012, rapporterte samme kilde [42] at for øyeblikket har 3,8 tusen leger automatiserte arbeidsstasjoner, og 1,8 millioner innbyggere har allerede prøvd EMIAS-tjenesten. Den 12. mai 2015 rapporterte samme kilde [40] at EMIAS opererer i alle 660 offentlige klinikker i Moskva og inneholder data fra mer enn 7 millioner pasienter.
- Den 25. juni 2016 publiserte magasinet Profile [43] en ekspertuttalelse fra det internasjonale analytiske senteret PwC: «Moskva er den eneste metropolen der et enhetlig system for å administrere byklinikker er fullt implementert, mens en lignende løsning er tilgjengelig i andre byer i verden, inkludert New York og London, er bare på diskusjonsstadiet." "Profil" rapporterte også at per 25. juli 2016 var 75% av muskovittene (omtrent 9 millioner mennesker) registrert i EMIAS, mer enn 20 tusen leger jobber i systemet; siden lanseringen av systemet er det gjort mer enn 240 millioner avtaler med leger; Mer enn 500 tusen forskjellige operasjoner utføres daglig i systemet. Den 10. februar 2017 rapporterte Ekho Moskvy [39] at for øyeblikket i Moskva utføres mer enn 97 % av medisinske avtaler etter avtale, gjort gjennom EMIAS.
- Den 19. juli 2016 uttalte Veronika Skvortsova, helseminister i Den russiske føderasjonen, [11] at innen utgangen av 2018 vil 95 % av landets medisinske sentre være koblet til det enhetlige statlige helseinformasjonssystemet (USHIS) – gjennom innføringen av en enhetlig elektronisk journal (EMR). Den tilsvarende loven som forplikter russiske regioner til å koble seg til systemet har gjennomgått offentlig diskusjon, avtalt med alle interesserte føderale organer og vil snart bli sendt til regjeringen. Veronika Skvortsova rapporterte at de i 83 regioner organiserte en elektronisk time med en lege; et enhetlig regionalt ambulansesystem ble innført i 66 regioner; i 81 regioner av landet er det medisinske informasjonssystemer, som 57 % av legene har koblet til automatiserte arbeidsstasjoner. [elleve]
Kan du fortelle oss mer om Unified State Health Information System (USSIZ)?
- EGSIZ er roten til alle innenlandske MIS (medisinske informasjonssystemer). Den består av regionale fragmenter - RISUZ (regionalt helsestyringsinformasjonssystem). EMIAS, som allerede ble nevnt ovenfor, er en av kopiene av RISUZ (den mest kjente og mest lovende). [51] Som forklart [56] av redaktørene av magasinet "Director of Information Service", er USSIZ en IT-infrastruktur for skynettverk, hvor etableringen av regionale segmenter utføres av forskningssentre i Kaliningrad, Kostroma, Novosibirsk, Orel, Saratov, Tomsk og andre byer i den russiske føderasjonen.
- Oppgaven til USSIZ er å utrydde "lappeteppet informatisering" av helsevesenet; gjennom sammenkobling av MIS av forskjellige avdelinger, som hver, før implementeringen av Unified State Social Institution, brukte sin egen skreddersydde programvare, uten noen enhetlige sentraliserte standarder. [54] Siden 2008 har det enhetlige helseinformasjonsområdet i den russiske føderasjonen vært basert på 26 industri-IT-standarder [50]. 20 av dem er internasjonale.
- Arbeidet til medisinske sentre avhenger i stor grad av MIS, som OpenEMR eller EMIAS. MIS gir lagring av informasjon om pasienten: diagnostiske resultater, data om forskrevne medisiner, sykehistorie, etc. De vanligste komponentene i MIS (per 30. mars 2017): EHR (Electronic Health Records) – et elektronisk journalsystem som lagrer pasientdata i en strukturert form og vedlikeholder hans sykehistorie. NAS (Network Attached Storage) – lagring av nettverksdata. DICOM (Digital Imaging and Communications in Medicine) er en standard for generering og utveksling av digitale bilder i medisin. PACS (Picture Archiving and Communication System) er et bildelagrings- og utvekslingssystem som opererer i henhold til DICOM-standarden. Oppretter, lagrer og visualiserer medisinske bilder og dokumenter av undersøkte pasienter. Det vanligste av DICOM-systemene. [3] Alle disse MIS er sårbare for sofistikerte nettangrep, hvis detaljer er offentlig tilgjengelig.
- I 2015, Zhilyaev P.S., Goryunova T.I. og Volodin K.I., tekniske eksperter ved Penza State Technological University, sa [57] i sin artikkel om cybersikkerhet i medisinsk sektor at EMIAS inkluderer: 1) CPMM (integrert medisinsk elektronisk journal); 2) byomfattende pasientregister; 3) pasientstrømstyringssystem; 4) integrert medisinsk informasjonssystem; 5) konsolidert regnskapssystem; 6) system for personlig registrering av medisinsk behandling; 7) medisinsk register styringssystem. Når det gjelder CPMM, ifølge rapporten [39] fra Ekho Moskvy-radioen (10. februar 2017), er dette delsystemet bygget basert på beste praksis i OpenEHR-standarden, som er den mest progressive teknologien som teknologisk utviklede land gradvis er tilsatt til. flytte.
- Redaktørene av magasinet Computerworld Russia forklarte [41] at i tillegg til å integrere alle disse tjenestene med hverandre og med MIS til medisinske institusjoner, er EMIAS også integrert med programvaren til det føderale fragmentet "EGIS-Zdrav" (USIS er et enhetlig statlig informasjonssystem) og elektroniske systemer, myndigheter, inkludert offentlige tjenesteportaler. Litt senere, 25. juli 2016, presiserte redaktørene av magasinet Profil [43] at EMIAS i dag kombinerer flere tjenester: situasjonssenter, elektronisk register, EPJ, elektronisk resept, sykemeldingsattester, laboratorietjeneste og personlig regnskap.
- Den 7. april 2016 rapporterte redaktørene av magasinet «Director of Information Service» [59] at EMIAS var kommet til apotekene. Alle Moskva-apoteker som utleverer medisiner på preferanseresepter har lansert et "automatisert system for å administrere medisinforsyningen til befolkningen" - M-Apteka.
- Den 19. januar 2017 rapporterte samme kilde [58] at i 2015 startet implementeringen av en enhetlig radiologisk informasjonstjeneste (ERIS), integrert med EMIAS, i Moskva. For leger som gir henvisninger til pasienter for diagnostikk, er det utviklet teknologiske kart for røntgenundersøkelser, ultralyd, CT og MR, som er integrert med EMIAS. Etter hvert som prosjektet utvides, er det planlagt å koble sykehus med deres tallrike utstyr til tjenesten. Mange sykehus har sin egen MIS, og de vil også måtte integreres med dem. Redaksjonen i Profil opplyser også at regionene ser den positive opplevelsen av hovedstaden, og at regionene også begynner å bli interessert i å implementere EMIAS.
Kan du fortelle oss mer om de tekniske egenskapene til innenlandske medisinske informasjonssystemer?
- Informasjonen for dette avsnittet ble hentet fra den analytiske gjennomgangen [49] av "Informatics of Siberia". Omtrent 70 % av medisinske informasjonssystemer er bygget på relasjonsdatabaser. I 1999 brukte 47 % av helseinformasjonssystemene lokale (stasjonære) databaser, hvorav de aller fleste var dBase-tabeller. Denne tilnærmingen er typisk for den første perioden med programvareutvikling for medisin og etablering av høyt spesialiserte produkter.
- Hvert år synker antallet innenlandske systemer basert på skrivebordsdatabaser. I 2003 var dette tallet bare 4 %. I dag er det nesten ingen utviklere som bruker dBase-tabeller. Noen programvareprodukter bruker sitt eget databaseformat; De brukes ofte i elektroniske farmakologiske formuleringer. For øyeblikket har hjemmemarkedet et medisinsk informasjonssystem bygget selv på sin egen DBMS av "klient-server"-arkitekturen: e-Hospital. Det er vanskelig å se for seg objektive grunner for slike beslutninger.
