Blokada systemu informatycznego czy też wyciek danych o pacjentach mogą zdezorganizować prace jednostki medycznej w takim stopniu, że nie będzie ona w stanie leczyć pacjentów, dopóki nie zapłaci wysokiego okupu cyberprzestępcom. Czy można uchronić się przed takim scenariuszem?
Skuteczność leczenia zależy od niezawodności systemów informatycznych
Po wielu latach starań sektor zdrowia ulega informatyzacji i nie ma wątpliwości, że proces ten będzie kontynuowany. Dane medyczne są przechowywane w postaci elektronicznej w szpitalnych systemach komputerowych. Lada dzień spodziewane są kolejne udogodnienia związane z e-receptą i e-zwolnieniem lekarskim. Dynamicznie rozwija się telemedycyna, w ramach której dane diagnostyczne pacjenta mogą być przesyłane do specjalistów znajdujących się w wielu lokalizacjach. Powstają też różnorodne aplikacje medyczne do samodzielnego używania przez pacjentów. Roboty medyczne wspomagają chirurgów, umożliwiając im przeprowadzanie coraz bardziej skomplikowanych operacji. Nowe rozwiązania Internetu Rzeczy w znacznej części zastępują czynności personelu medycznego, umożliwiając bezpośrednią komunikację pomiędzy urządzeniami medycznymi i automatyczne ustawianie właściwych parametrów, np. dawkowania pacjentom insuliny. Stało się jasne, że powodzenie w leczeniu zależy w większym niż kiedykolwiek stopniu właśnie od bezpieczeństwa informatycznego szpitali.
Dane medyczne to najdroższy towar na nielegalnym rynku Darknet
Ciemną stroną skoku technologicznego jest zwiększone ryzyko utraty danych w wyniku działalności cyberprzestępców. Jak pokazuje październikowe zdarzenie z Wielkiej Brytanii[1], scenariusz tzw. ataków ransomowych najczęściej jest następujący. Do pracowników szpitala wysyłana jest seria maili z pozornie legalną treścią (np. zawiadomienie o kongresie naukowym, zaproszenie do udziału w atrakcyjnym projekcie badawczym itd.). Po otwarciu maila w komputerze automatycznie instaluje się nielegalne oprogramowanie (tzw. malware), które skanuje zawartość sieci, do której podłączony jest komputer, blokuje dostęp do danych pacjentów i przesyła je w zaszyfrowanej formie do komputera, z którego pochodzi atak. Wobec utraty danych oraz blokady systemu szpital musi zawiesić działalność medyczną, a dyrekcja otrzymuje e-mail z żądaniem zapłaty określonej sumy w zamian za zwrot danych oraz odblokowanie systemu.
Cyberbezpieczeństwo kosztuje dużo, ale jego brak jeszcze więcej
W 2015 r. w USA zanotowano około 111 milionów cyberataków w sektorze ochrony zdrowia, które dotknęły w sumie 35% amerykańskiego społeczeństwa[2]. W największym do tej pory tego typu zdarzeniu – ataku na firmę Anthem – doszło do jednorazowego wycieku ponad 78 milionów danych pacjentów. Szacuje się, że w latach 2017-2021 globalna wartość strat wynikających z działalności cyberprzestępców na świecie wyniesie 6 bilionów USD, a konieczne wydatki związane z zapewnieniem cyberbezpieczeństwa w tym okresie pochłoną co najmniej 1 bilion USD[3]. Tymczasem w szpitalach nadal niska jest świadomość dotycząca skali zagrożenia cyberatakami. Efektem jest brak stosownych procedur wewnętrznych mających na celu ochronę systemów informatycznych, a to z kolei jest bezpośrednią przyczyną niewystarczającego zabezpieczenia wrażliwych danych pacjentów.
Tworzone regulacje prawne
Opracowanie i wdrożenie przepisów chroniących przed cyberprzestępczością to wieloletni proces wymagający zaangażowania zarówno ustawodawcy europejskiego, jak i krajowego oraz dialogu z podmiotami z różnych sektorów gospodarki, w tym ochrony zdrowia. Wobec skali i złożoności zjawiska cyberprzestępczości niezbędne jest opracowanie interdyscyplinarnego systemu specjalistycznych przepisów, obejmujących przede wszystkim przepisy regulacyjne oraz z zakresu ochrony danych osobowych. W 2016 r. uchwalono dwa kluczowe dla zabezpieczenia systemów informatycznych oraz przechowywanych w nim danych akty prawne, tj.: • dyrektywę Parlamentu Europejskiego i Rady (UE) 2016/1148 w sprawie środków mających na celu zapewnienie wspólnego wysokiego poziomu bezpieczeństwa sieci i informacji na terytorium Unii (dyrektywa NIS), oraz • rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679 w sprawie ochrony osób fizycznych w związku z przetwarzaniem danych osobowych i w sprawie swobodnego przepływu takich danych oraz uchylenia dyrektywy 95/46/WE (ogólne rozporządzenie o ochronie danych). Dyrektywa NIS ma na celu stworzenie ram prawnych i instytucjonalnych w zakresie cyberbezpieczeństwa. Obliguje ona państwa UE do opracowania krajowych strategii bezpieczeństwa cybernetycznego, zidentyfikowania operatorów tzw. kluczowej infrastruktury (m.in. szpitali) oraz zbudowania krajowych systemów reagowania na cyberataki opartych o Zespoły Reagowania na Incydenty Bezpieczeństwa Komputerowego (CSIRT)[4]. Z kolei ogólne rozporządzenie o ochronie danych przewiduje zaostrzone obowiązki podmiotów administrujących danymi oraz je przetwarzającymi (np. szpitali) w zakresie ochrony przechowywanych danych osobowych. Brak adekwatnych do stopnia zagrożenia zabezpieczeń będzie mógł być podstawą do nałożenia przez Głównego Inspektora Ochrony Danych Osobowych surowych kar pieniężnych wynoszących w zależności od rodzaju naruszenia do 10 albo 20 milionów euro, a w przypadku przedsiębiorstwa – 2% albo 4% całkowitego rocznego przychodu w poprzednim roku obrotowym. Zakładając optymistyczny scenariusz, zgodnie z którym państwa unijne implementują dyrektywę NIS na czas, to i tak przepisy obu aktów prawnych zaczną być stosowane najwcześniej w maju 2018 r. Jednostki ochrony zdrowia muszą się przygotować do wejścia w życie nowych przepisów i już teraz stosować nieobowiązkowe standardy ochrony przed cyberatakami.
