Kako zaščititi (občutljive) osebne podatke v zdravstvu?

Podjetje Keeper Security je izdalo poročilo raziskave s področja kibernetskih varnosti oz. napadov na zdravstvene institucije po svetu v letu 2019 (vir: 2019 Global State of Cybersecurity in Small and Medium-Sized Businesses). Ugotovili so, da je kar dve tretjini organizacij že bilo kdaj napadenih (v času svojega obstoja), skrb vzbujajoč pa je predvsem podatek, da je bilo kar 53 % organizacij napadenih v zadnjih 12 mesecih.

 

Ocenjujejo, da je bilo posledično odtujenih ali izbrisanih okrog 7202 datotek, ki so vsebovale bodisi podatke o zaposlenih bodisi podatke o pacientih. Razlogov, zakaj so zdravstvene institucije postale lahke tarče kibernetskih kriminalcev, je več, glavni pa so zagotovo sledeči:

 

• Zdravstveni elektronski dokumenti so med najbolj donosnimi dokumenti na črnem trgu oz. t. i. »darkweb-u«. Ocenjeno je, da je vsaka zdravstvena kartoteka vredna od 10 do 50 dolarjev, saj vsebuje vse potrebne informacije za krajo identitete.
• Tako kot na vseh ostalih področjih, se tudi v zdravstvu izjemo hitro povečuje število povezanih naprav, do katerih je potreben dostop, tudi tak z največ pravicami. Z večanjem števila naprav narašča število privilegiranih uporabnikov, s tem pa tudi verjetnost, da bodo poverilnice privilegiranega uporabniškega računa namenoma ali nenamenoma pristale v rokah kriminalcev.
• V zdravstvenih organizacijah je IT oddelek pogosto kadrovsko in finančno podhranjen, zaradi česar ne zmorejo zagotavljati nivoja varnosti, ki bi bil za tako pomembne organizacije nujen.
• Ozaveščenost zaposlenih o nevarnosti odtujitve privilegiranih poverilnic je tako kot v drugih panogah še vedno nizka. Zapis gesel na lističih ob zaslonih ali celo deljenje poverilnic z drugimi zaposlenimi je še vedno stalna praksa, ki pa predstavlja visoko varnostno tveganje.

 

Zaščitite privilegirane uporabniške račune

Po zadnjih ocenah kar 80 % vseh varnostnih incidentov vključuje pridobitev poverilnic privilegiranih uporabniških računov, ki so pomembni predvsem pri t. i. bočnem premikanju napada, ki s poverilnicami na najvišjem nivoju vodijo do najvrednejših informacij.

 

Privilegirane uporabnike lahko razdelimo v tri skupine:

• namerni deležniki: z uporabo svojih poverilnic zavestno odtujijo ali spremenijo informacije,
• nenamerni deležniki: nenamenoma izdajo svoje poverilnice drugi osebi, ki bi jih lahko izrabila za odtujitev informacij in
• ogroženi uporabniki: poverilnice so jim bile odtujene brez njihove vednosti (običajno preko neke vrste ciljnega napada).

 

Wallix Bastion predstavlja visoko prilagodljivo PAM rešitev, ki jo je enostavno integrirati z že obstoječimi varnostnimi sistemi za zagotavljanje kibernetske varnosti organizacije. Omogoča uveljavitev varnostnih politik za preprečevanje nepooblaščenih dostopov do informacijskih sistemov, hkrati pa zagotavlja nespremenljivo revizijsko sled dejavnosti privilegiranih uporabniških računov. S tem pripomore k zaščiti organizacije pred notranjimi grožnjami, prav te so bile vključene v proces napada na zdravstvene institucije pri 58 % vseh napadov, kar je največ med vsemi panogami, in omogoča spremljanje ter nadzor nad uporabniki, katerih poverilnice so bile nevede odtujene in bi lahko bile kasneje uporabljene za nepooblaščene dostope do podatkov.

 

Zakaj zdravstvena institucija potrebuje PAM rešitev?

• Omogoča dovoljevanje in omejevanje privilegiranega dostopa uporabnikov samo do sistemov, ki jih nujno potrebujejo za svoje delo.
• Omogoča dovoljevanje dostopa samo takrat, ko se za to pojavi potreba in ukinitev takoj, ko potrebe po dostopu ni več.
• Izloči potrebo po izdajanju privilegiranih poverilnic sistemov (admin, root…) končnim uporabnikom.
• Zagotavlja enotno dostopovno točko in centralni nadzor nad privilegiranim dostopom do vseh sistemov.
• Zagotavlja revizijsko sled, ki je ni mogoče spreminjati in ki vsebuje podatke o vseh aktivnosti privilegiranih uporabnikov.

 

[VIDEO] Primer iz prakse: Splošna bolnišnica Celje

 

Varstvo zdravstvenih podatkov

Zdravstvene institucije morajo biti pri varovanju zdravstvenih podatkov posameznikov še posebej skrbne.  Zdravstveni in drugi občutljivi podatki sodijo med t. i. posebne vrste podatkov, ki so s stališča zagotavljanja skladnosti z GDPR podvrženi strožjim ukrepom. Če k temu dodamo še digitalizacijo, v smislu, da se je zdravstvena dokumentacija iz fizičnega zdravstvenega kartona začela seliti na strežnike, kar lahko med drugim pomeni tudi shranjevanje v oblaku, postavlja skrb za varnost občutljivih zdravstvenih podatkov v nove dimenzije.

 

Zdravstvene institucije se soočajo z edinstvenimi izzivi na področju kibernetske varnosti, prav zato se jih vse več odloča za uvedbo rešitve PAM, saj jim zagotavlja nadzor in sedenje aktivnostim privilegiranih računov, kar je ključnega pomena za zagotavljanje varnosti, doseganje skladnosti in zaščito zasebnosti.

 

Želite preizkusiti rešitev tudi sami? Pišite nam in dogovorili se bomo za demo postavitev prilagojeno vašim potrebam.

 

Prispevek je pripravil Matevž Kuhelj.