- Ved utvikling av innenlandske medisinske informasjonssystemer brukes hovedsakelig følgende DBMSer: Microsoft SQL Server (52.18%), Cache (17.4%), Oracle (13%), Borland Interbase Server (13%), Lotus Notes/Domino (13%) . Til sammenligning: hvis vi analyserer all medisinsk programvare ved å bruke klient-server-arkitekturen, vil andelen av Microsoft SQL Server DBMS være 64 %. Mange utviklere (17.4%) tillater bruk av flere DBMS-er, oftest en kombinasjon av Microsoft SQL Server og Oracle. To systemer (IS Kondopoga [44] og Paracels-A [45]) bruker flere DBMS-er samtidig. Alle brukte DBMS er delt inn i to fundamentalt forskjellige typer: relasjonelle og postrelasjonelle (objektorienterte). I dag er 70 % av innenlandske medisinske informasjonssystemer bygget på relasjonelle DBMS-er, og 30 % på post-relasjonelle.
- Ved utvikling av medisinske informasjonssystemer brukes en rekke programmeringsverktøy. For eksempel er DOKA+ [47] skrevet i PHP og JavaScript. «E-Hospital» [48] ble utviklet i Microsoft Visual C++-miljøet. Amulet - i Microsoft Visual.NET-miljøet." Infomed [46], som kjører under Windows (98/Me/NT/2000/XP), har en to-nivå klient-server-arkitektur; klientdelen er implementert i programmeringsspråket Delphi; Serverdelen styres av Oracle DBMS.
- Omtrent 40 % av utviklerne bruker verktøy innebygd i DBMS. 42 % bruker sin egen utvikling som rapportredaktør; 23 % – verktøy innebygd i DBMS. For å automatisere design og testing av programkode, bruker 50 % av utviklerne Visual Source Safe. Som programvare for å lage dokumentasjon bruker 85 % av utviklerne Microsoft-produkter - Word-tekstredigereren eller, som for eksempel skaperne av e-Hospital, Microsoft Help Workshop.
- I 2015, Ageenko T.Yu. og Andrianov A.V., tekniske eksperter ved Moscow Institute of Technology, publiserte en artikkel [55], der de beskrev i detalj de tekniske detaljene til et sykehusautomatisert informasjonssystem (GAIS), inkludert den typiske nettverksinfrastrukturen til en medisinsk institusjon og pressen. problemer med å sikre cybersikkerheten. GAIS er et sikkert nettverk som EMIAS, den mest lovende russiske MIS, opererer gjennom.
- "Informatics of Siberia" hevder [53] at de to mest autoritative forskningssentrene som er involvert i utviklingen av MIS er Institute of Software Systems of the Russian Academy of Sciences (lokalisert i den gamle russiske byen Pereslavl-Zalessky) og ikke- profittorganisasjon "Fondet for utvikling og tilveiebringelse av spesialisert medisinsk behandlingsmedisinsk enhet" 168" (lokalisert i Akademgorodok, Novosibirsk). Selve "Informatics of Siberia", som også kan inkluderes i denne listen, ligger i byen Omsk.
Hva er situasjonen med cybersikkerhet i det innenlandske EMIAS-systemet?
- Den 10. februar 2017 delte Vladimir Makarov, kurator for EMIAS-prosjektet, i sitt intervju for Ekho Moskvy radio, ideen sin [39] om at det ikke er noe slikt som absolutt cybersikkerhet: «Det er alltid en risiko for datalekkasje. Du må venne deg til at konsekvensen av å bruke enhver moderne teknologi er at alt om deg kan bli kjent. Selv de øverste tjenestemennene i statene åpner elektroniske postkasser.» I denne forbindelse kan vi nevne en nylig hendelse der e-postene til rundt 90 medlemmer av det britiske parlamentet ble kompromittert.
- Den 12. mai 2015 snakket Moskvas informasjonsteknologiavdeling [40] om fire nøkkelpunkter i ISIS (integrert informasjonssikkerhetssystem) for EMIAS: 1) fysisk beskyttelse - data lagres på moderne servere plassert i underjordiske lokaler, tilgang til hvilke er strengt regulert; 2) programvarebeskyttelse - data overføres i kryptert form via sikre kommunikasjonskanaler; i tillegg kan informasjon kun innhentes om én pasient om gangen; 3) autorisert tilgang til data - legen identifiseres med et personlig smartkort; For pasienten gis tofaktoridentifikasjon basert på den obligatoriske sykeforsikringen og fødselsdato.
- 4) Medisinske og personlige data lagres separat, i to forskjellige databaser, noe som ytterligere sikrer deres sikkerhet; EMIAS-servere akkumulerer medisinsk informasjon i anonymisert form: besøk til legen, avtaler, attester for arbeidsuførhet, veibeskrivelser, resepter og andre detaljer; og personopplysninger - obligatorisk medisinsk forsikringspolisenummer, etternavn, fornavn, patronym, kjønn og fødselsdato - finnes i databasene til Moscow City Compulsory Health Insurance Fund; data fra disse to databasene kombineres kun visuelt på legens monitor, etter identifiseringen hans.
- Til tross for den tilsynelatende uinntageligheten til slik EMIAS-beskyttelse, gjør moderne cyberangrepsteknologier, hvis detaljer er i det offentlige domene, det mulig å hacke til og med slik beskyttelse. Se for eksempel beskrivelsen av et angrep på den nye Microsoft Edge-nettleseren - i fravær av programvarefeil og med alle tilgjengelige beskyttelser aktive. [62] I tillegg er fraværet av feil i programkoden en utopi i seg selv. Les mer om dette i presentasjonen "The Dirty Secrets of Cyber Defenders." [63]
- 27. juni 2017, på grunn av et storstilt cyberangrep, suspenderte Invitro-klinikken innsamlingen av biomateriale og utstedelsen av testresultater i Russland, Hviterussland og Kasakhstan. [64]
- Den 12. mai 2017 registrerte Kaspesky Lab [60] 45 tusen vellykkede cyberangrep av WannaCry løsepengevirus i 74 land; Dessuten skjedde de fleste av disse angrepene på russisk territorium. Tre dager senere (15. mai 2017) registrerte antivirusselskapet Avast [61] allerede 200 tusen cyberangrep av WannaCry løsepengeviruset og rapporterte at mer enn halvparten av disse angrepene skjedde i Russland. BBC News Agency rapporterte (13. mai 2017) at i Russland ble blant annet helsedepartementet, innenriksdepartementet, sentralbanken og etterforskningskomiteen ofre for viruset. [61]
- Pressesentrene til disse og andre russiske avdelinger hevder imidlertid enstemmig at cyberangrepene til WannaCry-viruset, selv om de fant sted, ikke var vellykkede. De fleste russiskspråklige publikasjoner om de uheldige hendelsene med WannaCry, som nevner et eller annet russisk byrå, legger raskt til noe sånt som: "Men ifølge offisielle data ble ingen skade forårsaket." På den annen side er vestlig presse sikre på at konsekvensene av cyberangrepet til WannaCry-viruset er mer håndgripelige enn det som presenteres i den russiskspråklige pressen. Vestlig presse er så trygg på dette at de til og med fjernet mistanker fra Russland om involvering i dette cyberangrepet. Hvem man kan stole mest på - vestlige eller innenlandske medier - er en personlig sak for alle. Det er verdt å tenke på at begge sider har sine egne motiver for å overdrive og forkleine pålitelige fakta.
Hvordan er situasjonen med cybersikkerhet i medisinske informasjonssystemer – i antall?
- 1. juni 2017 uttalte Rebecca Weintrab (PhD-overlege ved Brigham and Women's Hospital) og Joram Borenstein (cybersikkerhetsingeniør), i sin felles artikkel publisert på sidene til Harvard Business Review [18] at den digitale æraen har stor forenklet innsamling av medisinsk informasjon, data og utveksling av journaler mellom ulike medisinske sentre: i dag har pasientjournaler blitt mobile og bærbare. Imidlertid kommer disse digitale bekvemmelighetene på bekostning av alvorlige cybersikkerhetsrisikoer for helsesentre.
- Den 3. mars 2017 rapporterte nyhetsbyrået SmartBrief [24] at i løpet av de to første månedene av 2017 var det rundt 250 cybersikkerhetshendelser, noe som resulterte i tyveri av mer enn en million konfidensielle poster. 50 % av disse hendelsene skjedde i små og mellomstore bedrifter (ikke inkludert helsesektoren). Omtrent 30 % var i helsesektoren. Litt senere, 16. mars, rapporterte samme byrå [22] at lederen for cybersikkerhetshendelser på det nåværende tidspunkt i 2017 er medisinsk sektor.
