Netárásir í heilbrigðiskerfinu: Forvarnir og afleiðingar

Netárásir eru orðnar raunverulegur hluti af rekstrarumhverfi fyrirtækja og stofnana. Heilbrigðisstofnanir eru sérstaklega viðkvæm skotmörk, enda geyma þær mikið magn viðkvæmra persónuupplýsinga og geta illa þolað rekstrartruflanir.

Á öryggisviðburði Helix í lok sumars fjallaði Guðrún Valdís Jónsdóttir, forstöðumaður ráðgjafarsviðs Syndis, um þetta í erindi sínu. Þar fór hún yfir hvers vegna heilbrigðisgeirinn er eftirsótt skotmark, hvaða afleiðingar alvarlegar netárásir geta haft og hvað fyrirtæki og stofnanir geta gert til að draga úr áhættu og undirbúa viðbrögð.

Hér förum við yfir öll helstu atriði sem Guðrún Valdís fjallaði um.

Af hverju sækjast árásaraðilar eftir heilbrigðisgögnum?

Sjúkragögn eru eftirsótt af tveimur meginástæðum. Annars vegar geyma þau viðkvæmustu persónuupplýsingarnar okkar og geta því haft hátt söluverðmæti á svörtum markaði. Þau geta einnig verið nýtt í frekari árásir, til dæmis í tryggingasvindl og auðkennisþjófnað, eða til að hóta einstaklingum með því að birta viðkvæmar upplýsingar.

Hins vegar þola heilbrigðisstofnanir rekstrartruflanir mjög illa. Þegar starfsemin stöðvast skapast mikill þrýstingur á að koma henni aftur í gang. Þar með verður til mjög skýr hvati fyrir árásaraðila.

Lengi var talað um ákveðna siðferðislega línu hjá árásaraðilum sem forðuðust að ráðast á spítala og heilbrigðisstofnanir. Þessi óskráðu mörk virðast hins vegar ekki lengur gilda, enda hafa heilbrigðisstofnanir ítrekað orðið skotmörk alvarlegra netárása. Árið 2024 varð bandarískt heilbrigðistæknifyrirtæki, Change Healthcare, fyrir umfangsmikilli gagnagíslatökuárás sem hafði mikil áhrif á heilbrigðisþjónustu í Bandaríkjunum. Fyrirtækið endaði á að greiða 22 milljónir Bandaríkjadala í lausnargjald.

Árásin sýnir hversu mikill þrýstingur getur skapast þegar mikilvæg heilbrigðisþjónusta stöðvast. Hún vakti einnig athygli á þeim hvata sem getur skapast fyrir árásaraðila, ef truflunin verður nægilega mikil og starfsemin er háð kerfunum sem tekin hafa verið yfir getur þrýstingurinn á að greiða orðið gríðarlegur.

804 milljónir króna í meðalkostnað

Tölurnar sýna hversu alvarlegt þetta getur verið. IBM tekur árlega saman kostnað vegna netárása og í nýjustu skýrslunni var heilbrigðisgeirinn með hæstan meðalkostnað, um 804 milljónir íslenskra króna á hvert atvik. Tölurnar byggja ekki eingöngu á Bandaríkjunum heldur gögnum frá 16 löndum, þar á meðal Frakklandi, Þýskalandi og Bretlandi. Heilbrigðisgeirinn var þar með dýrasti geirinn 13. árið í röð.

Þegar netárás hefur áhrif á sjúklinga

Afleiðingarnar geta verið mun alvarlegri en fjárhagslegt tjón. Rannsókn sem kom út fyrr á árinu sýndi að hjá sjúklingum sem voru þegar inniliggjandi þegar gagnagíslatökuárás hófst jókst dánartíðni á sjúkrahúsi um 34–38%. Þá erum við ekki lengur einungis að tala um peninga og orðspor, heldur mannslíf.

Fleiri dæmi eru til en það var gagnagíslatökuárás í Þýskalandi árið 2020 á háskólasjúkrahúsi í Düsseldorf. Vegna árásarinnar gat spítalinn ekki tekið á móti sjúklingi sem þurfti því að flytja á milli stofnana. Sjúklingurinn lést og dauðsfallið var rakið beint til árásarinnar.

Ofan á þetta allt saman sjáum við almenna aukningu í netárásum. Stærstu og alvarlegustu árásirnar rata í fjölmiðla og það er mannlegt að hugsa að slæmir hlutir gerist ekki endilega fyrir okkur. Það er eðlilegt að hugsa að við lendum ekki í netárás. En þetta er raunveruleikinn sem við búum við og þetta gerist ítrekað og reglulega.

Hvað gerist þegar kerfin fara niður?

Alvarleg netárás getur verið mjög óraunveruleg upplifun fyrir starfsfólk. Í íslenskum dæmum hefur fólk áttað sig á því að gagnagíslataka væri í gangi þegar lausnargjaldskröfur byrjuðu að prentast út úr prenturum á skrifstofunni. Í öðru tilfelli hafði bakgrunnsmynd á þjónum verið breytt þannig að hún sýndi lausnargjaldskröfuna. Í enn öðru tilfelli hringdi árásarhópurinn einfaldlega og spurði: „Do you have a problem with your computers?“

Þegar starfsemin lamast fylgir þessu mikið álag á starfsfólk. Allt í einu þarf að finna út hvernig hægt er að halda starfseminni áfram án þeirra stafrænna kerfa og gagna sem fólk treystir á alla daga.

