Naruszenia danych medycznych – stałe zagrożenie mimo mniejszych kosztów

Sektor ochrony zdrowia nadaj jest głównym celem cyberprzestępców, mimo obiecującego zmniejszenia się kosztów, jakie ponosi wskutek naruszeń danych. W 2024 r. średni koszt naruszenia spadł do 9,77 mln USD z 10,93 mln USD w 2023 r{{Footnote.N76502}}.

Spadek ten nie może być jednak powodem do samozadowolenia, ponieważ branża ochrony zdrowia wciąż najczęściej pada ofiarą cyberataków, których katastrofalne skutki mogą dotknąć zarówno pacjentów, jak i dostawców usług medycznych.

Luki w zabezpieczeniach danych medycznych

Placówki ochrony zdrowia, takie jak gabinety lekarskie, kliniki, szpitale, placówki diagnostyki obrazowej i instytuty badawcze, stoją w obliczu wyjątkowych wyzwań związanych z zapewnieniem bezpieczeństwa danych. Wpływają na to następujące czynniki:

• Złożony proces przepływu poufnych danych medycznych pomiędzy różnymi urządzeniami i systemami, takimi jak tomografy komputerowe, aparaty USG i komputery administracyjne, sprzyja istnieniu wielu potencjalnych obszarów podatności na utratę danych.
• Wiele organizacji nie dysponuje wystarczającą liczbą specjalistów ds. cyberbezpieczeństwa i nie ma spójnych strategii bezpieczeństwa. Często podejmują one doraźne decyzje o zakupie sprzętu i oprogramowania, gdy pojawia się nadwyżka budżetowa, zamiast realizować kompleksowy plan zapewnienia bezpieczeństwa. Dotyczy to zwłaszcza mniejszych placówek, a problem pogłębia globalny niedobór specjalistów ds. cyberbezpieczeństwa.

Luki w zabezpieczeniach, w połączeniu z kluczowym znaczeniem działania placówek ochrony zdrowia, sprawiają, że organizacje muszą wyjść poza doraźne środki bezpieczeństwa i opracować kompleksowe strategie aktywnej ochrony. Niepodjęcie tych działań może mieć daleko idące i poważne konsekwencje.

Rozległe skutki naruszeń danych

Konsekwencje naruszeń danych organizacji z sektora ochrony zdrowia wykraczają daleko poza bezpośrednie straty finansowe:

• Naruszenie tajemnicy dokumentacji medycznej skutkuje szybką utratą zaufania pacjentów i może mieć poważne konsekwencje dla ich zdrowia, jeśli informacje dotyczące leczenia ulegną zmianie lub staną się niedostępne.
• Dostawcy usług medycznych często doznają poważnego uszczerbku na reputacji, co prowadzi do spadku liczby pacjentów i problemów finansowych.
• Poważne zakłócenia w działalności mogą wymagać znacznych zasobów na przywrócenie systemów i danych, co wiąże się z rosnącymi kosztami i utratą przychodów.

Skala problemu jest tak duża, że – jak wynika z badania Sophos z 2024 r.{{Footnote.N76503}} – 37% organizacji z sektora ochrony zdrowia potrzebowało ponad miesiąca na odzyskanie sprawności po ataku ransomware. W przypadku niemal wszystkich poszkodowanych podmiotów doszło również do prób naruszenia ich systemów kopii zapasowych

Rosnące zagrożenie atakami ransomware

Ataki ransomware są nadal jednym z najpoważniejszych zagrożeń dla placówek ochrony zdrowia na całym świecie. W 2023 r. ataki te stanowiły 54% incydentów związanych z naruszeniem cyberbezpieczeństwa w Unii Europejskiej. Jeszcze bardziej niepokojące jest to, że tylko 27%{{Footnote.N76504}} badanych placówek medycznych wdrożyło specjalne programy ochrony przed ransomware.

Organizacje z sektora ochrony zdrowia są szczególnie atrakcyjnym celem ze względu na kluczowy charakter ich działalności i wrażliwość przetwarzanych danych. Gdy atak dotyczy systemów opieki nad pacjentami, placówki medyczne znajdują się pod ogromną presją szybkiego przywrócenia usług – dlatego częściej decydują się na zapłatę okupu niż podmioty z innych branż.

Stawka jest wyjątkowo wysoka. Opóźnienia w leczeniu lub dostępie do dokumentacji medycznej mogą mieć bezpośredni wpływ na efekty leczenia.

Współczesne ataki ransomware wykraczają poza samo szyfrowanie danych. Obejmują także ich kradzież i próby podwójnego wymuszenia – napastnicy grożą ujawnieniem poufnych informacji o pacjentach, jeśli nie zostanie zapłacona dodatkowa kwota.

Stawia to dostawców usług medycznych w trudnej sytuacji, zmuszając ich do wyboru między ochroną prywatności pacjentów a ciągłością świadczenia usług.