- 17. januar 2013 rapporterte Michael Greg, rektor for cybersikkerhetskonsulentfirmaet Smart Solutions, [21] at i 2012 var 94 % av medisinske sentre ofre for lekkasjer av konfidensiell informasjon. Dette er 65 % flere enn i 2010-2011. Enda verre rapporterte 45 % av medisinske sentre at brudd på konfidensiell informasjon blir mer alvorlig over tid; og innrømmet at de hadde mer enn fem slike alvorlige lekkasjer i perioden 2012-2013. Og under halvparten av legesentrene er sikre på at slike lekkasjer kan forebygges, eller i det minste er det mulig å finne ut at de har funnet sted.
- Michael Greg rapporterte også [21] at i perioden 2010-2012, på bare tre år, ble mer enn 20 millioner pasienter ofre for tyveri av EPJer, som inneholder sensitiv konfidensiell informasjon: diagnoser, behandlingsprosedyrer, betalingsinformasjon, forsikringsdetaljer, sosialt. sikkerhetsnummerforsikring og mye mer. En nettkriminell som stjeler en EPJ kan bruke informasjonen hentet fra den på en rekke måter (se avsnittet "Hvordan er tyveri av personnummer relatert til den kriminelle industrien for dokumentforfalskning?"). Til tross for alt dette er imidlertid sikkerheten til EPJer i medisinske sentre ofte mye svakere enn sikkerheten til personlig e-post.
- 2. september 2014 uttalte Mike Orkut, en teknisk ekspert ved MIT, [10] at hendelser med ransomware-infeksjon blir hyppigere hvert år. I 2014 var det 600 % flere hendelser enn i 2013. I tillegg rapporterte amerikanske FBI [26] at mer enn 2016 tilfeller av digital utpressing skjedde daglig i 4000 – fire ganger flere enn i 2015. Samtidig er det ikke bare trenden med vekst i tilfeller av infeksjon med løsepengevirus som er alarmerende; Den gradvise økningen i målrettede angrep er også alarmerende. De vanligste målene for slike angrep er finansinstitusjoner, forhandlere og medisinske sentre.
- Den 19. mai 2017 publiserte nyhetsbyrået BBC [23] en Verizon-rapport for 2017, ifølge hvilken 72 % av løsepengevarehendelsene skjedde i medisinsk sektor. I tillegg har antallet slike hendelser økt med 12 % de siste 50 månedene.
- 1. juni 2017 publiserte Harvard Business Review [18] en rapport levert av US Department of Health and Human Services, som rapporterte at mer enn 2015 millioner EPJ-er ble stjålet i 113. I 2016 - mer enn 16 millioner. Samtidig, til tross for at det sammenlignet med 2016 er en kraftig nedgang i antall hendelser, er den samlede trenden fortsatt økende. I begynnelsen av 2017 uttalte tenketanken Expirian [27] at helsetjenester er det desidert mest populære målet for nettkriminelle.
- Lekkasje av pasientdata i medisinske systemer er gradvis i ferd med å bli [37] et av de mest presserende problemene i helsesektoren. I følge InfoWatch har altså annenhver medisinsk organisasjon i løpet av de siste to årene (2005-2006) lekket informasjon om pasienter. Dessuten skjer 60 % av datalekkasjene ikke gjennom kommunikasjonskanaler, men gjennom spesifikke personer som tar konfidensiell informasjon utenfor organisasjonen. Kun 40 % av informasjonslekkasjene skjer av tekniske årsaker. Det svakeste leddet [36] i cybersikkerheten til medisinske informasjonssystemer er mennesker. Du kan bruke enorme mengder penger på å lage sikkerhetssystemer, og en lavtlønnet ansatt vil selge informasjon for en tusendel av denne kostnaden.
Kan datavirus infisere medisinsk utstyr?
- Den 17. oktober 2012 rapporterte David Talbot, en teknisk ekspert ved MIT, [1] at medisinsk utstyr som brukes i medisinske sentre blir stadig mer datastyrt, stadig mer intelligent og stadig mer fleksibelt for å bli omprogrammert; og har også i økende grad en nettverksstøttefunksjon. Som et resultat blir medisinsk utstyr stadig mer utsatt for cyberangrep og virusinfeksjon. Problemet forsterkes av det faktum at produsenter generelt ikke tillater at utstyret deres endres, selv for å sikre cybersikkerheten.
- I 2009 lekket for eksempel Conficker-nettverksormen inn i Beth Israel Medical Center og infiserte noe av det medisinske utstyret der, inkludert en arbeidsstasjon for fødselshjelp (fra Philips) og en arbeidsstasjon for fluoroskopi (fra General Electric). For å forhindre at lignende hendelser oppstår i fremtiden, bestemte John Halmack, medisinsk senters CIO – og en doktorgradsprofessor ved Harvard Medical School – å deaktivere nettverksfunksjonaliteten til utstyret. Han ble imidlertid møtt med at utstyret «ikke kunne oppdateres på grunn av regulatoriske begrensninger». Det tok ham betydelig innsats å forhandle med produsenter for å deaktivere nettverksfunksjoner. Å gå offline er imidlertid langt fra en ideell løsning. Spesielt i et miljø med økende integrering og gjensidig avhengighet av medisinsk utstyr. [1]
- Dette gjelder «smart» utstyr som brukes inne på legesentre. Men det er også bærbare medisinske enheter, som inkluderer insulinpumper og implanterte pacemakere. De blir i økende grad utsatt for cyberangrep og datavirus. [1] Som en bemerkning kan det også bemerkes at den 12. mai 2017 (dagen for triumfen for WannaCry ransomware-viruset) rapporterte en av hjertekirurgene [28] at han var midt i en hjerteoperasjon. flere datamaskiner fikk en alvorlig funksjonsfeil - men heldigvis klarte han fortsatt å fullføre operasjonen.
Hvor farlig er løsepengevirus for medisinsk sektor?
- Den 3. oktober 2016 forklarte Mohammed Ali, administrerende direktør i nettsikkerhetsfirmaet Carbonite,[19] i Harvard Business Review at løsepengevare er en type datavirus som låser en bruker ute av systemet deres; inntil løsepengene er betalt. Ransomware-viruset krypterer harddisken, som et resultat av at brukeren mister tilgang til informasjon på datamaskinen sin, og løsepengeviruset krever løsepenger for å gi dekrypteringsnøkkelen. For å unngå møter med rettshåndhevelse bruker kriminelle anonyme betalingsmetoder som Bitcoin. [19]
- Mohammed Ali rapporterte også [19] at distributører av løsepengevirus har funnet ut at den mest optimale løsepengeprisen når man angriper vanlige borgere og småbedriftseiere er fra $300 til $500. Dette er et beløp som mange er villige til å skille seg av – stilt overfor utsiktene til å miste alle sine digitale sparepenger. [19]
- Den 16. februar 2016 rapporterte nyhetsbyrået Guardian [13] at som et resultat av en løsepenge-infeksjon mistet medisinsk personell ved Hollywood Presbyterian Medical Center tilgang til datasystemene sine. Som et resultat ble leger tvunget til å kommunisere via faks, sykepleiere ble tvunget til å registrere sykehistorier på gammeldagse papirjournaler, og pasienter ble tvunget til å reise til sykehuset for å hente testresultater personlig.
- Den 17. februar 2016 ga ledelsen ved Hollywood Presbyterian Medical Center ut [30] følgende uttalelse: «Kvelden 5. februar mistet våre ansatte tilgang til sykehusnettverket. Skadevaren låste datamaskinene våre og krypterte alle filene våre. Rettshåndhevende myndigheter ble umiddelbart varslet. Eksperter på nettsikkerhet hjalp til med å gjenopprette tilgangen til datamaskinene våre. Beløpet for den forespurte løsepengene var 40 bitcoins ($17000 XNUMX). Den raskeste og mest effektive måten å gjenopprette våre systemer og administrative funksjoner på var å betale løsepenger osv. få dekrypteringsnøkkelen. For å gjenopprette funksjonaliteten til sykehussystemene ble vi tvunget til å gjøre dette.»
- Den 12. mai 2017 rapporterte New York Times [28] at som et resultat av WannaCry-hendelsen var noen sykehus så lammet at de ikke engang kunne skrive ut navnelapper for nyfødte. På sykehus ble pasienter fortalt: "Vi kan ikke betjene deg fordi datamaskinene våre er ødelagte." Dette er ganske uvanlig å høre i storbyer som London.
Hvis cyberhendelser er så farlige, hvorfor datastyrer produsenter av medisinsk utstyr enhetene sine?