Afleiðingarnar geta verið margvíslegar:

• Mannlegar afleiðingar: Mikið álag getur fylgt viðbrögðum við alvarlegri árás, sérstaklega þegar starfsfólk þarf að vinna allan sólarhringinn í daga eða vikur. Kulnun getur komið í kjölfarið og upplifunin getur verið svo erfið að fólk treystir sér ekki til að halda áfram í sama starfsumhverfi.

• Truflun á þjónustu: Þegar starfsemi lamast þarf að finna leiðir til að halda henni gangandi án þeirra stafrænna kerfa og gagna sem starfsfólk treystir á.

• Orðsporslegar afleiðingar: Traust viðskiptavina, sjúklinga, aðstandenda og almennings getur beðið hnekki.

• Fjárhagslegar afleiðingar: Kostnaður getur meðal annars falist í lausnargjaldi, rannsókn á atvikinu, viðbrögðum, enduruppbyggingu, lögfræðiaðstoð, sektum og mögulegum málsóknum.

• Lagalegar afleiðingar: Netárás getur kallað á tilkynningaskyldu vegna persónuverndar og fyrir stofnanir sem falla undir NIS2, auk rannsókna, sekta og mögulegra málsókna.

Þegar rætt er um lausnargjald er ákvörðunin sjaldnast eins einföld og „við myndum aldrei borga“. Ef starfsemi liggur niðri, afrit hafa ekki verið prófuð eða árásaraðili hótar að leka mjög viðkvæmum gögnum verður þetta allt í einu raunveruleg ákvörðun sem þarf að taka. Ákvörðun um greiðslu þarf að byggjast á fyrirfram skilgreindu viðbragðsferli, lagalegu mati, áhættumati og samráði við viðeigandi sérfræðinga.

Netöryggi er ekki bara upplýsingatæknimál

Eftir allt þetta má þó segja að það fylgi alvarlegri netárás einn „jákvæður“ fylgifiskur. Netöryggi kemst á dagskrá. Þegar fólk hefur upplifað gagnagíslatöku á eigin skinni verður málefnið mjög raunverulegt og viljinn til að lenda ekki aftur í sömu stöðu verður mikill.

Hvernig getum við undirbúið okkur?

Ef forgangsraða ætti verkefnum og byrja á því sem skiptir mestu máli væri hægt að horfa til eftirfarandi þátta í þessari röð:

• Vöktun: Koma á vöktun á kerfum allan sólarhringinn og tryggja að góð EDR-lausn (Endpoint Detection and Response) sé rétt uppsett. Í SOC hjá Syndis hafa um 41% atvika síðasta árs átt sér stað utan hefðbundins vinnutíma, eftir klukkan 16 og um helgar.

• Herðing á tækni umhverfi: Herða Microsoft-umhverfið, tryggja reglubundnar uppfærslur og skilja ytri árásarflötinn vel.

• Útfösun eldri kerfa: Finna og fasa út end-of-life kerfi.

• Aðgangsmál: Fara yfir margþætta auðkenningu og aðgangsstýringar.

• Afritun: Tryggja að afrit séu til staðar og, ekki síður, að búið sé að prófa endurheimt úr þeim.

• Lækningatæki: Meta hvernig hægt er að draga úr áhættu vegna eldri tækja sem erfitt er að uppfæra, til dæmis með því að einangra þau.

Undirbúningur viðbragðs skiptir máli

Þegar árás gerist skapast mikið álag og óvissa. Þess vegna skiptir miklu máli að nota friðartímann til að undirbúa viðbragðið. Mikilvægt er að vera búin að ákveða fyrirfram:

• Hver ber ábyrgð á hverju: Skýr hlutverk og einfaldir gátlistar fyrir fyrstu skrefin.

• Hvernig samskipti fara fram: Hvernig náum við til starfsfólks, viðskiptavina, sjúklinga og aðstandenda ef stafrænu kerfin liggja niðri?

• Hver hefur ákvarðanavald: Réttir aðilar þurfa að hafa umboð til að taka mikilvægar ákvarðanir án óþarfa tafa.

• Hvernig viðbragðið er æft: Setja upp sviðsmyndir og fara í gegnum viðbrögðin með þeim sem bera ábyrgð.

Það getur til dæmis verið gagnlegt að æfa hvað gerist ef gagnagíslataka hefst: Hvað gerir tæknifólkið? Hvað gerir lögfræðingurinn? Hvað gerir mannauðsstjórinn? Hver sér um samskipti? Hver sér til þess að starfsfólk fái hvíld eftir langvarandi vinnu við viðbragðið?

Fimm verkefni til að hefjast handa

Það er ekki til neitt sem heitir 100% öryggi. Við getum hins vegar byrjað á því að brjóta þennan stóra öryggisfíl niður í minni bita og hér koma nokkur atriði sem hægt er að byrja að skoða strax:

1. Búðu til aðgerðaráætlun um að koma Microsoft Secure Score yfir 80% og athugaðu á hverju stigið er byggt.

2. Veldu eitt mikilvægt kerfi og prófaðu að endurheimta það úr afriti. Skráðu tímann sem það tók og hvort endurheimtin stóðst væntingar.

3. Tryggðu að alvarlegustu veikleikarnir úr síðustu öryggisprófun eða veikleikaskanni séu með eiganda og lokadagsetningu.

4. Ákveddu dagsetningu fyrir næstu sviðsmyndaæfingu stjórnenda.

5. Fáðu yfirlit yfir EOL-kerfi og tímasettu útfösun þeirra.

Við getum ekki tryggt að við lendum aldrei í netárás. En við getum gert margt til að minnka líkurnar, uppgötva árásir fyrr og vera betur undirbúin þegar þær gerast. Það þarf ekki að gera allt í einu en við þurfum að byrja einhvers staðar.