Bezpieczeństwo IT

w ochronie zdrowia

Rozwiązania klasy Endpoint Detection and Response (EDR) monitorują aktywność na komputerach personelu, serwerach i innych urządzeniach końcowych, wykrywając m.in. złośliwe oprogramowanie, próby podniesienia uprawnień i nietypowe zachowania procesów.

Zaawansowane platformy rozszerzają możliwości EDR o funkcje XDR (Extended Detection and Response), łącząc dane z urządzeń końcowych z informacjami pochodzącymi m.in. z tożsamości, poczty, sieci i usług chmurowych. Pozwala to lepiej odtworzyć przebieg ataku i szybciej na niego zareagować.

Network Detection and Response (NDR) analizuje komunikację pomiędzy urządzeniami i systemami, pozwalając wykrywać anomalie, podejrzane połączenia i próby przemieszczania się atakującego wewnątrz infrastruktury.

NDR ma szczególne znaczenie w środowiskach medycznych, ponieważ zapewnia widoczność także tam, gdzie nie można zainstalować agenta EDR – na przykład na części urządzeń diagnostycznych i aparatury medycznej.

Podział infrastruktury na odrębne strefy ogranicza możliwość rozprzestrzeniania się zagrożeń pomiędzy systemami. Osobnymi zasadami komunikacji można objąć m.in. sieć administracyjną, systemy medyczne i laboratoryjne, aparaturę medyczną, sieć gościnną oraz dostęp serwisowy.

Firewalle nowej generacji pozwalają kontrolować ruch pomiędzy poszczególnymi strefami i ograniczać połączenia do tych, które są niezbędne do prawidłowego działania systemów.

Uwierzytelnianie wieloskładnikowe (MFA) ogranicza ryzyko wykorzystania przejętego hasła, natomiast rozwiązania Privileged Access Management (PAM) pozwalają zarządzać kontami administratorów i innych osób posiadających podwyższone uprawnienia.

PAM umożliwia m.in. przyznawanie dostępu na określony czas, kontrolę poświadczeń i rejestrowanie sesji. Ma to szczególne znaczenie w przypadku zewnętrznych administratorów i serwisantów, którzy potrzebują dostępu do systemów lub urządzeń placówki.

Rozwiązania chroniące pocztę pomagają wykrywać phishing, próby podszywania się pod zaufanych nadawców, niebezpieczne linki oraz złośliwe załączniki.

Ograniczają tym samym ryzyko przejęcia kont personelu i wykorzystania poczty jako punktu wejścia do dalszego ataku na środowisko placówki.

Rozwiązania Data Loss Prevention (DLP) pomagają identyfikować wrażliwe informacje i kontrolować sposób, w jaki są kopiowane, przesyłane i udostępniane. W placówkach medycznych dotyczy to przede wszystkim danych pacjentów i dokumentacji medycznej.

Ochrona baz danych pozwala natomiast monitorować dostęp do przechowywanych informacji, rejestrować działania użytkowników oraz wykrywać nietypową aktywność mogącą wskazywać na próbę kradzieży lub nieuprawnionej modyfikacji danych.

Kopie zapasowe pozwalają odtworzyć dane i systemy po awarii, błędzie lub cyberataku. W przypadku ransomware istotne jest takie zabezpieczenie repozytoriów backupowych, aby atakujący nie mógł zaszyfrować lub usunąć kopii razem z danymi produkcyjnymi.

Rozwiązania backupowe powinny obejmować najważniejsze systemy i dane placówki oraz umożliwiać ich sprawne odtworzenie zgodnie z ustaloną kolejnością i wymaganym czasem przywrócenia działania.

Web Application Firewall (WAF) chroni aplikacje internetowe przed próbami wykorzystania podatności, a rozwiązania API Security pomagają zabezpieczać interfejsy, za pomocą których systemy wymieniają dane.

Ochronę usług dostępnych przez internet uzupełniają rozwiązania anty-DDoS, które filtrują ruch mający doprowadzić do ich przeciążenia. W sektorze ochrony zdrowia rozwiązania te mogą zabezpieczać m.in. portale pacjenta, e-rejestrację, serwisy udostępniające wyniki badań oraz inne aplikacje i integracje dostępne z zewnątrz.

Placówki medyczne pracują przez całą dobę, dlatego również ich środowisko IT wymaga ciągłego nadzoru. Usługa SOC zapewnia monitoring 24/7 oraz reakcję na zagrożenia, które mogą wpłynąć na dostępność systemów, bezpieczeństwo danych lub ciągłość udzielania świadczeń.

Proces obejmuje:

• wykrywanie i analizę incydentów bezpieczeństwa,

• klasyfikację zagrożeń i ocenę ich wpływu,

• izolację zagrożonych urządzeń i ograniczanie skutków ataku,

• wsparcie w przywracaniu działania systemów,

• raportowanie i analizę incydentów.