- Den 9. juli 2008 bemerket Christina Grifantini, en MIT-teknologiekspert, i sin artikkel "Medical Centers: The Age of Plug and Play" [2]: Det skremmende utvalget av nye smarte medisinske enheter på sykehus lover bedre pasientbehandling. Problemet er imidlertid at disse enhetene vanligvis er inkompatible med hverandre, selv om de er produsert av samme produsent. Derfor har leger et presserende behov for å integrere alt medisinsk utstyr i et enkelt datastyrt nettverk.
- Den 9. juli 2009 uttalte Douglas Roseindale, Veterans Health Administration IT-spesialist og PhD-professor ved Harvard Medical School, [2] det presserende behovet for datastyrt integrasjon av medisinsk utstyr med følgende ord: "Det er mange proprietære systemer tilgjengelig i dag med en lukket arkitektur, fra ulike leverandører – men problemet er at de ikke kan samhandle med hverandre. Og dette skaper vanskeligheter med å ta vare på pasienter.»
- Når medisinsk utstyr foretar uavhengige målinger og ikke utveksler dem med hverandre, kan de ikke vurdere pasientens tilstand fullstendig, og slår derfor alarm ved det minste avvik av indikatorer fra normen, med eller uten grunn. Dette skaper betydelige ulemper for sykepleiere, spesielt på intensivavdelingen, hvor det er mange slike uavhengige apparater. Uten nettverksintegrasjon og støtte vil intensivavdelingen være et galehus. Integrasjon og støtte av et lokalt nettverk gjør det mulig å koordinere driften av medisinsk utstyr og medisinske informasjonssystemer (spesielt interaksjonen mellom disse enhetene og pasientenes EPJer), noe som fører til en betydelig reduksjon i antall falske alarmer. [2]
- Sykehus har mye utdatert, dyrt utstyr som ikke støtter nettverket. Med det presserende behovet for integrasjon, erstatter sykehusene enten gradvis dette utstyret med nytt, eller modifiserer det slik at det kan integreres i det totale nettverket. Samtidig, selv med nytt utstyr som ble utviklet under hensyntagen til muligheten for integrasjon, er dette problemet ikke helt løst. Fordi alle produsenter av medisinsk utstyr, drevet av evig konkurranse, streber etter å sørge for at enhetene kun kan integreres med hverandre. Imidlertid krever mange akuttmottak en spesifikk blanding av enheter som ingen enkelt produsent kan tilby. Derfor vil ikke å velge en produsent løse kompatibilitetsproblemet. Dette er et annet problem som står i veien for omfattende integrering. Og sykehusene satser stort på å løse det. For ellers vil utstyr som er uforenlig med hverandre gjøre sykehuset, med sine falske alarmer, til et galehus. [2]
- Den 13. juni 2017 delte Peter Pronovost, en lege med doktorgrad og assisterende direktør for pasientsikkerhet ved Johns Hopkins Medicine, [17] sine tanker om behovet for databehandling av medisinsk utstyr i Harvard Business Review: «Ta for eksempel , Pustehjelpende maskin. Den optimale ventilasjonsmodusen for en pasients lunger er direkte avhengig av pasientens høyde. Pasientens høyde lagres i EPJ. Som regel samhandler ikke pusteapparatet med EPJ, så leger må innhente denne informasjonen manuelt, gjøre noen beregninger på papir og manuelt stille inn parametrene til pusteapparatet. Hvis pusteapparatet og EPJ var koblet sammen via et datastyrt nettverk, kunne denne operasjonen automatisert. En lignende vedlikeholdsrutine for medisinsk utstyr finnes også blant dusinvis av andre medisinske enheter. Derfor må legene utføre hundrevis av rutineoperasjoner hver dag; som er ledsaget av feil - selv om det er sjeldent, men uunngåelig."
- Nye datastyrte sykehussenger er utstyrt med et sett med høyteknologiske sensorer som kan overvåke en lang rekke parametere til pasienten som ligger på den. For eksempel kan disse sengene, ved å overvåke dynamikken i en pasients bevegelser på sengen, avgjøre om pasienten har risiko for å utvikle liggesår. Disse høyteknologiske sensorene står for 30 % av kostnadene for hele sengen. Men uten datastyrt integrasjon vil denne "smartsengen" være til liten nytte - fordi den ikke vil kunne finne et felles språk med andre medisinske enheter. En lignende situasjon observeres med "smarte trådløse skjermer" som måler hjertefrekvens, MOC, blodtrykk osv. Uten å integrere alt dette utstyret i et enkelt datastyrt nettverk, og fremfor alt sikre direkte interaksjon med pasientenes EPJer, vil det være til liten nytte. [17]
Hvorfor har nettkriminelle byttet fra finanssektoren og butikker til medisinske sentre?
- Den 16. februar 2016 delte Julia Cherry, en spesialkorrespondent for Guardian, sine observasjoner om at medisinske sentre er spesielt attraktive for nettkriminelle fordi deres informasjonssystem – takket være et landsomfattende press fra medisinske sentre for å digitalisere helsejournaler – inneholder et vell av forskjellige. informasjon. Inkluderer kredittkortnummer, personlig pasientinformasjon og sensitiv helseinformasjon. [13. XNUMX]
- Den 23. april 2014 forklarte Jim Finkle, en cybersikkerhetsanalytiker fra nyhetsbyrået Reuters, [12] at nettkriminelle prøver å følge linjen med minste motstand. Cybersikkerhetssystemene til medisinske sentre er mye svakere sammenlignet med andre sektorer som allerede har erkjent dette problemet og tatt effektive mottiltak. Det er derfor nettkriminelle tiltrekkes av dem.
- Den 18. februar 2016 rapporterte Mike Orkut, en teknisk ekspert ved MIT, at interessen til nettkriminelle i medisinsk sektor skyldes følgende fem årsaker: 1) De fleste medisinske sentre har allerede overført alle sine dokumenter og kort til digital form; resten er i ferd med en slik overføring. Disse kortene inneholder personlig informasjon som er svært verdifull på Darknets svarte marked. 2) Cybersikkerhet er ikke en prioritet i medisinske sentre; de bruker ofte utdaterte systemer og vedlikeholder dem ikke ordentlig. 3) Behovet for rask tilgang til data i nødssituasjoner oppveier ofte behovet for sikkerhet, noe som gjør at sykehus har en tendens til å neglisjere cybersikkerhet selv når de er klar over de mulige konsekvensene. 4) Sykehus kobler flere enheter til nettverket sitt, og gir skurkene flere muligheter til å infiltrere sykehusnettverket. 5) Trenden mot mer personlig medisin - spesielt behovet for at pasienter skal ha omfattende tilgang til EPJer - gjør MIS til et enda mer tilgjengelig mål. [14]
- Detaljhandelen og finanssektoren har lenge vært populære mål for nettkriminelle. Ettersom informasjon stjålet fra disse institusjonene oversvømmer Dark Web-svartemarkedet, blir det billigere, noe som gjør det mindre lønnsomt for skurkene å stjele og selge det. Derfor utforsker skurkene nå en ny, mer lønnsom sektor. [12]
- På det svarte markedet i Darknet er medisinske kort mye mer verdifulle enn kredittkortnumre. For det første fordi de kan brukes til å få tilgang til bankkontoer og få resepter på kontrollerte legemidler. For det andre fordi faktumet med tyveri av et medisinsk kort og faktumet av dets ulovlige bruk er mye vanskeligere å oppdage, og det går mye mer tid fra misbruksøyeblikket til oppdagelsesøyeblikket enn når det gjelder kredittkortmisbruk. [12]
- I følge Dell kombinerer noen spesielt driftige nettkriminelle deler av helseinformasjon hentet fra stjålne journaler med andre sensitive data osv. De samler inn en pakke med falske dokumenter. Disse pakkene kalles "fullz" og "kitz" i darknet svartebørs-sjargong. Prisen på hver slik pakke overstiger $1000. [12]
- 1. april 2016 sa Tom Simont, en teknisk ekspert ved MIT, [4] at den betydelige forskjellen mellom cybertrusler i medisinsk sektor er alvorlighetsgraden av konsekvensene de lover. Hvis du for eksempel mister tilgangen til jobb-e-posten din, vil du naturligvis bli opprørt; Men å miste tilgang til journaler som inneholder informasjon som er nødvendig for å behandle pasienter er en helt annen sak.
- Derfor, for nettkriminelle – som forstår at denne informasjonen er svært verdifull for leger – er medisinsk sektor et veldig attraktivt mål. Så attraktive at de hele tiden investerer betydelige midler – i å gjøre løsepengevirusene deres enda mer avanserte; å ligge et skritt foran i sin evige kamp med antivirussystemer. De imponerende summene de samler inn gjennom løsepengevare gir dem muligheten til å bruke så mye penger på denne investeringen, og det lønner seg godt. [4]
Hvorfor har ransomware-infeksjoner økt og fortsetter å øke i medisinsk sektor?