Mimo powagi zagrożeń wdrażanie zabezpieczeń chroniących przed atakami ransomware wciąż jest niewystarczające w tej branży. W wielu placówkach brakuje odpowiedniej segmentacji sieci, skutecznych procedur tworzenia kopii zapasowych oraz kompleksowych planów reagowania na incydenty, dostosowanych do scenariuszy ataków ransomware.

Globalne przepisy i wymogi dotyczące cyberbezpieczeństwa

Rządy na całym świecie dostrzegły potrzebę lepszej ochrony danych w sektorze ochrony zdrowia. W związku z tym wprowadzają coraz więcej regulacji, aby podkreślić wagę zagrożeń.

Na poziomie podstawowym Unia Europejska egzekwuje ogólne rozporządzenie o ochronie danych (RODO), natomiast dyrektywa NIS2 reguluje kwestie zapewnienia bezpieczeństwa sieci i informacji w określonych sektorach, w tym w również w ochronie zdrowia.

W Stanach Zjednoczonych wciąż ewoluuje ustawa o przenoszalności i odpowiedzialności w ubezpieczeniach zdrowotnych (HIPAA), a ostatnie zmiany wzmacniają ochronę danych medycznych w postaci elektronicznej (ePHI).

Uznając, że same regulacje nie wystarczą bez odpowiedniej edukacji i wsparcia, Komisja Europejska zaproponowała również „Plan działania w zakresie cyberbezpieczeństwa w ochronie zdrowia”, którego celem jest zwiększenie odporności tego sektora na ataki.

Aby spełnić wymogi regulacyjne, niezbędne są solidne rozwiązania techniczne, takie jak szyfrowanie, które odgrywa szczególną rolę w ochronie poufnych danych. Jednak nie wszystkie rozwiązania szyfrujące zapewniają taki sam poziom bezpieczeństwa i zgodności z przepisami.

Dlaczego szyfrowanie sprzętowe jest kluczowe dla ochrony danych medycznych

Jeśli chodzi o ochronę danych medycznych, nie wszystkie rozwiązania szyfrujące są jednakowo skuteczne. Szyfrowanie sprzętowe zapewnia lepszą ochronę w porównaniu z rozwiązaniami programowymi, zwłaszcza w przypadku zaawansowanych ataków i prób manipulacji. Jest to szczególnie ważne w przypadku przenoszenia wrażliwych danych na nośnikach zewnętrznych.

Nowoczesne rozwiązania wykorzystujące szyfrowanie sprzętowe, takie jak linia produktów Kingston IronKey, oferują zaawansowane funkcje zabezpieczeń. Dzięki podpisanemu cyfrowo oprogramowaniu sprzętowemu pamięć USB Kingston IronKey Vault Privacy 50 z certyfikatem FIPS 197 (w toku) zapewnia ochronę przed atakami metodą BadUSB oraz atakami siłowymi (Brute Force).

W przypadku większych potrzeb związanych z przechowywaniem danych doskonałym rozwiązaniem jest zewnętrzny dysk SSD Kingston IronKey Vault Privacy 80 o pojemności do 7,68TB z funkcją 256-bitowego szyfrowania XTS-AES z certyfikatem FIPS 197. Dzięki niezależności od systemu operacyjnego i ekranowi dotykowemu nośnik ten idealnie nadaje się do bezpiecznego przechowywania i przenoszenia danych w placówkach ochrony zdrowia. Może być on szczególnie przydatny w małych i średnich placówkach, ponieważ pozwala na tworzenie odizolowanych kopii zapasowych, chroniąc dane przed atakami ransomware i umożliwiając w razie potrzeby ich szybsze odzyskanie.

Sposoby na ochronę danych pacjentów

Choć spadek kosztów naruszeń danych w sektorze opieki zdrowotnej może świadczyć o postępie, branża musi pozostać czujna i konsekwentnie wdrażać kompleksowe środki cyberbezpieczeństwa. Ochrona poufnych informacji o pacjentach wymaga wielopłaszczyznowego podejścia łączącego następujące elementy:

• Silne szyfrowanie sprzętowe przechowywanych i przenoszonych danych
• Regularne szkolenie personelu w zakresie praktyk bezpieczeństwa oraz wdrażanie zasad cyberhigieny
• Kompleksowe, przemyślane strategie bezpieczeństwa zamiast doraźnych rozwiązań
• Szybkie dostosowywanie się do zmieniających się przepisów
• Inwestowanie w poszerzanie specjalistycznej wiedzy w dziedzinie cyberbezpieczeństwa, aby rozwiązać problem niedoboru umiejętności

Podejmując te działania, organizacje z sektora ochrony zdrowia mogą skuteczniej chronić dane pacjentów i utrzymać ich zaufanie – kluczowe dla zapewnienia efektywnej opieki. Chroń dane medyczne, stosując odpowiednie szyfrowanie. Skorzystaj z profesjonalnego doradztwa w ramach programu Zapytaj eksperta firmy Kingston.