Regularne wykrywanie i ocena podatności pozwalają ograniczyć ryzyko wykorzystania znanych luk w systemach, aplikacjach i urządzeniach placówki.

Proces obejmuje:

• identyfikację zasobów i podatności,

• analizę oraz priorytetyzację ryzyka,

• planowanie działań naprawczych,

• wdrażanie aktualizacji tam, gdzie jest to możliwe,

• stosowanie zabezpieczeń kompensacyjnych w systemach i urządzeniach, których nie można łatwo zaktualizować.

Stałe zbieranie i analizowanie informacji o nowych zagrożeniach pozwala lepiej przygotować placówkę na zmieniające się techniki ataków.

Threat Intelligence umożliwia:

• identyfikację nowych kampanii phishingowych i złośliwego oprogramowania,

• śledzenie podatności i technik wykorzystywanych przez atakujących,

• dostosowywanie mechanizmów detekcji do aktualnego krajobrazu zagrożeń,

• dostarczanie analitykom kontekstu potrzebnego do oceny podejrzanej aktywności.

Threat Hunting polega na aktywnym poszukiwaniu śladów zagrożeń, które mogły ominąć automatyczne mechanizmy ochrony.

Analitycy:

• formułują hipotezy na podstawie danych Threat Intelligence i zdarzeń obserwowanych w środowisku,

• analizują telemetrię z urządzeń, sieci i innych systemów bezpieczeństwa,

• poszukują nietypowych zachowań użytkowników i systemów,

• sprawdzają, czy techniki wykryte w jednym środowisku występują również w innych chronionych organizacjach.

Detection Engineering polega na tworzeniu i rozwijaniu reguł, które uzupełniają mechanizmy detekcji dostępne standardowo w systemach bezpieczeństwa.

Proces obejmuje:

• analizę nowych technik ataków,

• tworzenie i testowanie reguł detekcji,

• dostosowywanie ich do architektury i sposobu działania chronionego środowiska,

• ograniczanie liczby fałszywych alarmów,

• rozwijanie detekcji na podstawie wniosków z Threat Intelligence, Threat Huntingu i rzeczywistych incydentów.

Placówki medyczne korzystają z usług dostawców systemów medycznych i laboratoryjnych, firm serwisujących aparaturę, operatorów usług chmurowych oraz podmiotów utrzymujących infrastrukturę. Dostęp lub podatność jednego z tych partnerów może wpływać na bezpieczeństwo całej placówki.

Proces obejmuje:

• ocenę bezpieczeństwa dostawców i partnerów,

• określenie, do jakich systemów i danych mogą uzyskać dostęp,

• kontrolę dostępu zdalnego i serwisowego,

• ocenę bezpieczeństwa integracji z systemami zewnętrznymi,

• monitorowanie ryzyka związanego z usługami świadczonymi przez podmioty trzecie.

Cyberatak na placówkę medyczną może ograniczyć dostęp do systemów potrzebnych do rejestracji, diagnostyki, dokumentacji czy przekazywania wyników. Plan ciągłości działania powinien określać sposób funkcjonowania placówki również wtedy, gdy część infrastruktury jest niedostępna.

Proces obejmuje:

• wykonywanie i testowanie kopii zapasowych,

• ustalenie kolejności odtwarzania najważniejszych systemów,

• przygotowanie planów Disaster Recovery,

• opracowanie procedur pracy awaryjnej,

• regularne testowanie scenariuszy odtworzenia po incydencie.

Urządzenia diagnostyczne i medyczne mają często długi cykl życia, a możliwość ich aktualizacji lub instalowania dodatkowych zabezpieczeń może być ograniczona. Ich bezpieczeństwo wymaga więc stałego zarządzania przez cały okres użytkowania.

Proces powinien obejmować:

• prowadzenie aktualnej ewidencji urządzeń i ich oprogramowania,

• ocenę podatności i krytyczności urządzeń,

• weryfikację dostępnych aktualizacji i zaleceń producenta,

• stosowanie zabezpieczeń kompensacyjnych tam, gdzie aktualizacja nie jest możliwa,

• kontrolę zdalnego dostępu serwisantów,

• monitorowanie komunikacji urządzeń w sieci.

W ochronie zdrowia istotna jest nie tylko poufność informacji, ale również pewność, że dane nie zostały zmienione w sposób nieautoryzowany. Dotyczy to szczególnie dokumentacji medycznej, zleceń, wyników badań oraz informacji przekazywanych pomiędzy urządzeniami i systemami.

Proces obejmuje:

• kontrolę uprawnień do wprowadzania i zmiany danych,

• rejestrowanie operacji wykonywanych przez użytkowników,

• monitorowanie zmian w bazach danych,

• kontrolę przepływu informacji pomiędzy systemami,

• zapewnienie prawidłowego powiązania pacjenta, zlecenia, próbki i wyniku badania.