- 1. juni 2017 publiserte Rebecca Weintrab (PhD medisinsk ansvarlig ved Brigham and Women's Hospital) og Joram Borenstein (cybersikkerhetsingeniør) [18] i Harvard Business Review resultatene av deres felles forskning angående cybersikkerhet i medisinsk sektor. Sentrale budskap fra forskningen deres presenteres nedenfor.
- Ingen organisasjoner er immune mot hacking. Dette er virkeligheten vi lever i, og denne virkeligheten ble spesielt tydelig da WannaCry løsepengeviruset eksploderte i midten av mai 2017, og infiserte medisinske sentre og andre organisasjoner rundt om i verden. [18]
- I 2016 oppdaget administratorer ved en stor klinikk, Hollywood Presbyterian Medical Center, uventet at de hadde mistet tilgangen til informasjon på datamaskinene sine. Leger kunne ikke få tilgang til pasientenes EPJer; og til og med til dine egne rapporter. All informasjon på datamaskinene deres ble kryptert med et løsepengevirus. Mens all informasjon om klinikken ble holdt som gissel av angriperne, ble leger tvunget til å omdirigere klienter til andre sykehus. De skrev alt på papir i to uker til de bestemte seg for å betale løsepengene som angriperne krevde – $17000 40 (19 bitcoins). Det var ikke mulig å spore betalingen, siden løsepengene ble betalt gjennom det anonyme betalingssystemet Bitcoin. Hvis cybersikkerhetsspesialister hadde hørt for et par år siden at beslutningstakere ville bli forvirret ved å konvertere penger til kryptovaluta for å betale løsepenger til utvikleren av viruset, ville de ikke ha trodd det. Men i dag er det akkurat det som skjedde. Vanlige mennesker, småbedriftseiere og store selskaper er alle truet av løsepengevare. [XNUMX]
- Når det gjelder sosial teknikk, sendes ikke phishing-e-poster som inneholder ondsinnede lenker og vedlegg på vegne av utenlandske slektninger som ønsker å testamentere deg deler av formuen deres i bytte mot konfidensiell informasjon. I dag er phishing-e-poster godt forberedte meldinger, uten skrivefeil; ofte forkledd som offisielle dokumenter med logoer og signaturer. Noen av dem kan ikke skilles fra vanlig forretningskorrespondanse eller fra legitime varsler om applikasjonsoppdateringer. Noen ganger mottar beslutningstakere som er engasjert i utvelgelse av personell brev fra en lovende kandidat med en CV vedlagt brevet, som inneholder et løsepengevirus. [19]
- Avansert sosial ingeniørkunst er imidlertid ikke så ille. Enda verre er det faktum at lanseringen av et løsepengevirus kan skje uten direkte deltakelse fra brukeren. Ransomware-virus kan spre seg gjennom sikkerhetshull; eller gjennom ubeskyttede eldre applikasjoner. Minst hver uke dukker det opp en fundamentalt ny type løsepengevirus; og antallet måter løsepengevirus trenger inn i datasystemer på, vokser stadig. [19]
- For eksempel angående WannaCry løsepengevirus... Opprinnelig (15. mai 2017) kom sikkerhetseksperter til konklusjonen [25] at hovedårsaken til å infisere det nasjonale helsesystemet i Storbritannia er at sykehus bruker en utdatert versjon av Windows-operativsystemet system - XP (sykehus bruker dette systemet fordi mye dyrt sykehusutstyr ikke er kompatible med nyere versjoner av Windows). Men litt senere (22. mai 2017) viste det seg [29] at et forsøk på å kjøre WannaCry på Windows XP ofte førte til en datakrasj, uten infeksjon; og hoveddelen av de infiserte maskinene kjørte Windows 7. I tillegg trodde man i utgangspunktet at WannaCry-viruset spredte seg gjennom phishing, men det viste seg senere at dette viruset spredte seg selv, som en nettverksorm, uten brukerhjelp.
- I tillegg finnes det spesialiserte søkemotorer som ikke søker etter nettsider, men etter fysisk utstyr. Gjennom dem kan du finne ut på hvilket sted, på hvilket sykehus, hvilket utstyr som er koblet til nettverket. [3]
- En annen viktig faktor i utbredelsen av løsepengevirus er tilgang til Bitcoin-kryptovalutaen. Enkelheten av anonymt å samle inn betalinger fra hele verden gir næring til fremveksten av nettkriminalitet. I tillegg, ved å overføre penger til pengeutpressere, oppmuntrer du dermed til gjentatt utpressing mot deg. [19]
- Samtidig har nettkriminelle lært å ta over selv de systemene som har den mest moderne beskyttelsen utplassert og de siste programvareoppdateringene; og gjenkjennings- og dekrypteringsmidler (som sikkerhetssystemer benytter seg av) fungerer ikke alltid; spesielt hvis angrepet er målrettet og unikt. [19]
- Det er imidlertid fortsatt et effektivt mottiltak mot løsepengevirus: sikkerhetskopiering av kritiske data. Slik at i tilfelle problemer kan dataene enkelt gjenopprettes. [19]
Leger, sykepleiere og pasienter berørt av WannaCry – hvordan gikk det for dem?
- Den 13. mai 2017 intervjuet Sarah Marsh, en Guardian-journalist, flere personer som var ofre for WannaCry-ransomware-viruset for å forstå hvordan denne hendelsen viste seg [5] for ofrene (navnene er endret av personvernhensyn):
- Sergey Petrovich, lege: Jeg kunne ikke gi riktig omsorg til pasientene. Uansett hvor mye ledere prøver å overbevise publikum om at cyberhendelser ikke påvirker sikkerheten til sluttpasienter, er dette ikke sant. Vi kunne ikke engang ta røntgenbilder da våre datastyrte systemer sviktet. Og nesten ingen medisinsk prosedyre er komplett uten disse bildene. For eksempel, denne skjebnesvangre kvelden var jeg hos en pasient, og jeg måtte sende ham til røntgen, men siden våre datastyrte systemer var lammet, klarte jeg ikke å gjøre det. [5]
- Vera Mikhailovna, pasient med brystkreft: Etter å ha gjennomgått cellegift var jeg halvveis fra sykehuset, men i det øyeblikket var det et cyberangrep. Og selv om økten allerede var fullført, måtte jeg tilbringe flere timer på sykehuset og vente på at jeg endelig skulle få medisinen. Haken oppsto på grunn av det faktum at medisinsk personell sjekker dem for overholdelse av resepter før utlevering av medisiner, og disse kontrollene utføres av datastyrte systemer. Pasientene neste i køen bak meg var allerede på rommet for kjemoterapi; medisinene deres er også allerede levert. Men siden det var umulig å verifisere deres samsvar med oppskriftene, ble prosedyren utsatt. Behandlingen av de resterende pasientene ble generelt utsatt til neste dag. [5]
- Tatyana Ivanovna, sykepleier: På mandag kunne vi ikke se pasientenes EPJer og listen over avtaler som var planlagt i dag. Jeg var på vakt i mottaket av søknader i helgen, så mandag, da sykehuset vårt ble utsatt for et nettangrep, måtte jeg huske nøyaktig hvem som skulle komme på avtalen. Sykehusets informasjonssystemer er blokkert. Vi kunne ikke se på journaler, vi kunne ikke se på legemiddelresepter; kunne ikke se pasientadresser og kontaktinformasjon; fylle dokumenter; sjekk testresultatene. [5]
- Evgeniy Sergeevich, systemadministrator: Fredag ettermiddag er vanligvis våre travleste. Så det var denne fredagen. Sykehuset var fullt av folk, og 5 sykehusansatte var på vakt for å motta telefonforespørsler, og telefonene deres sluttet ikke å ringe. Alle datasystemene våre kjørte problemfritt, men omtrent klokken 15 ble alle dataskjermer svarte. Våre leger og sykepleiere mistet tilgang til pasientenes EPJer, og de ansatte på vakt som svarte på anrop klarte ikke å legge inn forespørsler på datamaskinen. [00]
Hvordan kan nettkriminelle skade en plastisk kirurgisk klinikk?
- Som rapportert av Guardian [6], publiserte den kriminelle gruppen "Tsar's Guard" den 30. mai 2017 konfidensielle data om 25 tusen pasienter ved den litauiske plastikkirurgiklinikken "Grozio Chirurgija". Inkludert private intime fotografier tatt før, under og etter operasjoner (deres oppbevaring er nødvendig på grunn av spesifikasjonene til klinikkens arbeid); samt skanning av pass og personnummer. Siden klinikken har et godt rykte og rimelige priser, brukes tjenestene dens av innbyggere i 60 land, inkludert verdenskjente kjendiser [7]. Alle var ofre for denne cyberhendelsen.
- Noen måneder tidligere, etter å ha hacket seg inn på klinikkens servere og stjålet data fra dem, krevde "vaktene" løsepenger på 300 bitcoins (omtrent $800 tusen). Ledelsen ved klinikken nektet å samarbeide med "vaktene", og forble stenhård selv når "vaktene" reduserte løsepengeprisen til 50 bitcoins (omtrent $120 tusen). [6]
- Etter å ha mistet håpet om å motta løsepenger fra klinikken, bestemte "vaktene" seg for å bytte til sine klienter. I mars publiserte de fotografier av 150 pasienter ved klinikken [8] på Darknet for å skremme andre til å pusle med penger. "Vakterne" ba om løsepenger fra 50 til 2000 euro, med betaling i Bitcoin, avhengig av berømmelsen til offeret og intimiteten til den stjålne informasjonen. Det nøyaktige antallet pasienter som ble utpresset er ikke kjent, men flere titalls ofre tok kontakt med politiet. Nå, tre måneder senere, har vaktene publisert konfidensielle data om ytterligere 25 tusen klienter. [6]
En nettkriminell stjal et medisinsk kort - hva betyr dette for dens rettmessige eier?
- Den 19. oktober 2016 bemerket Adam Levine, en nettsikkerhetsekspert som leder CyberScout forskningssenter, [9] at vi lever i en tid da medisinske journaler har begynt å inkludere en alarmerende mengde altfor intim informasjon: om sykdommer, diagnoser, behandlinger og helseproblemer. Hvis den er i feil hender, kan denne informasjonen brukes til å tjene på Darknets svarte marked, og det er grunnen til at nettkriminelle ofte retter seg mot medisinske sentre.
- Den 2. september 2014 uttalte Mike Orkut, en teknisk ekspert ved MIT, [10]: «Mens stjålne kredittkortnumre og personnummer i seg selv blir mindre og mindre ettertraktet på det svarte nettmarkedet – medisinske journaler, med en et vell av personlig informasjon, der til en god pris. Dette er delvis fordi det gir uforsikrede personer muligheten til å få helsehjelp som de ellers ikke hadde råd til.»
- Et stjålet medisinsk kort kan brukes til å få medisinsk behandling på vegne av den rettmessige eieren av kortet. Som et resultat vil det medisinske kortet inneholde medisinske data til dens rettmessige eier og medisinske data til tyven. I tillegg, hvis en tyv selger stjålne medisinske kort til tredjeparter, kan kortet bli enda mer forurenset. Derfor, ved ankomst til sykehuset, risikerer den juridiske eieren av kortet å motta medisinsk behandling som vil være basert på andres blodtype, andres sykehistorie, andres liste over allergiske reaksjoner osv. [9]
- I tillegg kan tyven tømme forsikringsgrensen til den rettmessige medisinske kortinnehaveren, noe som vil hindre sistnevnte i å motta nødvendig medisinsk behandling ved behov. På det verst tenkelige tidspunktet. Tross alt har mange forsikringsplaner årlige grenser for visse typer prosedyrer og behandlinger. Og absolutt ingen forsikringsselskap vil betale deg for to blindtarmbetennelsesoperasjoner. [9]
- Ved å bruke et stjålet medisinsk kort kan en tyv misbruke resepter. Samtidig fratar den rettmessige eieren muligheten til å skaffe nødvendig medisin når han trenger det. Tross alt er resepter på medisiner vanligvis begrenset. [9]
- Å dempe massive nettangrep på kreditt- og debetkort er ikke så vanskelig. Å beskytte mot målrettede phishing-angrep er litt mer problematisk. Men når det kommer til EPJ-tyveri og misbruk, kan forbrytelsen være nesten usynlig. Hvis en forbrytelse oppdages, er det vanligvis bare i en nødsituasjon, når konsekvensene kan være bokstavelig talt livstruende. [9]
Hvorfor er medisinsk korttyveri en så økende trend?
- I mars 2017 rapporterte Senter for bekjempelse av identitetstyveri at mer enn 25 % av konfidensielle datalekkasjer skjer i medisinske sentre. Disse bruddene koster medisinske sentre 5,6 milliarder dollar i årlige tap. Her er noen grunner til at tyveri av medisinske kort er en økende trend. [18]
- Medisinske kort er det hotteste elementet på Darknets svarte marked. Medisinske kort selges der for $50 stykket. Til sammenligning selger kredittkortnumre for $1 stykket på Dark Web—50 ganger billigere enn medisinske kort. Etterspørselen etter medisinske kort er også drevet av det faktum at de er en forbruksvare i komplekse kriminelle dokumentforfalskningstjenester. [18]
- Dersom en kjøper av de medisinske kortene ikke blir funnet, kan angriperen selv bruke det medisinske kortet og utføre et tradisjonelt tyveri: medisinske kort inneholder nok informasjon til å åpne et kredittkort, åpne en bankkonto eller ta opp lån på vegne av offer. [18]
- Med et stjålet medisinsk kort i hånden, kan en nettkriminell, for eksempel, utføre et komplekst målrettet phishing-angrep (billedlig talt, skjerpe et phishing-spyd), og utgi seg for å være en bank: «God ettermiddag, vi vet at du skal gjennomgå operasjon . Ikke glem å betale for relaterte tjenester ved å følge denne lenken." Og så tenker du: "Ok, siden de vet at jeg skal opereres i morgen, er det sannsynligvis et brev fra banken." Hvis angriperen ikke klarer å innse potensialet til de stjålne medisinske kortene, kan han bruke et løsepengevirus til å presse penger fra legesenteret – for å gjenopprette tilgang til blokkerte systemer og data. [18]
- Medisinske sentre har vært trege med å ta i bruk cybersikkerhetspraksis som allerede er etablert i andre bransjer, noe som er ironisk siden medisinske sentre er pålagt å opprettholde medisinsk konfidensialitet. I tillegg har medisinske sentre typisk betydelig mindre cybersikkerhetsbudsjetter og betydelig mindre kvalifiserte cybersikkerhetsfagfolk enn for eksempel finansinstitusjoner. [18]
- Medisinske IT-systemer er nært knyttet til finansielle tjenester. For eksempel kan legesentre ha fleksible nødspareplaner, med egne betalingskort eller sparekontoer - med sekssifrede summer. [18]
- Mange organisasjoner samarbeider med medisinske sentre og gir sine ansatte et individuelt helsesystem. Dette gir en angriper muligheten til, gjennom hacking av medisinske sentre, å få tilgang til konfidensiell informasjon om legesenterets bedriftskunder. For ikke å nevne det faktum at arbeidsgiveren selv kan opptre som en angriper - i det stille selge medisinske data til sine ansatte til tredjeparter. [18]
- Medisinske sentre har omfattende forsyningskjeder og massive lister over leverandører som de er digitalt koblet til. Ved å hacke seg inn i IT-systemene til et medisinsk senter kan en angriper også overta systemene til leverandørene. I tillegg er leverandører knyttet til et legesenter gjennom digital kommunikasjon i seg selv et fristende inngangspunkt for en angriper til legesenterets IT-systemer. [18]
- På andre områder har sikkerheten blitt svært sofistikert, og derfor har angripere måttet utforske en ny sektor – der transaksjoner utføres gjennom sårbar maskinvare og sårbar programvare. [18]
Hvordan er personnummertyveri relatert til industrien for forfalskning av kriminelle dokumenter?
- 30. januar 2015 forklarte nyhetsbyrået Tom's Guide [31] hvordan vanlig dokumentforfalskning skiller seg fra kombinert. I sin enkleste form innebærer dokumentforfalskning at en svindler rett og slett utgir seg for å være en annen ved å bruke navnet deres, personnummeret (SSN) og annen personlig informasjon. Et slikt svindel faktum oppdages ganske raskt og enkelt. I en kombinert tilnærming skaper de slemme gutta en helt ny personlighet. Ved å forfalske et dokument tar de det ekte SSN og legger til deler av personlig informasjon fra flere forskjellige personer til det. Dette Frankenstein-monsteret, sydd sammen fra personlig informasjon til forskjellige mennesker, er mye vanskeligere å oppdage enn den enkleste forfalskning av et dokument. Siden svindleren bare bruker noe av hver enkelt offers informasjon, vil ikke svindelen hans kontakte de rettmessige eierne av disse delene av personlig informasjon. For eksempel, når du ser på aktiviteten til SSN hans, vil dens juridiske eier ikke finne noe mistenkelig der.
- Bad guys kan bruke deres Frankensteins monster for å få jobb eller ta opp et lån [31], eller for å åpne skallselskaper [32]; for å foreta innkjøp, skaffe førerkort og pass [34]. Samtidig, selv i tilfelle av å ta opp et lån, er det veldig vanskelig å spore faktum om dokumentforfalskning, og derfor hvis bankfolk begynner å foreta en etterforskning, er den juridiske innehaveren av denne eller den personlige informasjonen vil mest sannsynlig bli stilt til ansvar, og ikke skaperen av Frankensteins monster.
- Skruppelløse gründere kan bruke dokumentforfalskning for å lure kreditorer - ved å lage den såkalte. smørbrødvirksomhet. Essensen av forretningssandwichen er at skruppelløse gründere kan skape flere falske identiteter og presentere dem som kunder av virksomheten deres - og dermed skape utseendet til en vellykket virksomhet. Dette gjør dem mer attraktive for sine långivere og lar dem nyte mer gunstige lånevilkår. [33]
- Tyveri og misbruk av personopplysninger går ofte ubemerket hen av dens rettmessige eier i lang tid, men kan forårsake betydelig ulempe for ham på det mest uleilige tidspunktet. For eksempel kan en legitim SSN-innehaver søke om trygdeytelser og bli nektet på grunn av overdreven inntekt som et resultat av en fabrikkert forretningssandwich som brukte SSN. [33]
- Fra 2007 til i dag har den kriminelle virksomheten på flere milliarder dollar med SSN-basert dokumentforfalskning blitt stadig mer populær [34]. Samtidig foretrekker svindlere de SSN-ene som ikke brukes aktivt av deres rettmessige eiere - disse inkluderer SSN-ene til barn og avdøde personer. Ifølge nyhetsbyrået CBC talte månedlige hendelser i 2014 tusenvis, mens det i 2009 ikke var mer enn 100 per måned. Den eksponentielle veksten av denne typen svindel – og spesielt dens innvirkning på barns personopplysninger – vil få alvorlige konsekvenser for unge mennesker i fremtiden. [34]
- Barns SSN-er brukes 50 ganger oftere enn voksne SSN-er i denne svindelen. Denne interessen for barns SSN-er stammer fra det faktum at barns SSN-er generelt ikke er aktive før minst 18 år. At. Hvis foreldre til mindreårige barn ikke holder fingeren på pulsen på SSN, kan barnet bli nektet førerkort eller studielån i fremtiden. Det kan også komplisere ansettelse dersom informasjon om tvilsom SSN-aktivitet blir tilgjengelig for en potensiell arbeidsgiver. [34]
I dag snakkes det mye om utsiktene og sikkerheten til systemer for kunstig intelligens. Hvordan går det med dette i medisinsk sektor?
- I juni 2017-utgaven av MIT Technology Review publiserte magasinets sjefredaktør som spesialiserer seg på kunstig intelligens-teknologier sin artikkel "The Dark Side of Artificial Intelligence", som besvarte dette spørsmålet i detalj. Hovedpunkter i artikkelen hans [35]:
- Moderne kunstig intelligens (AI)-systemer er så komplekse at selv ingeniørene som designer dem ikke er i stand til å forklare hvordan AI tar en bestemt beslutning. I dag og i overskuelig fremtid er det ikke mulig å utvikle et AI-system som alltid kan forklare handlingene. "Deep learning"-teknologi har vist seg å være svært effektiv i å løse presserende problemer de siste årene: bilde- og stemmegjenkjenning, språkoversettelse, medisinske applikasjoner. [35]
- Det settes betydelige forhåpninger til AI for å diagnostisere dødelige sykdommer og ta komplekse økonomiske beslutninger; og AI forventes også å bli sentral i mange andre bransjer. Dette vil imidlertid ikke skje – eller bør i det minste ikke skje – før vi finner en måte å lage et dyplæringssystem som kan forklare beslutningene det tar. Ellers vil vi ikke kunne forutsi nøyaktig når dette systemet vil svikte – og før eller siden vil det definitivt svikte. [35]
- Dette problemet har blitt akutt nå, og i fremtiden vil det bare bli verre. Det være seg økonomiske, militære eller medisinske beslutninger. Datamaskinene som de tilsvarende AI-systemene kjører på, har programmert seg selv, og på en slik måte at vi ikke har noen måte å forstå "hva de har på hjertet." Hva kan vi si om sluttbrukere, når selv ingeniørene som designer disse systemene ikke er i stand til å forstå og forklare oppførselen deres. Etter hvert som AI-systemer utvikler seg, kan vi snart krysse grensen – hvis vi ikke allerede har gjort det – der vi må ta et sprang i troen på å stole på AI. Som mennesker kan vi selvfølgelig ikke alltid forklare konklusjonene våre, og stoler ofte på intuisjon. Men kan vi la maskiner tenke på samme måte – uforutsigbart og uforklarlig? [35]
- I 2015 ble Mount Sinai Medical Center i New York City inspirert til å bruke konseptet dyp læring på sin omfattende database med pasientjournaler. Datastrukturen som ble brukt til å trene AI-systemet inkluderte hundrevis av parametere som ble satt basert på resultatene av tester, diagnostikk, tester og legenotater. Programmet som behandlet disse postene ble kalt "Deep Patient". Hun ble opplært ved å bruke registreringer av 700 tusen pasienter. Ved testing av nye opptak viste det seg svært nyttig for å forutsi sykdommer. Uten noen interaksjon med en ekspert fant Deep Patient symptomer skjult i medisinske journaler - som AI-en mente indikerte at pasienten var på randen av omfattende komplikasjoner, inkludert leverkreft. Vi har tidligere eksperimentert med ulike prognosemetoder, som brukte journalene til mange pasienter som startdata, men resultatene fra «Dyppasienten» kan ikke sammenlignes med dem. I tillegg er det helt uventede prestasjoner: «Deep Patient» er veldig flink til å forutsi utbruddet av psykiske lidelser som schizofreni. Men siden moderne medisin ikke har verktøyene til å forutsi det, oppstår spørsmålet hvordan AI klarte å gjøre dette. The Deep Patient er imidlertid ikke i stand til å forklare hvordan han gjør dette. [35]
- Ideelt sett bør slike verktøy forklare leger hvordan de kom til en bestemt konklusjon - for å for eksempel rettferdiggjøre bruken av et bestemt medikament. Imidlertid kan moderne kunstig intelligens-systemer dessverre ikke gjøre dette. Vi kan lage lignende programmer, men vi vet ikke hvordan de fungerer. Dyplæring har ført AI-systemer til eksplosiv suksess. For tiden brukes slike AI-systemer til å ta viktige beslutninger i slike bransjer som medisin, finans, produksjon osv. Kanskje dette er intelligensens natur – at bare en del av den kan forklares rasjonelt, mens den stort sett tar spontane beslutninger. Men hva vil dette føre til når vi lar slike systemer diagnostisere kreft og utføre militære manøvrer? [35]
Har medisinsk sektor lært noen leksjoner fra WannaCry?
- 25. mai 2017 rapporterte BBCs nyhetsbyrå [16] at en av de vesentlige årsakene til å neglisjere cybersikkerhet i bærbare medisinske enheter er deres lave datakraft, på grunn av strenge krav til størrelsen. To andre like viktige årsaker: mangel på kunnskap om hvordan man skriver sikker kode og presserende tidsfrister for utgivelsen av sluttproduktet.
- I den samme meldingen bemerket BBC [16] at som et resultat av forskning på programkoden til en av pacemakerne, ble det oppdaget mer enn 8000 sårbarheter i den; og at til tross for omfattende publisitet om cybersikkerhetsproblemene som ble avslørt av WannaCry-hendelsen, har bare 17 % av produsentene av medisinsk utstyr tatt spesifikke skritt for å sikre cybersikkerheten til enhetene deres. Når det gjelder medisinske sentre som klarte å unngå en kollisjon med WannaCry, var bare 5 % av dem bekymret for å diagnostisere cybersikkerheten til utstyret deres. Rapportene kommer kort tid etter at mer enn 60 helseorganisasjoner i Storbritannia ble ofre for et nettangrep.
- Den 13. juni 2017, en måned etter WannaCry-hendelsen, diskuterte Peter Pronovost, en lege med doktorgrad og assisterende direktør for pasientsikkerhet ved Johns Hopkins Medicine, [17] i Harvard Business Review de presserende utfordringene med datastyrt medisinsk integrasjon. - nevnte ikke et ord om cybersikkerhet.
- 15. juni 2017, en måned etter WannaCry-hendelsen, diskuterte Robert Pearl, en lege med doktorgrad og direktør for to medisinske sentre, [15] på sidene til Harvard Business Review de moderne utfordringene utviklere og brukere av EPJ-styringssystemer, - Han sa ikke et ord om cybersikkerhet.
- Den 20. juni 2017, en måned etter WannaCry-hendelsen, publiserte en gruppe forskere med doktorgrader fra Harvard Medical School, som også er ledere for nøkkelavdelinger ved Brigham and Women's Hospital, resultatene sine [20] på sidene til Harvard Business Review rundebordsdiskusjon om behovet for å modernisere medisinsk utstyr for å forbedre kvaliteten på pasientbehandlingen. Rundebordet diskuterte utsiktene for å redusere arbeidsbelastningen på leger og redusere kostnader ved å optimalisere teknologiske prosesser og omfattende automatisering. Representanter for 34 ledende amerikanske medisinske sentre deltok i rundebordet. Deltakerne diskuterte modernisering av medisinsk utstyr og satte store forhåpninger til prediktive verktøy og smarte enheter. Ikke et ord ble sagt om cybersikkerhet.
Hvordan kan medisinske sentre sikre cybersikkerhet?
- I 2006 uttalte sjefen for direktoratet for spesielle kommunikasjonsinformasjonssystemer til FSO i Russland, generalløytnant Nikolai Ilyin [52]: «Spørsmålet om informasjonssikkerhet er mer relevant i dag enn noen gang før. Mengden teknologi som brukes øker kraftig. Dessverre blir det i dag ikke alltid tatt hensyn til informasjonssikkerhetsproblemer på designstadiet. Det er klart at kostnaden for å løse dette problemet er fra 10 til 20 prosent av kostnadene for selve systemet, og kunden ønsker ikke alltid å betale ekstra penger. I mellomtiden må du forstå at pålitelig informasjonsbeskyttelse bare kan realiseres ved en integrert tilnærming, når organisatoriske tiltak kombineres med innføring av tekniske sikkerhetstiltak.»
- 3. oktober 2016 delte Mohammed Ali, en tidligere nøkkelansatt i IBM og Hewlett Packard, og nå sjefen for selskapet Carbonite, som spesialiserer seg på cybersikkerhetsløsninger, [19] på sidene til Harvard Business Review sine observasjoner angående situasjonen. med cybersikkerhet i medisinsk sektor: «Fordi løsepengevare er så vanlig og skaden kan være så kostbar, blir jeg alltid overrasket når jeg snakker med administrerende direktører og får vite at de ikke tenker så mye over det. I beste fall delegerer administrerende direktør cybersikkerhetsspørsmål til IT-avdelingen. Dette er imidlertid ikke nok for å sikre effektiv beskyttelse. Det er derfor jeg alltid oppfordrer administrerende direktører til å: 1) inkludere bekjempelse av løsepengevare som en prioritet for organisasjonsutvikling; 2) gjennomgå den relevante cybersikkerhetsstrategien minst én gang i året; 3) involver hele organisasjonen din i relevant utdanning."
- Du kan låne etablerte løsninger fra finanssektoren. Hovedkonklusjonen [18] som finanssektoren har trukket fra cybersikkerhetsuroen er: «Det mest effektive elementet i cybersikkerhet er opplæring av ansatte. For i dag er hovedårsaken til cybersikkerhetshendelser den menneskelige faktoren, spesielt følsomheten til mennesker for phishing-angrep. Mens sterk kryptering, cyberrisikoforsikring, multifaktorautentisering, tokenisering, kortchipping, blokkjede og biometri er ting som, selv om de er nyttige, i stor grad er sekundære.»
- 19. mai 2017 rapporterte BBCs nyhetsbyrå [23] at i Storbritannia, etter WannaCry-hendelsen, økte salget av sikkerhetsprogramvare med 25 %. Imidlertid, ifølge Verizon-eksperter, er ikke panikkkjøp av sikkerhetsprogramvare det som trengs for å sikre cybersikkerhet; For å sikre det, må du følge proaktivt forsvar, ikke reaktivt.
PS Likte du artikkelen? Hvis ja, lik det. Hvis jeg ved antall likes (la oss få 70) ser at Habr-lesere har interesse for dette emnet, vil jeg etter en stund forberede en fortsettelse, med en gjennomgang av enda nyere trusler mot medisinske informasjonssystemer.
bibliografi
- David Talbot. // MIT Technology Review (Digital). 2012.
- Kristina Grifantini. // MIT Technology Review (Digital). 2008.
- Dens Makrushin. // SecureList. 2017.
- Tom Simonite. // MIT Technology Review (Digital). 2016..
- Sarah Marsh. // Vergen. 2017.
- Alex Hern. // Vergen. 2017.
- Sarunas Cerniauskas. // OCCRP: Organized Crime and Corruption Reporting Project. 2017.
- Ray Walsh. // BestVPN. 2017.
- Adam Levin. //HuffPost. 2016.
- Mike Orcutt. // MIT Technology Review (Digital). 2014.
- Pjotr Sapozhnikov. // AMI: Russisk byrå for medisinsk og sosial informasjon. 2016.
- Jim Finkle. // Reuters. 2014.
- Julia Carrie Wong. // Vergen. 2016.
- Mike Orcutt. // MIT Technology Review (Digital). 2016.
- Robert M. Pearl, MD (Harvard). // Harvard Business Review (Digital). 2017.
- // BBC. 2017.
- Peter Pronovost, MD. // Harvard Business Review (Digital). 2017.
- Rebecca Weintraub, MD (Harvard), Joram Borenstein. // Harvard Business Review (Digital). 2017.
- Mohamad Ali. // Harvard Business Review (Digital). 2016.
- Meetali Kakad, MD, David Westfall Bates, MD. // Harvard Business Review (Digital). 2017.
- Michael Gregg. //HuffPost. 2013.
- // SmartBrief. 2017.
- Matthew Wall, Mark Ward. // BBC. 2017.
- // BBC. 2017.
- Alex Hern. // Vergen. 2017.
- //FBI. 2017.
- //Rxperian. 2017.
- Steven Erlanger, Dan Bilefsky, Sewell Chan. // New York Times. 2017.
- // BBC. 2017.
- Allen Stefanek. .
- Linda Rosencrance. // Toms guide. 2015.
- .
- .
- Steven D'Alfonso. // Security Intelligence. 2014.
- Will Knight. The Dark Secret at the Heart of AI // MIT Technology Review. 120(3), 2017.
- Kuznetsov G.G. // "Informatikk i Sibir".
- // "Informatikk i Sibir".
- // "Informatikk i Sibir".
- Vladimir Makarov. // Radio "Echo of Moscow".
- // Åpne systemer. 2015.
- Irina Sheyan. // Computerworld Russland. 2012.
- Irina Sheyan. // Computerworld Russland. 2012.
- Olga Smirnova. // Profil. 2016.
- Tsepleva Anastasia. // En.
- .
- Kuznetsov G.G. // "Informatikk i Sibir".
- .
- .
- // "Informatikk i Sibir".
- // "Informatikk i Sibir".
- // "Informatikk i Sibir".
- // "Informatikk i Sibir".
- // "Informatikk i Sibir".
- Ageenko T.Yu., Andrianov A.V. // IT-standard. 3(4). 2015.
- 2013.
- Zhilyaev P.S., Goryunova T.I., Volodin K.I. // Internasjonal student vitenskapelig bulletin. 2015.
- Irina Sheyan. // Direktør for informasjonstjenesten. 2017.
- Irina Sheyan. // Direktør for informasjonstjenesten. 2016.
- // En.
- Andrey Makhonin. // BBC. 2017.
- Erik Bosman, Kaveh Razavi. Dedup Est Machina: Memory Deduplication as an Advanced Exploitation Vector // Proceedings of the IEEE Symposium on Security and Privacy. 2016. s. 987-1004.
- Bruce Potter. Dirty Little Secrets of Information Security // DEFCON 15. 2007.
- Ekaterina Kostina. .
Kilde: www.habr.com